Čo robí IncludeAllNetworks v profile IKEv2 pre Mac?

V natívnom profile IKEv2 nie je zaujímavým kľúčom zaškrtávacie pole, ale IncludeAllNetworks, a mení rozsah toho, čo systém smie odosielať mimo tunela. Nastavte ho na 1 a macOS považuje tunel za cestu pre prakticky všetku IP prevádzku, okrem súboru výnimiek, ktoré definuje a ktoré môžete rozšíriť. Keďže žije v slovníku profilu a nie v ponuke, neznamená ani to, čo väčšina ľudí predpokladá, keď číta frázu posielať všetku prevádzku.

Čo kľúč mení v rámci sieťového zásobníka

Bez neho sa tunel správa ako sieťové rozhranie s pripojenými trasami. Predvolená trasa cez toto rozhranie zachytí väčšinu prevádzky a akákoľvek konkrétnejšia trasa na inom rozhraní stále vyhráva pre svoj prefix. To je normálne smerovanie a práve preto k rozdelenému tunelovaniu dochádza takmer náhodou.

S povoleným kľúčom prestáva byť rozsah smerovacou preferenciou a stáva sa zásadou o tom, ktorá prevádzka smie odchádzať iným spôsobom ako tunelom. Systém stále potrebuje dosiahnuť sieť, aby udržal spojenie nažive, preto zásada prichádza s výnimkami, namiesto toho, aby predstierala, že neexistujú. Zapnutie nikdy nenechá stroj úplne bez funkčnej cesty. Dostanete kratší zoznam ciest, než ste predpokladali, a ten zoznam je zdokumentovaný.

Praktickým dôsledkom je, že pridanie trasy už výsledok nevysvetľuje. Ak sa cieľ stále dosahuje priamo, otázka nie je, ktorá trasa vyhrala, ale či ho pokrýva výnimka.

Výnimky sú súčasťou nastavenia

Apple dokumentuje niekoľko vylúčení popri hlavnom kľúči, pokrývajúcich lokálne siete, prevádzku Apple Push Notification, mobilné služby a komunikáciu so zariadeniami. Každé má vlastné podmienky platformy a verzie, takže ten istý profil sa môže v rôznych verziách macOS správať odlišne.

Niektoré z týchto vylúčení sú inherentné. Prevádzka potrebná na nadviazanie a udržanie sieťového prístupu, vrátane spracovania prihlasovacích portálov, musí byť povolená, inak stroj môže skončiť pripojený k ničomu a neschopný to napraviť.

Potom prichádzajú zámerné voľby. Povoliť domácu tlačiareň nie je to isté rozhodnutie ako povoliť prefix pracovných zdrojov a obe sa líšia od ponechania APNs dostupných, aby upozornenia naďalej prichádzali. Zaznamenajte, ktoré ste povolili, priamo v profile, namiesto toho, aby ste ich neskôr objavovali z hlásenia o chybe.

Prečo to nie je to isté ako predvolená trasa

Predvolená trasa je záznam v smerovacej tabuľke a smerovacie tabuľky prehrávajú. Konkrétnejší prefix ju porazí, spojenie obmedzené na aplikáciu ju môže obísť a druhé rozhranie s lepšou metrikou môže prevziať kontrolu bez toho, aby niekto siahol na konfiguráciu VPN.

Apple vo svojich usmerneniach k smerovaniu robí rozdiel výslovným: bežné predvolené trasy môžu byť prepísané konkrétnejšími trasami, zatiaľ čo širšie nastavenie rozsahu určuje, ktorú prevádzku musí tunel niesť a čo je z nej vyňaté. Jedno je preferencia, druhé je bližšie pravidlu.

Tento rozdiel mení aj spôsob diagnostiky úniku. Pri predvolenej trase kontrolujete trasy a metriky. Pri kľúči rozsahu kontrolujete revíziu profilu, nainštalované výnimky a správanie špecifické pre verziu, pretože smerovacia tabuľka je až za rozhodnutím prijatým skôr.

EnforceRoutes je iný gombík

EnforceRoutes znie ako prísna verzia tej istej myšlienky a ľudia oba kľúče ukladajú na seba v presvedčení, že viac kľúčov znamená väčšie pokrytie. Apple dokumentuje, že sa ignoruje, keď je povolený IncludeAllNetworks, takže druhý kľúč v tejto kombinácii nič neprináša.

Berte ho ako alternatívu pre konfigurácie, ktoré nepoužívajú širší rozsah, nie ako posilnenie. Ak neviete vysvetliť, čo každý kľúč robí samostatne, pridanie oboch len sťažuje revíziu profilu.

Na čom sa musí brána a vlastník profilu zhodnúť

Nastavenie klienta nemôže prinútiť server preposielať prevádzku, na ktorú nikdy nebol nakonfigurovaný. Brána musí prijať reláciu, prideliť adresy, poskytnúť návratovú cestu pre prefixy, ktoré chcete dosiahnuť, a obsluhovať DNS v usporiadaní, ktoré ste zvolili. Ak smeruje len jeden prefix, široký klientsky rozsah vytvára prevádzku, ktorá príde a zomrie. Jedna požiadavka na cieľ mimo trás brány to dokáže za minútu.

Tunel vlastnený aplikáciou je opäť samostatný prípad. Poskytovateľ musí implementovať alebo sprístupniť podporované správanie; inštalácia druhého natívneho profilu IKEv2 nemení tunel, ktorý už spravuje iná aplikácia, a kľúč IKEv2 nie je direktíva OpenVPN, ktorú bude čítať iný klient.

Aktuálny zoznam kľúčov a podmienky verzií nájdete v referencii pre dátovú časť IKEv2 od Apple, nie v profile, ktorý niekto skopíroval pred rokmi.

Prijmite revíziu profilu ako celok

Skôr než zmeníte Mac spravovaný na diaľku, zapíšte cieľové verzie macOS, zamýšľaný internetový výstup, súkromné prefixy, ktoré musia zostať dostupné, a každé vylúčenie, ktoré povoľujete. Potom si zachovajte obnovovaciu cestu, ktorá nezávisí od tunela, ktorý sa chystáte zmeniť.

Otestujte nové verejné požiadavky, súkromné požiadavky, obe adresové rodiny a rozlišovanie názvov a skontrolujte nainštalovanú revíziu, nie návrhový súbor. Ak niečo stále ide priamo, rozhodnite, či je to dokumentovaná výnimka, iný kontext spojenia alebo skutočná chyba konfigurácie, a zmeňte jednu z tých troch vecí namiesto rozširovania nesúvisiacich kľúčov.