IKEv2 op iPhone: wie bepaal die verkeersdekking

Jy soek na 'n skakelaar Stuur alle verkeer op 'n iPhone, en dit is nie daar nie. By 'n inheemse IKEv2-profiel word die roeteringsomvang deur die profiel bepaal wat afgelewer is, nie deur 'n beheer wat die gebruiker kan omdraai nie; om dus deur Instellings te soek vir die vermiste skakelaar mors 'n middag. Die regte stap is om die verkeerskontrak skriftelik by die profieleienaar te vra en dit dan met werklike versoeke te verifieer. Hierdie draaiboek doen dit in vyf stappe.

Kry die kontrak skriftelik voordat jy na die selfoon kyk

Vier uitkomste het afsonderlike antwoorde nodig: of internetblaaiing die poort moet gebruik, of slegs private hulpbronne dit moet doen, watter plaaslike netwerke en stelseldienste buite die tonnel bly, en wat gebeur terwyl die tonnel onbeskikbaar is. Dit is verskillende vereistes, en hulle word deur verskillende sleutels bevredig. 'n Profiel wat alles dek en 'n profiel wat een subnet dek, kan op die toestel se oorsigskerm identies lyk.

Stel ook vas wie die profiel besit. As dit deur 'n bestuurdienst afgelewer is, woon die waardes in daardie konsole, en 'n handmatige wysiging op die selfoon is hoogstens 'n tydelike plaaslike verandering. As niemand die eienaar kan noem nie, beskou dit as die bevinding en stop; om die dekking van die selfoon af te raai sal nie 'n verdedigbare antwoord lewer nie.

Vra vir die vier waardes wat die omvang bepaal

Die dekking-sleutel is IncludeAllNetworks, volgens Apple ingevoer in iOS 14, en dit is wat die verbinding breedweg verkeer laat dra eerder as net na die adresse wat die poort stuur. Die plaaslike uitsondering is ExcludeLocalNetworks, beskikbaar vanaf iOS 14.2, en die gedokumenteerde iOS-verstekwaarde daarvan is 1, wat verskil van die macOS-verstek van 0. Vra watter waarde elke sleutel in die werklike vrag dra, eerder as om 'n platformverstek uit 'n Mac-georiënteerde gids te aanvaar.

Vra dan oor DNS, want watter resolusieprogram private en publieke name ontvang, is deel van dieselfde kontrak en het sy eie bereikbaarheidsvereiste. 'n Tonnel wat alle verkeer dra maar private name by 'n publieke resolusieprogram laat, sal vir elke gebruiker wat 'n kort gasheernaam tik soos 'n stukkende tonnel lyk. Toets daardie geval eerste, want dit is die goedkoopste een om te reproduseer en die een wat gebruikers aanmeld as die VPN wat stukkend is.

Kontroleer die weergawe-vloer voordat jy afteken

Elkeen van hierdie sleutels het 'n minimum vrystelling, en 'n profiel wat 'n sleutel dra wat die geïnstalleerde iOS nie ken nie, is nie 'n gedeeltelike sukses nie. Bykomende uitsonderingsleutels wat stootkennisgewings en sellulêre dienste dek, het ook hul eie vloere, so 'n vrag wat vir een vloot saamgestel is, kan op 'n ouer een half toegedien word. Teken die geïnstalleerde iOS-weergawe langs die vragweergawe in die ontplooiingsrekord aan. 'n Vrag wat half toegedien word, is slegter as een wat weier om te installeer, want die toestel rapporteer 'n tonnel waaroor jy nie kan redeneer nie.

Moenie 'n ongeïdentifiseerde profiel installeer net om 'n beheer te onthul wat 'n skermskoot van 'n ouer vrystelling belowe het nie. As die verskafde konfigurasie nie 'n sleutel bevat nie, is die sleutel nie van krag nie, wat die oorsigskerm ook al voorstel.

Verifieer met verkeer, nie met 'n skakelaarposisie nie

Nadat die profiel verskaf is, maak die beoogde private hulpbron en 'n gewone publieke bladsy oop, en bevestig dat albei die pad volg wat die kontrak beskryf. Sit die selfoon dan op sellulêr, herhaal albei, en kontroleer die gedrag wat jy vir die onbeskikbare geval gedokumenteer het eerder as om dit tydens die toets te bedink. Sluit een toegelate oorgang van Wi-Fi na sellulêr in, want dit is waar 'n profiel met 'n smal omvang homself gewoonlik wys.

Hou 'n bestuurde Always On-ontplooiing onder toesig uit hierdie vergelyking. Outomatiese aktivering en breë roetering op 'n persoonlike profiel bewys nie daardie bestuursbeleid nie, en die omgekeerde is ook waar. Toets een reëling op 'n slag op een toestel, want 'n selfoon met twee VPN-profiele sal elke resultaat wat jy versamel vertroebel.

Rol terug na 'n bekende profiel

Wanneer die gedrag verkeerd is, verwyder die profiel en herinstalleer die laaste bekende-goeie vrag eerder as om sleutels op die toestel te wysig. Bevestig dan dat die vorige dekking werklik terug is deur dieselfde twee versoeke te herhaal. 'n Terugrol wat die profiel maar nie die roetering herstel nie, is nie 'n terugrol nie, en dit sal deur 'n gebruiker ontdek word eerder as deur die toets.

Lê die vragweergawe, die vier waardes en die verifikasieresultaat saam in 'n lêer, sodat die volgende verandering van 'n gedokumenteerde basislyn begin eerder as van 'n skermskoot.