Çfarë bën IncludeAllNetworks në një profil IKEv2 në Mac?

Në një profil origjinal IKEv2 çelësi interesant nuk është një kuti zgjedhjeje, është IncludeAllNetworks, dhe ajo që ndryshon është shtrirja e asaj që sistemi lejohet të dërgojë jashtë tunelit. Vendoseni në 1 dhe macOS e trajton tunelin si rrugën për pothuajse të gjithë trafikun IP, minus një grup përjashtimesh që ai përcakton dhe ju mund t'i zgjeroni. Për shkak se jeton në një fjalor profili dhe jo në një menu, ai gjithashtu nuk do të thotë atë që shumica supozojnë kur lexojnë shprehjen dërgo të gjithë trafikun.

Çfarë ndryshon çelësi brenda stivës së rrjetit

Pa atë, tuneli sillet si një ndërfaqe rrjeti me rrugë të bashkangjitura. Një rrugë e parazgjedhur përmes asaj ndërfaqeje kap pjesën më të madhe të trafikut, dhe një rrugë më specifike në një ndërfaqe tjetër prapë fiton për prefiksin e vet. Kjo është rrugëzim normal, dhe kjo është arsyeja pse tunelizimi i ndarë ndodh pothuajse aksidentalisht.

Kur çelësi është i aktivizuar, shtrirja nuk është më një preferencë rrugëzimi, por një politikë për atë se cili trafik lejohet të dalë përmes diçkaje tjetër përveç tunelit. Sistemi ende duhet të arrijë rrjetin për ta mbajtur lidhjen gjallë, ndaj politika vjen me përjashtime në vend që të bëjë sikur ato nuk ekzistojnë. Aktivizimi nuk e lë kurrë makinën plotësisht pa një rrugë funksionale. Ajo që merrni është një listë më e shkurtër rrugësh sesa supozuat, dhe ajo listë është e dokumentuar.

Pasoja praktike është se shtimi i një rrugë nuk e shpjegon më rezultatin. Nëse një destinacion arrihet ende drejtpërdrejt, pyetja nuk është cila rrugë fitoi, por nëse një përjashtim e mbulon atë.

Përjashtimet janë pjesë e cilësimit

Apple dokumenton disa përjashtime përveç çelësit kryesor, që mbulojnë rrjetet lokale, trafikun e Apple Push Notification, shërbimet celulare dhe komunikimin me pajisjen. Secili ka kushtet e veta të platformës dhe të versionit, kështu që i njëjti profil mund të sillet ndryshe mes versioneve të macOS.

Disa nga këto përjashtime janë të brendshme. Trafiku i nevojshëm për të vendosur dhe mbajtur aksesin në rrjet, përfshirë trajtimin e portalit të zënë, duhet të lejohet, përndryshe makina mund të përfundojë e lidhur me asgjë dhe e pafuqishme për ta rregulluar.

Pastaj vijnë zgjedhjet e qëllimshme. Lejimi i një printeri shtëpiak nuk është i njëjti vendim si lejimi i një prefiksi burimi pune, dhe të dy ndryshojnë nga lënia e APNs të arritshme që njoftimet të vazhdojnë të mbërrijnë. Regjistroni cilat aktivizuat, në vetë profilin, në vend që t'i zbuloni më vonë nga një raport gabimi.

Pse nuk është e njëjta gjë me një rrugë të parazgjedhur

Një rrugë e parazgjedhur është një zë në tabelën e rrugëzimit, dhe tabelat e rrugëzimit humbasin. Një prefiks më specifik e mund atë, një lidhje e kufizuar në një aplikacion mund ta anashkalojë, dhe një ndërfaqe e dytë me metrikë më të mirë mund të marrë përsipër pa prekur askush konfigurimin e VPN-së.

Udhëzimi i Apple për rrugëzimin e bën dallimin të qartë: rrugët e parazgjedhura të zakonshme mund të anashkalohen nga rrugë më specifike, ndërsa cilësimi më i gjerë i shtrirjes përcakton cili trafik duhet të mbajë tuneli dhe çfarë hiqet prej tij. Njëra është preferencë, tjetra është më afër një rregulli.

Ai dallim ndryshon edhe mënyrën se si diagnostikoni një rrjedhje. Me një rrugë të parazgjedhur shqyrtoni rrugët dhe metrikën. Me çelësin e shtrirjes shqyrtoni rishikimin e profilit, përjashtimet e instaluara dhe sjelljen e veçantë për versionin, sepse tabela e rrugëzimit vjen pas një vendimi të marrë më parë.

EnforceRoutes është një çelës tjetër

EnforceRoutes tingëllon si versioni i rreptë i idesë së njëjtë, dhe njerëzit i vendosin të dy bashkë me besimin se më shumë çelësa do të thotë mbulim më i madh. Apple dokumenton se ai injorohet kur IncludeAllNetworks është i aktivizuar, kështu që çelësi i dytë nuk blen asgjë në atë kombinim.

Trajtojeni si alternativë për konfigurimet që nuk përdorin shtrirjen më të gjerë, jo si përforcim. Nëse nuk mund të shpjegoni çfarë bën secili çelës më vete, shtimi i të dyjave vetëm e bën profilin më të vështirë për t'u shqyrtuar.

Për çfarë duhet të bien dakord porta dhe pronari i profilit

Një cilësim klienti nuk mund ta detyrojë një server të përcjellë trafik për të cilin nuk është konfiguruar kurrë. Porta duhet ta pranojë sesionin, të ndajë adresa, të ofrojë një rrugë kthimi për prefikset që synoni të arrini dhe të shërbejë DNS në çfarëdo rregullimi që zgjodhët. Nëse rrugëzon vetëm një prefiks, shtrirja e gjerë e klientit prodhon trafik që mbërrin dhe vdes. Një kërkesë drejt një destinacioni jashtë rrugëve të portës e vërteton këtë brenda një minute.

Një tunel në pronësi të një aplikacioni është përsëri një rast i veçantë. Ofruesi duhet të zbatojë ose të ekspozojë sjelljen e mbështetur; instalimi i një profili të dytë origjinal IKEv2 nuk e ndryshon një tunel që një aplikacion tjetër tashmë administron, dhe një çelës IKEv2 nuk është direktivë OpenVPN që një klient tjetër do të lexojë.

Për listën aktuale të çelësave dhe kushtet e versionit, lexoni referencën e ngarkesës IKEv2 të Apple në vend të një profili që dikush e kopjoi vite më parë.

Pranoni një rishikim profili si një tërësi

Përpara se të ndryshoni një Mac të administruar nga distanca, shkruani versionet e synuara të macOS, daljen e synuar në internet, prefikset private që duhet të mbeten të arritshme dhe çdo përjashtim që po aktivizoni. Pastaj ruani një rrugë rikuperimi që nuk varet nga tuneli që jeni duke ndryshuar.

Testoni kërkesa të reja publike, kërkesa private, të dy familjet e adresave dhe zgjidhjen e emrave, dhe kontrolloni rishikimin e instaluar, jo skedarin e projektimit. Nëse diçka shkon ende drejtpërdrejt, vendosni nëse është një përjashtim i dokumentuar, një kontekst tjetër lidhjeje apo një gabim i vërtetë konfigurimi, dhe ndryshoni një nga ata tre në vend që të zgjeroni çelësa të palidhur.