Mac IKEv2 profilida IncludeAllNetworks nima qiladi?

Mahalliy IKEv2 profilida qiziqarli kalit katakcha emas, IncludeAllNetworks, va u o'zgartiradigan narsa — tizimga tunnel tashqarisiga nima yuborishga ruxsat berilganligi doirasi. Uni 1 ga qo'ysangiz, macOS tunnelni deyarli barcha IP trafigi uchun yo'l deb hisoblaydi, faqat u belgilaydigan va siz kengaytirishingiz mumkin bo'lgan istisnolar to'plamidan tashqari. U menyuda emas, profil lug'atida yashagani uchun, barcha trafikni yuborish iborasini o'qigan ko'pchilik o'ylagan ma'noni ham bermaydi.

Kalit tarmoq stekining ichida nimani o'zgartiradi

Usiz tunnel marshrutlari biriktirilgan tarmoq interfeysi kabi ishlaydi. Shu interfeys orqali o'tadigan standart marshrut trafikning ko'p qismini ushlaydi, boshqa interfeysdagi aniqroq marshrut esa o'z prefiksi uchun baribir yutadi. Bu oddiy marshrutlash va bo'lingan tunnellash deyarli tasodifan yuz berishining sababi ham shu.

Kalit yoqilganda doira marshrutlash afzalligi bo'lishdan to'xtaydi va tunnel bo'lmagan har qanday narsa orqali qaysi trafik chiqishiga ruxsat berilgani haqidagi siyosatga aylanadi. Tizim ulanishni tirik saqlash uchun tarmoqqa baribir yetib borishi kerak, shuning uchun siyosat istisnolar bilan birga keladi, ular yo'q deb ko'rsatmaydi. Uni yoqish mashinani hech qachon butunlay ishlaydigan yo'lsiz qoldirmaydi. Siz oladigan narsa — o'ylaganingizdan qisqaroq yo'llar ro'yxati va bu ro'yxat hujjatlashtirilgan.

Amaliy natija shundaki, marshrut qo'shish endi natijani tushuntirmaydi. Agar manzilga hali ham to'g'ridan-to'g'ri yetib borilsa, savol qaysi marshrut yutgani emas, balki uni istisno qoplaydimi.

Istisnolar sozlamaning bir qismi

Apple asosiy kalit yonida bir nechta istisnolarni hujjatlashtiradi: mahalliy tarmoqlar, Apple Push Notification trafigi, uyali xizmatlar va qurilma aloqasi. Har birining o'z platformasi va versiya shartlari bor, shuning uchun bir xil profil macOS relizlarida boshqacha ishlashi mumkin.

Bu istisnolarning ba'zilari tabiiy. Tarmoqqa kirishni o'rnatish va saqlash uchun kerakli trafik, jumladan tutqich portal bilan ishlash ham, ruxsat etilishi kerak, aks holda mashina hech narsaga ulanmagan va buni tuzata olmaydigan holatga tushishi mumkin.

Keyin ongli tanlovlar keladi. Uy printeriga ruxsat berish ish resursi prefiksiga ruxsat berish bilan bir xil qaror emas va ikkalasi ham APNs ni ochiq qoldirib bildirishnomalar kelishidan farq qiladi. Qaysilarini yoqqaningizni keyinroq xato hisobotidan bilib olmasdan, profilning o'ziga yozib qo'ying.

Nega bu standart marshrut bilan bir xil emas

Standart marshrut marshrutlash jadvalining yozuvi va marshrutlash jadvallari yutqazadi. Aniqroq prefiks uni yengadi, ilova doirasidagi ulanish uni chetlab o'tishi mumkin, yaxshiroq metrikali ikkinchi interfeys esa VPN konfiguratsiyasiga hech kim tegmasdan boshqaruvni olishi mumkin.

Apple marshrutlash bo'yicha yo'riqnomasi farqni aniq ko'rsatadi: oddiy standart marshrutlarni aniqroq marshrutlar bekor qilishi mumkin, kengroq qamrov sozlamasi esa tunnel qaysi trafikni tashishi va undan nima ajratilishini belgilaydi. Biri afzallik, ikkinchisi qoidaga yaqinroq.

Bu farq oqishni qanday tashxislashingizni ham o'zgartiradi. Standart marshrut bilan siz marshrutlar va metrikalarni ko'rasiz. Qamrov kaliti bilan profil reviziyasini, o'rnatilgan istisnolarni va versiyaga xos xatti-harakatni ko'rasiz, chunki marshrutlash jadvali avvalroq qabul qilingan qarordan keyin turadi.

EnforceRoutes boshqa tugma

EnforceRoutes xuddi shu g'oyaning qat'iy versiyasi kabi eshitiladi va odamlar ko'proq kalit ko'proq qamrov degan ishonch bilan ikkalasini ustma-ust qo'yadi. Apple IncludeAllNetworks yoqilganda unga e'tibor berilmasligini hujjatlashtiradi, shuning uchun bu kombinatsiyada ikkinchi kalit hech narsa bermaydi.

Uni kengroq qamrovdan foydalanmaydigan konfiguratsiyalar uchun muqobil deb biling, mustahkamlash deb emas. Har bir kalitning o'zi nima qilishini tushuntira olmasangiz, ikkalasini qo'shish profilni ko'rib chiqishni faqat qiyinlashtiradi.

Shlyuz va profil egasi nimada kelishishi kerak

Mijoz sozlamasi serverni hech qachon uzatishga sozlanmagan trafikni uzatishga majburlay olmaydi. Shlyuz sessiyani qabul qilishi, manzillar berishi, yetib bormoqchi bo'lgan prefikslaringiz uchun qaytish yo'lini ta'minlashi va siz tanlagan tartibda DNS xizmatini ko'rsatishi kerak. Agar u faqat bitta prefiksni marshrutlasa, mijozning keng doirasi kelib o'ladigan trafik hosil qiladi. Shlyuz marshrutlaydigan manzildan tashqariga bitta so'rov buni bir daqiqada isbotlaydi.

Ilovaga tegishli tunnel yana alohida holat. Provayder qo'llab-quvvatlanadigan xatti-harakatni amalga oshirishi yoki ochishi kerak; ikkinchi mahalliy IKEv2 profilini o'rnatish boshqa ilova allaqachon boshqarayotgan tunnelni o'zgartirmaydi va IKEv2 kaliti boshqa mijoz o'qiydigan OpenVPN ko'rsatmasi emas.

Joriy kalitlar ro'yxati va versiya shartlari uchun kimningdir yillar oldin ko'chirgan profili o'rniga Apple'ning IKEv2 payload ma'lumotnomasini o'qing.

Profil reviziyasini butun holda qabul qiling

Masofadan boshqariladigan Mac ni o'zgartirishdan oldin maqsadli macOS versiyalarini, mo'ljallangan internet chiqishini, ochiq qolishi kerak bo'lgan xususiy prefikslarni va yoqayotgan har bir istisnoni yozib oling. So'ngra o'zgartirmoqchi bo'lgan tunnelingizga bog'liq bo'lmagan tiklanish yo'lini saqlang.

Yangi ommaviy so'rovlarni, xususiy so'rovlarni, ikkala manzil oilasini va nom hal qilinishini sinab ko'ring, hamda dizayn fayli emas, o'rnatilgan reviziyani tekshiring. Agar biror narsa hali ham to'g'ridan-to'g'ri ketayotgan bo'lsa, bu hujjatlashtirilgan istisnomi, boshqa ulanish kontekstimi yoki haqiqiy konfiguratsiya xatosimi — qaror qiling va aloqasiz kalitlarni kengaytirish o'rniga shu uchtadan birini o'zgartiring.