Apakah fungsi IncludeAllNetworks dalam profil IKEv2 pada Mac?

Dalam profil IKEv2 asli, kunci yang menarik bukan kotak semak, ia ialah IncludeAllNetworks, dan apa yang diubahnya ialah skop perkara yang sistem dibenarkan hantar di luar terowong. Tetapkan ia kepada 1 dan macOS menganggap terowong sebagai laluan untuk hampir semua trafik IP, tolak satu set pengecualian yang ditentukan olehnya dan yang boleh anda lanjutkan. Kerana ia berada dalam kamus profil dan bukan dalam menu, ia juga tidak bermaksud apa yang kebanyakan orang andaikan apabila membaca frasa hantar semua trafik.

Apa yang diubah oleh kunci di dalam tindanan rangkaian

Tanpanya, terowong berkelakuan seperti antara muka rangkaian dengan laluan terpasang. Laluan lalai melalui antara muka itu menangkap sebahagian besar trafik, dan mana-mana laluan yang lebih khusus pada antara muka lain masih menang untuk awalan itu sendiri. Itu ialah penghalaan biasa, dan itulah sebabnya terowong berpecah berlaku hampir secara tidak sengaja.

Apabila kunci didayakan, skop berhenti menjadi keutamaan penghalaan dan menjadi dasar tentang trafik mana yang dibenarkan keluar melalui sesuatu selain terowong. Sistem masih perlu mencapai rangkaian untuk memastikan sambungan hidup, jadi dasar itu datang dengan pengecualian dan bukannya berpura-pura ia tidak wujud. Mendayakannya tidak pernah meninggalkan mesin tanpa sebarang laluan yang berfungsi. Apa yang anda dapat ialah senarai laluan yang lebih pendek daripada yang anda andaikan, dan senarai itu didokumenkan.

Akibat praktikalnya ialah menambah laluan tidak lagi menjelaskan hasilnya. Jika destinasi masih dicapai secara langsung, soalannya bukan laluan mana yang menang, tetapi sama ada pengecualian meliputinya.

Pengecualian ialah bahagian tetapan

Apple mendokumenkan beberapa pengecualian di samping kunci utama, merangkumi rangkaian setempat, trafik Apple Push Notification, perkhidmatan selular dan komunikasi peranti. Setiap satu mempunyai syarat platform dan versi tersendiri, jadi profil yang sama boleh berkelakuan berbeza antara keluaran macOS.

Sebahagian pengecualian itu bersifat intrinsik. Trafik yang diperlukan untuk mewujudkan dan mengekalkan akses rangkaian, termasuk pengendalian portal tawanan, mesti dibenarkan, jika tidak mesin boleh berakhir bersambung kepada tiada apa dan tidak mampu membaikinya.

Kemudian datang pilihan yang disengajakan. Membenarkan pencetak rumah bukan keputusan yang sama seperti membenarkan awalan sumber kerja, dan kedua-duanya berbeza daripada membiarkan APNs boleh dicapai supaya pemberitahuan terus tiba. Catat mana yang anda dayakan, dalam profil itu sendiri, daripada menemuinya kemudian daripada laporan pepijat.

Mengapa ia bukan sama seperti laluan lalai

Laluan lalai ialah entri jadual penghalaan, dan jadual penghalaan kalah. Awalan yang lebih khusus mengalahkannya, sambungan terhad kepada aplikasi boleh memintasnya, dan antara muka kedua dengan metrik lebih baik boleh mengambil alih tanpa sesiapa menyentuh konfigurasi VPN.

Panduan penghalaan Apple menjadikan perbezaan itu jelas: lalai biasa boleh ditindih oleh laluan yang lebih khusus, manakala tetapan skop yang lebih luas menentukan trafik mana yang mesti dibawa oleh terowong dan apa yang dikeluarkan daripadanya. Satu ialah keutamaan, satu lagi lebih dekat kepada peraturan.

Perbezaan itu juga mengubah cara anda mendiagnosis kebocoran. Dengan laluan lalai anda memeriksa laluan dan metrik. Dengan kunci skop anda memeriksa semakan profil, pengecualian yang dipasang dan tingkah laku khusus versi, kerana jadual penghalaan berada di hilir keputusan yang dibuat lebih awal.

EnforceRoutes ialah suis yang berbeza

EnforceRoutes kedengaran seperti versi ketat idea yang sama, dan orang menimbun kedua-duanya dengan kepercayaan bahawa lebih banyak kunci bermakna lebih banyak liputan. Apple mendokumenkan bahawa ia diabaikan apabila IncludeAllNetworks didayakan, jadi kunci kedua tidak membeli apa-apa dalam gabungan itu.

Anggap ia sebagai alternatif untuk konfigurasi yang tidak menggunakan skop lebih luas, bukan sebagai pengukuhan. Jika anda tidak dapat menjelaskan apa yang setiap kunci lakukan secara bersendirian, menambah kedua-duanya hanya menjadikan profil lebih sukar untuk disemak.

Apa yang mesti dipersetujui oleh gerbang dan pemilik profil

Tetapan klien tidak boleh memaksa pelayan meneruskan trafik yang ia tidak pernah dikonfigurasikan untuk teruskan. Gerbang perlu menerima sesi, mengagihkan alamat, menyediakan laluan balik untuk awalan yang ingin anda capai, dan menyediakan DNS dalam susunan yang anda pilih. Jika ia hanya menghalakan satu awalan, skop klien yang luas menghasilkan trafik yang tiba dan mati. Satu permintaan ke destinasi di luar laluan gerbang membuktikannya dalam satu minit.

Terowong milik aplikasi ialah kes berasingan lagi. Pembekal mesti melaksanakan atau mendedahkan tingkah laku yang disokong; memasang profil IKEv2 asli kedua tidak mengubah terowong yang sudah diuruskan oleh aplikasi lain, dan kunci IKEv2 bukan arahan OpenVPN yang akan dibaca oleh klien lain.

Untuk senarai kunci semasa dan syarat versi, baca rujukan muatan IKEv2 Apple dan bukannya profil yang disalin seseorang bertahun-tahun lalu.

Terima semakan profil sebagai satu keseluruhan

Sebelum mengubah Mac yang diurus dari jauh, catat versi macOS sasaran, jalan keluar internet yang dimaksudkan, awalan peribadi yang mesti kekal boleh dicapai, dan setiap pengecualian yang anda dayakan. Kemudian kekalkan laluan pemulihan yang tidak bergantung pada terowong yang akan anda ubah.

Uji permintaan awam baharu, permintaan peribadi, kedua-dua keluarga alamat dan penyelesaian nama, dan periksa semakan yang dipasang dan bukan fail reka bentuk. Jika sesuatu masih pergi terus, tentukan sama ada ia pengecualian yang didokumenkan, konteks sambungan berbeza, atau ralat konfigurasi sebenar, dan ubah salah satu daripada tiga itu dan bukannya meluaskan kunci yang tidak berkaitan.