Обхват на трафика при IKEv2 на iPhone: кой решава покритието

Търсите превключвател за изпращане на целия трафик на iPhone и той не съществува. При роден профил IKEv2 обхватът на маршрутизиране се решава от доставения профил, а не от управляващ елемент, който потребителят може да превключи, затова търсенето в Настройки на липсващия превключвател похабява следобеда. Правилният ход е да поискате от собственика на профила договора за трафика писмено и след това да го проверите с реални заявки. Това ръководство прави точно това в пет стъпки.

Вземете договора писмено, преди да погледнете телефона

Четири резултата изискват отделни отговори: дали интернет сърфирането трябва да използва шлюза, дали това трябва да правят само частните ресурси, кои локални мрежи и системни услуги остават извън тунела и какво се случва, докато тунелът е недостъпен. Това са различни изисквания и се удовлетворяват от различни ключове. Профил, който покрива всичко, и профил, който покрива една подмрежа, могат да изглеждат еднакво на екрана с обобщение на устройството.

Установете също кой притежава профила. Ако е доставен от услуга за управление, стойностите живеят в онази конзола и ръчна редакция на телефона е в най-добрия случай временна локална промяна. Ако никой не може да назове собственика, приемете това за находката и спрете; догадките за покритието от телефона няма да дадат защитим отговор.

Поискайте четирите стойности, които решават обхвата

Ключът за покритие е IncludeAllNetworks, документиран от Apple като въведен в iOS 14, и именно той кара връзката да носи трафик широко, а не само към адресите, които шлюзът изпраща. Локалното изключение е ExcludeLocalNetworks, налично от iOS 14.2, и документираната му стойност по подразбиране за iOS е 1, което се различава от стойността по подразбиране за macOS — 0. Питайте каква стойност носи всеки ключ в действителния товар, вместо да предполагате платформена стойност по подразбиране от ръководство, ориентирано към Mac.

След това питайте за DNS, защото кой резолвер получава частните и публичните имена е част от същия договор и има свое изискване за достъпност. Тунел, който носи целия трафик, но оставя частните имена при публичен резолвер, ще изглежда като счупен тунел за всеки потребител, който въведе кратко име на хост. Тествайте този случай първи, защото е най-евтиният за възпроизвеждане и точно него потребителите съобщават като счупен VPN.

Проверете минималната версия, преди да подпишете

Всеки от тези ключове има минимално издание и профил с ключ, който инсталираната iOS не познава, не е частичен успех. Допълнителните ключове за изключване, покриващи push известия и клетъчни услуги, също имат свои минимуми, така че товар, сглобен за един парк, може да се приложи частично на по-стар. Запишете инсталираната версия на iOS до версията на товара в записа за внедряване. Товар, който се прилага частично, е по-лош от такъв, който отказва инсталация, защото устройството съобщава за тунел, за който не можете да разсъждавате.

Не инсталирайте неидентифициран профил само за да разкриете управляващ елемент, който е обещавала екранна снимка от по-старо издание. Ако предоставената конфигурация не включва ключ, ключът не е в сила, каквото и да подсказва екранът с обобщение.

Проверявайте с трафик, а не с позиция на превключвател

След осигуряването отворете предвидения частен ресурс и обикновена публична страница и потвърдете, че и двете поемат пътя, описан в договора. След това сложете телефона на клетъчна мрежа, повторете двете и проверете поведението, което сте документирали за недостъпния случай, вместо да го измисляте по време на теста. Включете един разрешен преход от Wi-Fi към клетъчна мрежа, защото точно там профил с тесен обхват обикновено се показва.

Дръжте управлявано внедряване Always On под надзор извън това сравнение. Автоматичното активиране и широкото маршрутизиране на личен профил не установяват тази управлявана политика и обратното също е вярно. Тествайте една подредба наведнъж на едно устройство, защото телефон с два VPN профила ще обърка всеки резултат, който съберете.

Върнете се към известен профил

Когато поведението е грешно, премахнете профила и преинсталирайте последния известен добър товар, вместо да редактирате ключове на устройството. След това потвърдете, че предишното покритие наистина се е върнало, като повторите същите две заявки. Връщане, което възстановява профила, но не и маршрутизирането, не е връщане и ще бъде открито от потребител, а не от теста.

Съхранете версията на товара, четирите стойности и резултата от проверката заедно, за да започне следващата промяна от документирана базова линия, а не от екранна снимка.