Ano ang ginagawa ng IncludeAllNetworks sa isang IKEv2 profile sa Mac?

Sa isang native na IKEv2 profile ang kawili-wiling key ay hindi checkbox, ito ay IncludeAllNetworks, at ang binabago nito ay ang saklaw ng ipinapayagang ipadala ng system sa labas ng tunnel. Itakda ito sa 1 at itinuturing ng macOS ang tunnel bilang daan para sa halos lahat ng IP traffic, maliban sa isang set ng eksepsiyon na tinutukoy nito at maaari mong palawakin. Dahil nasa diksyunaryo ng profile ito at hindi sa menu, hindi rin nito ibig sabihin ang inaakala ng karamihan kapag binabasa ang pariralang ipadala ang lahat ng trapiko.

Ano ang binabago ng key sa loob ng network stack

Kung wala ito, kumikilos ang tunnel na parang network interface na may nakakabit na mga ruta. Ang default na ruta sa interface na iyon ay humuhuli sa karamihan ng trapiko, at ang mas partikular na ruta sa ibang interface ay nananalo pa rin para sa sarili nitong prefix. Iyon ay normal na routing, at iyon ang dahilan kung bakit ang split tunnelling ay nangyayari halos nang aksidente.

Kapag naka-enable ang key, ang saklaw ay hindi na kagustuhan sa routing kundi patakaran tungkol sa kung aling trapiko ang pinapayagang lumabas sa anumang bagay maliban sa tunnel. Kailangan pa rin ng system na maabot ang network para manatiling buhay ang koneksiyon, kaya dumarating ang patakaran na may mga eksepsiyon sa halip na magpanggap na wala ang mga ito. Ang pag-enable nito ay hindi kailanman nag-iiwan sa makina na walang gumaganang daan. Ang nakukuha mo ay mas maikling listahan ng mga daan kaysa sa inakala mo, at ang listahang iyon ay dokumentado.

Ang praktikal na bunga ay hindi na ipinapaliwanag ng pagdaragdag ng ruta ang resulta. Kung direktang naaabot pa rin ang isang destinasyon, ang tanong ay hindi kung aling ruta ang nanalo kundi kung may eksepsiyon na sumasaklaw dito.

Bahagi ng setting ang mga eksepsiyon

Dinodokumento ng Apple ang ilang pagbubukod sa tabi ng pangunahing key, na sumasaklaw sa mga lokal na network, trapiko ng Apple Push Notification, mga serbisyong cellular at komunikasyon sa device. Bawat isa ay may sariling kundisyon sa platform at bersyon, kaya ang parehong profile ay maaaring kumilos nang iba sa mga release ng macOS.

Ang ilan sa mga pagbubukod na iyon ay likas. Ang trapikong kailangan upang magtatag at mapanatili ang pag-access sa network, kabilang ang paghawak ng captive portal, ay dapat payagan, kung hindi ay maaaring mapunta ang makina sa walang koneksiyon at hindi ito maayos.

Pagkatapos ay dumarating ang mga sinadyang pagpili. Ang pagpayag sa printer sa bahay ay hindi kaparehong desisyon sa pagpayag sa prefix ng mapagkukunan sa trabaho, at pareho silang naiiba sa pag-iiwan sa APNs na maabot upang patuloy na dumating ang mga notification. Itala kung alin ang in-enable mo, sa profile mismo, sa halip na matuklasan ang mga ito mamaya mula sa ulat ng bug.

Bakit hindi ito kapareho ng default na ruta

Ang default na ruta ay isang entry sa routing table, at natatalo ang mga routing table. Mas specific na prefix ang tumatalo dito, ang koneksiyong nakalaan sa application ay maaaring lumampas dito, at ang pangalawang interface na may mas mahusay na metric ay maaaring pumalit nang walang hinahawakang VPN configuration.

Ginagawang malinaw ng gabay ng Apple sa routing ang pagkakaiba: ang mga ordinaryong default na ruta ay maaaring mapalitan ng mas partikular na mga ruta, habang ang mas malawak na setting ng saklaw ay tumutukoy kung aling trapiko ang dapat dalhin ng tunnel at ano ang inaalis dito. Ang isa ay kagustuhan, ang isa ay mas malapit sa isang tuntunin.

Binabago rin ng pagkakaibang iyon kung paano mo sinisiyasat ang isang leak. Sa default na ruta sinusuri mo ang mga ruta at metric. Sa key ng saklaw sinusuri mo ang revision ng profile, ang mga naka-install na eksepsiyon at ang pag-uugaling tukoy sa bersyon, dahil ang routing table ay resulta ng desisyong ginawa kanina.

Ibang knob ang EnforceRoutes

Ang EnforceRoutes ay parang mahigpit na bersyon ng parehong ideya, at pinagsasama ng mga tao ang dalawa sa paniniwalang mas maraming key ay mas malawak ang saklaw. Dinodokumento ng Apple na binabalewala ito kapag naka-enable ang IncludeAllNetworks, kaya wala itong nabibili sa kombinasyong iyon.

Ituring itong alternatibo para sa mga configuration na hindi gumagamit ng mas malawak na saklaw, hindi bilang pagpapalakas. Kung hindi mo maipaliwanag kung ano ang ginagawa ng bawat key nang mag-isa, ang pagdaragdag ng dalawa ay gumagawa lamang ng profile na mas mahirap suriin.

Ano ang dapat pagkasunduan ng gateway at ng may-ari ng profile

Hindi mapipilit ng setting ng client ang server na ipasa ang trapikong hindi kailanman na-configure para dito. Kailangang tanggapin ng gateway ang session, magbigay ng mga address, magbigay ng daan pabalik para sa mga prefix na nais mong maabot, at magserbisyo ng DNS sa anumang kaayusang pinili mo. Kung isang prefix lamang ang rutahan nito, ang malawak na saklaw ng client ay gumagawa ng trapikong dumarating at namamatay. Isang kahilingan sa destinasyong labas ng mga ruta ng gateway ang nagpapatunay niyan sa isang minuto.

Ang tunnel na pagmamay-ari ng app ay hiwalay na kaso na naman. Kailangang ipatupad o ilantad ng provider ang sinusuportahang pag-uugali; ang pag-install ng pangalawang native na IKEv2 profile ay hindi binabago ang tunnel na pinamamahalaan na ng ibang app, at ang IKEv2 key ay hindi OpenVPN directive na babasahin ng ibang client.

Para sa kasalukuyang listahan ng key at mga kundisyon ng bersyon, basahin ang reference ng IKEv2 payload ng Apple sa halip na profile na kinopya ng isang tao maraming taon na ang nakalipas.

Tanggapin ang revision ng profile bilang isang buo

Bago mo baguhin ang Mac na pinamamahalaan mula sa malayo, isulat ang mga target na bersyon ng macOS, ang inilaan na labasan sa internet, ang mga pribadong prefix na dapat manatiling maabot, at bawat pagbubukod na ini-enable mo. Pagkatapos ay panatilihin ang daan ng pagbawi na hindi umaasa sa tunnel na babaguhin mo.

Subukan ang mga bagong pampublikong kahilingan, pribadong kahilingan, parehong pamilya ng address at paglutas ng pangalan, at suriin ang naka-install na revision kaysa sa design file. Kung may isang bagay na direktang dumadaan pa rin, magpasya kung ito ay dokumentadong eksepsiyon, ibang konteksto ng koneksiyon o tunay na error sa configuration, at baguhin ang isa sa tatlong iyon sa halip na palawakin ang walang kaugnayang mga key.