Mac IKEv2 profilinde IncludeAllNetworks ne yapar?

Yerel bir IKEv2 profilinde ilginç olan anahtar bir onay kutusu değil, IncludeAllNetworks anahtarıdır ve değiştirdiği şey, sistemin tünel dışına neler göndermesine izin verildiğinin kapsamıdır. Onu 1 olarak ayarlarsanız macOS, tanımladığı ve sizin genişletebileceğiniz bir istisna kümesi dışında, esasen tüm IP trafiği için yolu tünel sayar. Bir menüde değil profil sözlüğünde yaşadığı için, tüm trafiği gönder ifadesini okuyan çoğu insanın varsaydığı anlama da gelmez.

Anahtarın ağ yığını içinde değiştirdiği şey

O olmadan tünel, rotaları eklenmiş bir ağ arayüzü gibi davranır. O arayüzden geçen bir varsayılan rota trafiğin çoğunu yakalar ve başka bir arayüzdeki daha belirgin bir rota kendi öneki için yine kazanır. Bu normal yönlendirmedir ve bölünmüş tünellemenin neredeyse kazara ortaya çıkmasının nedeni de budur.

Anahtar etkinken kapsam artık bir yönlendirme tercihi olmaktan çıkar ve tünel dışındaki herhangi bir şeyden hangi trafiğin çıkmasına izin verildiğine dair bir politikaya dönüşür. Sistem bağlantıyı canlı tutmak için ağa yine ulaşmak zorundadır, bu yüzden politika istisnalarla birlikte gelir, onlar yokmuş gibi davranmaz. Etkinleştirmek makineyi hiçbir zaman tamamen çalışan yolsuz bırakmaz. Elde ettiğiniz şey, varsaydığınızdan daha kısa bir yol listesidir ve o liste belgelenmiştir.

Pratik sonuç, rota eklemenin artık sonucu açıklamamasıdır. Bir hedefe hâlâ doğrudan ulaşılıyorsa sorulacak soru hangi rotanın kazandığı değil, bir istisnanın onu kapsayıp kapsamadığıdır.

İstisnalar ayarın parçasıdır

Apple ana anahtarın yanında yerel ağları, Apple Push Notification trafiğini, hücresel hizmetleri ve cihaz iletişimini kapsayan birkaç istisna belgeler. Her birinin kendi platform ve sürüm koşulları vardır, bu yüzden aynı profil macOS sürümleri arasında farklı davranabilir.

Bu istisnaların bazıları doğaldır. Ağ erişimini kurmak ve sürdürmek için gereken, yakalama portalı işleyişi de dahil, trafiğe izin verilmelidir; aksi halde makine hiçbir yere bağlı olmayan ve bunu düzeltemeyen bir duruma düşebilir.

Sonra bilinçli seçimler gelir. Ev yazıcısına izin vermek, bir iş kaynağı önekine izin vermekle aynı karar değildir ve ikisi de APNs'i erişilebilir bırakıp bildirimlerin gelmeye devam etmesinden farklıdır. Hangilerini etkinleştirdiğinizi sonradan bir hata raporundan öğrenmek yerine profilin kendisine kaydedin.

Neden varsayılan rota ile aynı şey değil

Varsayılan rota bir yönlendirme tablosu girdisidir ve yönlendirme tabloları kaybeder. Daha belirgin bir önek onu yener, uygulama kapsamlı bir bağlantı onu atlayabilir ve daha iyi metrikli ikinci bir arayüz kimse VPN yapılandırmasına dokunmadan devralabilir.

Apple'ın yönlendirme kılavuzu ayrımı açıkça ortaya koyar: sıradan varsayılanlar daha belirgin rotalarla geçersiz kılınabilir, oysa daha geniş kapsam ayarı tünelin hangi trafiği taşıması gerektiğini ve neyin ondan ayrıldığını tanımlar. Biri bir tercihtir, diğeri bir kurala daha yakındır.

Bu fark, bir sızıntıyı nasıl teşhis ettiğinizi de değiştirir. Varsayılan rotada rotaları ve metrikleri incelersiniz. Kapsam anahtarında profil revizyonunu, yüklü istisnaları ve sürüme özgü davranışı incelersiniz, çünkü yönlendirme tablosu daha önce verilen bir kararın altındadır.

EnforceRoutes farklı bir düğmedir

EnforceRoutes aynı fikrin katı sürümü gibi kulağa gelir ve insanlar daha çok anahtarın daha çok kapsam demek olduğuna inanarak ikisini üst üste koyar. Apple, IncludeAllNetworks etkinken bunun yok sayıldığını belgeler, bu yüzden o kombinasyonda ikinci anahtar hiçbir şey kazandırmaz.

Onu daha geniş kapsamı kullanmayan yapılandırmalar için bir alternatif olarak görün, pekiştirme olarak değil. Her anahtarın kendi başına ne yaptığını açıklayamıyorsanız, ikisini birden eklemek profili yalnızca gözden geçirmesi daha zor hale getirir.

Ağ geçidi ile profil sahibinin ne üzerinde anlaşması gerekir

Bir istemci ayarı, sunucuyu hiç yapılandırılmadığı bir trafiği iletmeye zorlayamaz. Ağ geçidinin oturumu kabul etmesi, adres dağıtması, ulaşmayı amaçladığınız önekler için bir dönüş yolu sağlaması ve seçtiğiniz düzenlemeyle DNS sunması gerekir. Yalnızca tek bir öneki yönlendiriyorsa, geniş istemci kapsamı gelen ve ölen trafik üretir. Ağ geçidinin yönlendirdiği bir hedefin dışına yapılan tek bir istek bunu bir dakikada kanıtlar.

Uygulama sahipli bir tünel yine ayrı bir durumdur. Sağlayıcı desteklenen davranışı uygulamak veya açığa çıkarmak zorundadır; ikinci bir yerel IKEv2 profili yüklemek, başka bir uygulamanın zaten yönettiği bir tüneli değiştirmez ve bir IKEv2 anahtarı başka bir istemcinin okuyacağı bir OpenVPN yönergesi değildir.

Güncel anahtar listesi ve sürüm koşulları için birinin yıllar önce kopyaladığı bir profil yerine Apple'ın IKEv2 payload referansını okuyun.

Bir profil revizyonunu bir bütün olarak kabul edin

Uzaktan yönetilen bir Mac'i değiştirmeden önce hedef macOS sürümlerini, amaçlanan internet çıkışını, erişilebilir kalması gereken özel önekleri ve etkinleştirdiğiniz her istisnayı yazın. Sonra değiştirmek üzere olduğunuz tünele bağlı olmayan bir kurtarma yolu saklayın.

Yeni genel istekleri, özel istekleri, her iki adres ailesini ve ad çözümlemesini test edin ve tasarım dosyası yerine yüklü revizyonu denetleyin. Bir şey hâlâ doğrudan gidiyorsa, belgelenmiş bir istisna mı, farklı bir bağlantı bağlamı mı yoksa gerçek bir yapılandırma hatası mı olduğuna karar verin ve ilgisiz anahtarları genişletmek yerine bu üçünden birini değiştirin.