Kva gjer IncludeAllNetworks i ein IKEv2-profil på Mac?

I ein innebygd IKEv2-profil er den interessante nøkkelen ikkje ein avkryssingsboks, men IncludeAllNetworks, og det han endrar er omfanget av kva systemet har lov til å sende utanfor tunnelen. Set han til 1, og macOS handsamar tunnelen som vegen for i praksis all IP-trafikk, minus eit sett unntak som det definerer og du kan utvide. Fordi han ligg i ei profilordbok og ikkje i ei meny, tyder han heller ikkje det folk flest trur når dei les uttrykket å sende all trafikk.

Kva nøkkelen endrar inne i nettverksstakken

Utan han oppfører tunnelen seg som eit nettverksgrensesnitt med ruter knytte til seg. Ei standardrute gjennom det grensesnittet fangar mesteparten av trafikken, og ei meir spesifikk rute på eit anna grensesnitt vinn framleis for sitt eige prefiks. Det er vanleg ruting, og det er difor delt tunneling skjer nesten ved eit uhell.

Med nøkkelen slått på er omfanget ikkje lenger ei ruteringspreferanse, men ein policy for kva trafikk som har lov til å gå ut gjennom noko anna enn tunnelen. Systemet må framleis nå nettverket for å halde sambandet i live, så policyen kjem med unntak i staden for å late som dei ikkje finst. Å slå han på lèt aldri maskina heilt utan fungerande veg. Det du får er ei kortare liste over vegar enn du antok, og den lista er dokumentert.

Den praktiske konsekvensen er at det å leggje til ei rute ikkje lenger forklarer utfallet. Viss ein destinasjon framleis blir nådd direkte, er spørsmålet ikkje kva rute som vann, men om eit unntak dekkjer han.

Unntaka er ein del av innstillinga

Apple dokumenterer fleire utelukkingar ved sida av hovudnøkkelen, som dekkjer lokale nettverk, trafikk frå Apple Push Notification, mobiltjenester og einingkommunikasjon. Kvar av dei har eigne plattform- og versjonsvilkår, så same profil kan oppføre seg ulikt mellom macOS-versjonar.

Nokre av desse utelukkingane er iboande. Trafikk som trengst for å opprette og halde ved lag nettverkstilgang, inkludert handtering av captive portal, må vere tillaten, elles kan maskina enda opp utan samband og utan moglegheit til å rette det.

Så kjem dei medvitne vala. Å tillate ein heimeskrivar er ikkje same avgjerd som å tillate eit prefiks for ein arbeidsressurs, og begge skil seg frå å la APNs vere tilgjengeleg slik at varsel framleis kjem inn. Skriv ned kva du har slått på, i sjølve profilen, i staden for å oppdage dei seinare frå ein feilrapport.

Kvifor det ikkje er det same som ei standardrute

Ei standardrute er ei oppføring i rutetabellen, og rutetabellar taper. Eit meir spesifikt prefiks slår han, ei tilkopling knytt til eit program kan omgå han, og eit andre grensesnitt med betre metrikk kan ta over utan at nokon rører VPN-konfigurasjonen.

Ruteringsrettleiinga til Apple gjer skillet eksplisitt: vanlege standardruter kan overstyrast av meir spesifikke ruter, medan den breiare omfangsinnstillinga definerer kva trafikk tunnelen må bere og kva som blir skore ut av han. Det eine er ein preferanse, det andre er nærare ein regel.

Den skilnaden endrar også korleis du diagnostiserer ein lekkasje. Med ei standardrute granskar du ruter og metrikk. Med omfangsnøkkelen granskar du profilrevisjonen, unntaka som er installerte og åtferda per versjon, fordi rutetabellen kjem nedstraums frå ei avgjerd som vart teken tidlegare.

EnforceRoutes er ein annan knapp

EnforceRoutes høyrest ut som den strenge versjonen av same idé, og folk stablar dei to oppå kvarandre i trua på at fleire nøklar gir meir dekning. Apple dokumenterer at han blir ignorert når IncludeAllNetworks er slått på, så den andre nøkkelen gir ingenting i den kombinasjonen.

Handsam han som eit alternativ for konfigurasjonar som ikkje brukar det breiare omfanget, ikkje som forsterking. Viss du ikkje kan forklare kva kvar nøkkel gjer på eiga hand, gjer det berre profilen vanskelegare å gjennomgå å leggje til begge.

Kva gatewayen og eigaren av profilen må vere samde om

Ei klientinnstilling kan ikkje få ein tenar til å vidaresende trafikk han aldri har vore konfigurert for. Gatewayen må godta økta, dele ut adresser, gi ein returveg for prefiksa du vil nå og tene DNS i den ordninga du har valt. Viss han berre rutar eitt prefiks, gir det breie klientomfanget trafikk som kjem fram og døyr. Éin førespurnad til ein destinasjon utanfor rutene til gatewayen provar det på eit minutt.

Ein tunnel eigd av ein app er igjen eit eige tilfelle. Leverandøren må implementere eller eksponere den støtta åtferda; å installere ein andre innebygd IKEv2-profil endrar ikkje ein tunnel som ein annan app allereie styrer, og ein IKEv2-nøkkel er ikkje eit OpenVPN-direktiv som ein annan klient vil lese.

For den gjeldande nøkkellista og versjonsvilkåra, les IKEv2-nyttelastereferansen til Apple i staden for ein profil nokon kopierte for år sidan.

Godta ein profilrevisjon som heilskap

Før du endrar ein Mac som blir administrert eksternt, skriv ned målversjonane av macOS, den tiltenkte internettutgangen, dei private prefiksa som må halde fram med å vere tilgjengelege og kvar utelukking du slår på. Ta så vare på ein gjenopprettingsveg som ikkje er avhengig av tunnelen du er i ferd med å endre.

Test nye offentlege førespurnader, private førespurnader, båe adressefamiliar og namneoppslag, og kontroller den installerte revisjonen i staden for designfila. Viss noko framleis går direkte, avgjer om det er eit dokumentert unntak, ein annan tilkoplingskontekst eller ein faktisk konfigurasjonsfeil, og endre ein av dei tre i staden for å utvide urelaterte nøklar.