Queríamos actualizar nuestras conexiones L2TP existentes a IKEv2 para conectarnos a nuestros servidores corporativos. El problema es el siguiente:
Con L2TP, sólo el rango IP asignado se enruta a través del túnel, porque la opción de "Enviar todo el tráfico a través de la conexión VP" está desactivada y la orden de servicio es bastante baja. Aquí hay un extracto de la tabla de enrutamiento:
Routing tables
Internet:
Destination Gateway Flags Refs Use Netif Expire
default 192.168.123.254 UGSc 99 0 en0
default link#17 UCSI 0 0 ppp0
10 ppp0 USc 0 0 ppp0
10.1.102.55 10.1.102.56 UH 1 0 ppp0 Con IKEv2, en cambio, no existe la opción "Enviar todo el tráfico a través de la conexión VP", y la interfaz ni siquiera aparece en "Establecer orden de servicio". No queremos enrutar todo el tráfico de Internet a través de la conexión VPN, sólo el rango asignado a la interfaz. Aquí hay un extracto de la tabla de enrutamiento:
Routing tables
Internet:
Destination Gateway Flags Refs Use Netif Expire
default link#15 UCS 60 0 ipsec0
default 192.168.123.254 UGScI 21 0 en0
1.2.3.4 link#15 UHW3I 0 0 ipsec0 88
10.1.102.57 10.1.102.57 UH 0 0 ipsec0
23.97.215.12 link#15 UHWIi 20 351 ipsec0 Como se puede ver, no sólo la interfaz IKEv2 se ha convertido en la interfaz principal, sino que también se ha convertido en la puerta de enlace principal para la mayoría de las rutas de la tabla (redactado aquí para facilitar la lectura). No sé si esta es una "característica" incorporada en MacOS, pero como mínimo es indeseable.
¿Alguien tiene alguna idea sobre cómo cambiar o evitar este comportamiento (ya sea del lado del cliente o del servidor)?
PD También tenemos clientes Windows que usan IKEv2 sin problema porque la opción "Usar puerta de enlace predeterminada en la red remota" está desmarcada. El servidor al que nos conectamos es un Windows Server 2016 con el rol RRAS instalado, configurado como cliente RADIUS a nuestra máquina aislada DC-AC.
