Аб'ём трафіку IKEv2 на iPhone: хто вырашае пакрыццё

Вы шукаеце перамыкач адпраўкі ўсяго трафіку на iPhone, і яго там няма. У натыўным профілі IKEv2 абсяг маршрутызацыі вызначае профіль, які быў дастаўлены, а не элемент кіравання, які карыстальнік можа пераключыць, таму пошук адсутнага перамыкача ў Наладах марнуе пасляабедзенны час. Правільны крок — запытаць ва ўладальніка профілю дагавор аб трафіку ў пісьмовым выглядзе, а затым праверыць яго рэальнымі запытамі. Гэтае кіраўніцтва робіць гэта ў пяць крокаў.

Атрымайце дагавор у пісьмовым выглядзе, перш чым глядзець на тэлефон

Чатыры вынікі патрабуюць асобных адказаў: ці павінен прагляд інтэрнэту выкарыстоўваць шлюз, ці гэта павінны рабіць толькі прыватныя рэсурсы, якія лакальныя сеткі і сістэмныя службы застаюцца па-за тунелем, і што адбываецца, пакуль тунель недаступны. Гэта розныя патрабаванні, і іх задавальняюць розныя ключы. Профіль, які ахоплівае ўсё, і профіль, які ахоплівае адну падсетку, могуць выглядаць аднолькава на экране зводкі прылады.

Таксама вызначце, каму належыць профіль. Калі ён быў дастаўлены службай кіравання, значэнні жывуць у той кансолі, а ручная праўка на тэлефоне ў лепшым выпадку з'яўляецца часовай лакальнай зменай. Калі ніхто не можа назваць уладальніка, лічыце гэта знаходкай і спыніцеся; здагадкі аб пакрыцці з тэлефона не дадуць адказу, які можна абараніць.

Запытайце чатыры значэнні, якія вызначаюць абсяг

Ключ пакрыцця — IncludeAllNetworks, паводле Apple уведзены ў iOS 14, і менавіта ён прымушае злучэнне несці трафік шырока, а не толькі да адрасоў, якія штурхае шлюз. Лакальнае выключэнне — ExcludeLocalNetworks, даступнае з iOS 14.2, і яго дакументаванае значэнне па змаўчанні ў iOS — 1, што адрозніваецца ад значэння па змаўчанні macOS — 0. Спытайце, якое значэнне нясе кожны ключ у фактычнай нагрузцы, замест таго каб меркаваць платформеннае значэнне па змаўчанні з дапаможніка, арыентаванага на Mac.

Затым спытайце пра DNS, бо тое, які рэзалвер атрымлівае прыватныя і публічныя імёны, з'яўляецца часткай таго ж дагавора і мае ўласнае патрабаванне дасяжнасці. Тунель, які нясе ўвесь трафік, але пакідае прыватныя імёны ў публічнага рэзалвера, будзе выглядаць як зламаны тунель для кожнага карыстальніка, які ўводзіць кароткае імя хоста. Праверце гэты выпадак першым, бо яго найтанней узнавіць і менавіта яго карыстальнікі паведамляюць як зламаны VPN.

Праверце мінімальную версію, перш чым падпісваць

Кожны з гэтых ключоў мае мінімальны выпуск, і профіль, які нясе ключ, невядомы ўсталяванай iOS, не з'яўляецца частковым поспехам. Дадатковыя ключы выключэнняў, што ахопліваюць push-апавяшчэнні і сотавыя службы, таксама маюць уласныя мінімумы, таму нагрузка, сабраная для аднаго парку, можа прымяніцца часткова на старэйшым. Запішыце ўсталяваную версію iOS побач з версіяй нагрузкі ў запісе разгортвання. Нагрузка, якая прымяняецца часткова, горш за тую, што адмаўляецца ўсталёўвацца, бо прылада паведамляе пра тунель, пра які вы не можаце разважаць.

Не ўсталёўвайце неапазнаны профіль толькі каб выявіць элемент кіравання, які абяцаў здымак экрана са старэйшага выпуску. Калі прадастаўленая канфігурацыя не ўтрымлівае ключа, ключ не дзейнічае, што б ні прапаноўваў экран зводкі.

Правярайце трафікам, а не палажэннем перамыкача

Пасля разгортвання адкрыйце прызначаны прыватны рэсурс і звычайную публічную старонку і пацвердзіце, што абодва ідуць шляхам, апісаным у дагаворы. Затым перавядзіце тэлефон на сотавую сетку, паўтарыце абодва і праверце паводзіны, якія вы задокументавалі для недаступнага выпадку, замест таго каб прыдумаць іх падчас тэсту. Уключыце адзін дазволены пераход з Wi-Fi на сотавую сетку, бо менавіта там профіль з вузкім абсягам звычайна сябе паказвае.

Трымайце кіраванае разгортванне Always On пад наглядам па-за гэтым параўнаннем. Аўтаматычная актывацыя і шырокая маршрутызацыя на асабістым профілі не ўстанаўліваюць гэтую кіраваную палітыку, і адваротнае таксама праўдзіва. Тэстуйце адну схему за раз на адной прыладзе, бо тэлефон з двума профілямі VPN зблытае кожны вынік, які вы збярэце.

Адкот да вядомага профілю

Калі паводзіны няправільныя, выдаліце профіль і пераўсталюйце апошнюю вядомую добрую нагрузку, замест таго каб рэдагаваць ключы на прыладзе. Затым пацвердзіце, што папярэдняе пакрыццё сапраўды вярнулася, паўтарыўшы тыя ж два запыты. Адкот, які аднаўляе профіль, але не маршрутызацыю, не з'яўляецца адкотам, і яго выявіць карыстальнік, а не тэст.

Злажыце версію нагрузкі, чатыры значэнні і вынік праверкі разам, каб наступная змена пачыналася з задокументаванай базавай лініі, а не са здымка экрана.