Kaj počne IncludeAllNetworks v profilu IKEv2 za Mac?

V izvornem profilu IKEv2 zanimivi ključ ni potrditveno polje, temveč IncludeAllNetworks, in spreminja obseg tega, kar sme sistem pošiljati zunaj tunela. Nastavite ga na 1 in macOS tunel obravnava kot pot za praktično ves IP promet, razen nabora izjem, ki jih določi in jih lahko razširite. Ker živi v slovarju profila in ne v meniju, tudi ne pomeni tega, kar večina ljudi domneva, ko bere besedno zvezo pošlji ves promet.

Kaj ključ spremeni v omrežnem skladu

Brez njega se tunel obnaša kot omrežni vmesnik s pripetimi potmi. Privzeta pot skozi ta vmesnik zajame večino prometa, vsaka bolj specifična pot na drugem vmesniku pa še vedno zmaga za svojo predpono. To je običajno usmerjanje in prav zato do razdeljenega tuneliranja pride skoraj po naključju.

Z omogočenim ključem obseg preneha biti usmerjevalna preferenca in postane pravilo o tem, kateri promet sme oditi po čem drugem kot po tunelu. Sistem mora še vedno doseči omrežje, da ohrani povezavo živo, zato pravilo pride z izjemami, namesto da bi se pretvarjalo, da jih ni. Omogočitev nikoli ne pusti stroja povsem brez delujoče poti. Dobite krajši seznam poti, kot ste domnevali, in ta seznam je dokumentiran.

Praktična posledica je, da dodajanje poti ne pojasni več izida. Če je cilj še vedno dosežen neposredno, vprašanje ni, katera pot je zmagala, ampak ali ga pokriva izjema.

Izjeme so del nastavitve

Apple ob glavnem ključu dokumentira več izjem, ki pokrivajo lokalna omrežja, promet Apple Push Notification, mobilne storitve in komunikacijo z napravami. Vsaka ima svoje pogoje glede platforme in različice, zato se isti profil lahko v različnih izdajah macOS obnaša drugače.

Nekatere od teh izjem so notranje. Promet, potreben za vzpostavitev in ohranjanje omrežnega dostopa, vključno z obravnavo prijavnih portalov, mora biti dovoljen, sicer lahko stroj konča povezan z ničimer in tega ne more popraviti.

Nato pridejo namerne izbire. Dovoliti domači tiskalnik ni ista odločitev kot dovoliti predpono delovnih virov, obe pa se razlikujeta od tega, da APNs pustite dosegljive, da obvestila še naprej prihajajo. Zapišite, katere ste omogočili, kar v profilu, namesto da jih pozneje odkrivate iz poročila o napaki.

Zakaj to ni isto kot privzeta pot

Privzeta pot je vnos v usmerjevalni tabeli in usmerjevalne tabele izgubljajo. Bolj specifična predpona jo premaga, povezava omejena na aplikacijo jo lahko obide, drugi vmesnik z boljšo metriko pa lahko prevzame nadzor, ne da bi se kdo dotaknil konfiguracije VPN.

Applove smernice za usmerjanje razliko naredijo izrecno: običajne privzete poti lahko preglasijo bolj specifične poti, medtem ko širša nastavitev obsega določa, kateri promet mora tunel nositi in kaj je iz njega izvzeto. Eno je preferenca, drugo je bližje pravilu.

Ta razlika spremeni tudi način diagnosticiranja uhajanja. Pri privzeti poti pregledujete poti in metrike. Pri ključu obsega pregledujete revizijo profila, nameščene izjeme in vedenje, specifično za različico, ker je usmerjevalna tabela dolvodno od prej sprejete odločitve.

EnforceRoutes je drugačen gumb

EnforceRoutes zveni kot stroga različica iste zamisli in ljudje oba ključa zložita v prepričanju, da več ključev pomeni večjo pokritost. Apple dokumentira, da se ignorira, ko je omogočen IncludeAllNetworks, zato drugi ključ v tej kombinaciji ne prinese ničesar.

Obravnavajte ga kot alternativo za konfiguracije, ki ne uporabljajo širšega obsega, ne kot okrepitev. Če ne znate pojasniti, kaj vsak ključ počne sam, dodajanje obeh le oteži pregled profila.

O čem se morata dogovoriti prehod in lastnik profila

Nastavitev odjemalca ne more prisiliti strežnika, da posreduje promet, za katerega ni bil nikoli konfiguriran. Prehod mora sprejeti sejo, dodeliti naslove, zagotoviti povratno pot za predpone, ki jih nameravate doseči, in streči DNS v ureditvi, ki ste jo izbrali. Če usmerja le eno predpono, širok obseg odjemalca ustvari promet, ki prispe in umre. Ena zahteva na cilj zunaj prehodovih poti to dokaže v minuti.

Tunel v lasti aplikacije je spet ločen primer. Ponudnik mora izvesti ali razkriti podprto vedenje; namestitev drugega izvornega profila IKEv2 ne spremeni tunela, ki ga že upravlja druga aplikacija, in ključ IKEv2 ni direktiva OpenVPN, ki bi jo bral drug odjemalec.

Za trenutni seznam ključev in pogoje različic preberite referenco za podatkovni del IKEv2 pri Applu, ne profila, ki ga je nekdo prepisal pred leti.

Revizijo profila sprejmite kot celoto

Preden spremenite na daljavo upravljani Mac, zapišite ciljne različice macOS, predvideni internetni izhod, zasebne predpone, ki morajo ostati dosegljive, in vsako izjemo, ki jo omogočate. Nato ohranite obnovitveno pot, ki ni odvisna od tunela, ki ga boste spremenili.

Preizkusite nove javne zahteve, zasebne zahteve, obe naslovni družini in razreševanje imen ter preverite nameščeno revizijo, ne načrtovalne datoteke. Če gre kaj še vedno neposredno, presodite, ali je to dokumentirana izjema, drugačen kontekst povezave ali resnična konfiguracijska napaka, in spremenite eno od teh treh stvari, namesto da bi širili nepovezane ključe.