IncludeAllNetworks ทำงานอะไรในโปรไฟล์ IKEv2 บน Mac?

ในโปรไฟล์ IKEv2 แบบเนทีฟ คีย์ที่น่าสนใจไม่ใช่ช่องทำเครื่องหมาย แต่คือ IncludeAllNetworks และสิ่งที่มันเปลี่ยนคือขอบเขตของสิ่งที่ระบบได้รับอนุญาตให้ส่งออกนอกอุโมงค์ ตั้งค่าเป็น 1 แล้ว macOS จะถือว่าอุโมงค์เป็นเส้นทางสำหรับทราฟฟิก IP แทบทั้งหมด ยกเว้นชุดข้อยกเว้นที่มันกำหนดเองและคุณขยายเพิ่มได้ เพราะคีย์นี้อยู่ในพจนานุกรมของโปรไฟล์ไม่ใช่ในเมนู มันจึงไม่ได้หมายความอย่างที่คนส่วนใหญ่คิดเมื่ออ่านวลีส่งทราฟฟิกทั้งหมด

คีย์นี้เปลี่ยนอะไรภายในสแตกเครือข่าย

หากไม่มีคีย์นี้ อุโมงค์จะทำตัวเหมือนอินเทอร์เฟซเครือข่ายที่มีเส้นทางผูกอยู่ เส้นทางเริ่มต้นผ่านอินเทอร์เฟซนั้นจับทราฟฟิกส่วนใหญ่ไว้ และเส้นทางที่เฉพาะเจาะจงกว่าบนอินเทอร์เฟซอื่นก็ยังชนะสำหรับคำนำหน้าของตัวเอง นั่นคือการกำหนดเส้นทางปกติ และเป็นเหตุผลที่การแยกอุโมงค์เกิดขึ้นเกือบจะโดยบังเอิญ

เมื่อเปิดคีย์นี้ ขอบเขตจะไม่ใช่การตั้งค่ากำหนดเส้นทางอีกต่อไป แต่กลายเป็นนโยบายว่าทราฟฟิกใดได้รับอนุญาตให้ออกผ่านสิ่งอื่นที่ไม่ใช่อุโมงค์ ระบบยังต้องเข้าถึงเครือข่ายเพื่อรักษาการเชื่อมต่อไว้ นโยบายจึงมาพร้อมข้อยกเว้นแทนที่จะแกล้งทำเหมือนไม่มีข้อยกเว้นเหล่านั้น การเปิดมันไม่เคยทำให้เครื่องเหลือเส้นทางที่ใช้งานไม่ได้เลย สิ่งที่คุณได้คือรายการเส้นทางที่สั้นกว่าที่คุณคิด และรายการนั้นมีเอกสารกำกับ

ผลในทางปฏิบัติคือ การเพิ่มเส้นทางไม่อธิบายผลลัพธ์ได้อีกต่อไป หากปลายทางยังเข้าถึงได้โดยตรง คำถามไม่ใช่เส้นทางใดชนะ แต่เป็นว่ามีข้อยกเว้นครอบคลุมมันหรือไม่

ข้อยกเว้นเป็นส่วนหนึ่งของการตั้งค่า

Apple จัดทำเอกสารข้อยกเว้นหลายรายการควบคู่กับคีย์หลัก ครอบคลุมเครือข่ายท้องถิ่น ทราฟฟิก Apple Push Notification บริการเซลลูลาร์ และการสื่อสารกับอุปกรณ์ แต่ละรายการมีเงื่อนไขแพลตฟอร์มและเวอร์ชันของตัวเอง โปรไฟล์เดียวกันจึงทำงานต่างกันได้ระหว่างรุ่น macOS

ข้อยกเว้นบางรายการเป็นเรื่องภายในโดยธรรมชาติ ทราฟฟิกที่จำเป็นในการสร้างและรักษาการเข้าถึงเครือข่าย รวมถึงการจัดการพอร์ทัลแบบกักตัว ต้องได้รับอนุญาต มิฉะนั้นเครื่องอาจจบลงด้วยการเชื่อมต่อกับอะไรไม่ได้เลยและแก้ไขไม่ได้

จากนั้นจึงเป็นทางเลือกที่ตั้งใจ การอนุญาตเครื่องพิมพ์ที่บ้านไม่ใช่การตัดสินใจเดียวกันกับการอนุญาตคำนำหน้าทรัพยากรของที่ทำงาน และทั้งสองต่างจากการปล่อยให้ APNs เข้าถึงได้เพื่อให้การแจ้งเตือนยังมาถึง บันทึกว่าคุณเปิดรายการใดไว้ ในโปรไฟล์เอง แทนที่จะค้นพบภายหลังจากรายงานข้อบกพร่อง

ทำไมจึงไม่เหมือนเส้นทางเริ่มต้น

เส้นทางเริ่มต้นคือรายการในตารางเส้นทาง และตารางเส้นทางก็แพ้ คำนำหน้าที่เฉพาะเจาะจงกว่าชนะมัน การเชื่อมต่อที่ผูกกับแอปสามารถข้ามมันได้ และอินเทอร์เฟซที่สองที่มีเมตริกดีกว่าก็เข้าครอบครองได้โดยไม่มีใครแตะการตั้งค่า VPN

คำแนะนำเรื่องการกำหนดเส้นทางของ Apple ทำให้ความแตกต่างชัดเจนขึ้น เส้นทางเริ่มต้นทั่วไปถูกแทนที่ได้ด้วยเส้นทางที่เฉพาะเจาะจงกว่า ในขณะที่การตั้งค่าขอบเขตที่กว้างกว่ากำหนดว่าอุโมงค์ต้องรับทราฟฟิกใดและอะไรถูกตัดออกไปจากมัน อย่างหนึ่งคือการตั้งค่า อีกอย่างใกล้เคียงกับกฎ

ความแตกต่างนั้นยังเปลี่ยนวิธีที่คุณวินิจฉัยการรั่วไหล ด้วยเส้นทางเริ่มต้นคุณตรวจสอบเส้นทางและเมตริก ด้วยคีย์ขอบเขตคุณตรวจสอบการแก้ไขโปรไฟล์ ข้อยกเว้นที่ติดตั้งไว้ และพฤติกรรมเฉพาะเวอร์ชัน เพราะตารางเส้นทางเป็นผลปลายทางของการตัดสินใจที่ทำไว้ก่อนหน้า

EnforceRoutes เป็นปุ่มอีกตัว

EnforceRoutes ฟังดูเหมือนเวอร์ชันเข้มงวดของแนวคิดเดียวกัน และผู้คนซ้อนทั้งสองเข้าด้วยกันด้วยความเชื่อว่าคีย์มากขึ้นหมายถึงความครอบคลุมมากขึ้น Apple ระบุในเอกสารว่ามันถูกเพิกเฉยเมื่อเปิด IncludeAllNetworks คีย์ที่สองจึงไม่ได้อะไรเลยในการผสมนั้น

มองมันเป็นทางเลือกสำหรับการตั้งค่าที่ไม่ได้ใช้ขอบเขตที่กว้างกว่า ไม่ใช่การเสริมกำลัง หากคุณอธิบายไม่ได้ว่าแต่ละคีย์ทำอะไรด้วยตัวเอง การเพิ่มทั้งสองเพียงทำให้โปรไฟล์ตรวจทานยากขึ้น

เกตเวย์และเจ้าของโปรไฟล์ต้องตกลงอะไรกัน

การตั้งค่าฝั่งไคลเอนต์บังคับให้เซิร์ฟเวอร์ส่งต่อทราฟฟิกที่มันไม่เคยถูกตั้งค่าให้ส่งต่อไม่ได้ เกตเวย์ต้องยอมรับเซสชัน แจกจ่ายแอดเดรส จัดหาเส้นทางย้อนกลับสำหรับคำนำหน้าที่คุณตั้งใจจะเข้าถึง และให้บริการ DNS ตามรูปแบบที่คุณเลือก หากมันกำหนดเส้นทางเพียงคำนำหน้าเดียว ขอบเขตไคลเอนต์ที่กว้างก็สร้างทราฟฟิกที่มาถึงแล้วตายไป คำขอหนึ่งครั้งไปยังปลายทางนอกเส้นทางของเกตเวย์พิสูจน์เรื่องนี้ได้ในหนึ่งนาที

อุโมงค์ที่เป็นของแอปก็เป็นอีกกรณีหนึ่ง ผู้ให้บริการต้องนำพฤติกรรมที่รองรับไปใช้หรือเปิดเผยออกมา การติดตั้งโปรไฟล์ IKEv2 แบบเนทีฟตัวที่สองไม่แก้ไขอุโมงค์ที่แอปอื่นจัดการอยู่แล้ว และคีย์ IKEv2 ไม่ใช่คำสั่ง OpenVPN ที่ไคลเอนต์อื่นจะอ่าน

สำหรับรายการคีย์ปัจจุบันและเงื่อนไขเวอร์ชัน ให้อ่านเอกสารอ้างอิงเพย์โหลด IKEv2ของ Apple แทนโปรไฟล์ที่ใครบางคนคัดลอกไว้เมื่อหลายปีก่อน

ยอมรับการแก้ไขโปรไฟล์ทั้งชุด

ก่อนที่คุณจะเปลี่ยน Mac ที่บริหารจัดการจากระยะไกล ให้จดเวอร์ชัน macOS เป้าหมาย ทางออกสู่อินเทอร์เน็ตที่ตั้งใจ คำนำหน้าแบบส่วนตัวที่ต้องเข้าถึงได้ และข้อยกเว้นทุกข้อที่คุณเปิดใช้งาน จากนั้นรักษาเส้นทางการกู้คืนที่ไม่ขึ้นกับอุโมงค์ที่คุณกำลังจะแก้ไข

ทดสอบคำขอสาธารณะใหม่ คำขอแบบส่วนตัว ทั้งสองตระกูลแอดเดรส และการแปลงชื่อ แล้วตรวจสอบการแก้ไขที่ติดตั้งไว้ ไม่ใช่ไฟล์ออกแบบ หากบางอย่างยังออกไปตรง ๆ ให้ตัดสินว่าเป็นข้อยกเว้นที่มีเอกสารกำกับ บริบทการเชื่อมต่ออื่น หรือข้อผิดพลาดในการตั้งค่าจริง แล้วเปลี่ยนหนึ่งในสามอย่างนั้นแทนการขยายคีย์ที่ไม่เกี่ยวข้อง