Abast del trànsit IKEv2 a l’iPhone: qui decideix la cobertura

Busques un commutador Envia tot el trànsit a l’iPhone i no hi és. En un perfil IKEv2 natiu, l’abast de l’encaminament el decideix el perfil que s’ha lliurat, no un control que l’usuari pugui canviar, així que buscar el commutador que falta per Configuració fa perdre una tarda. El moviment correcte és demanar al propietari del perfil el contracte del trànsit per escrit i després verificar-lo amb sol·licituds reals. Aquesta guia ho fa en cinc passos.

Aconsegueix el contracte per escrit abans de mirar el telèfon

Quatre resultats necessiten respostes separades: si la navegació per internet ha de fer servir la passarel·la, si només ho han de fer els recursos privats, quines xarxes locals i serveis del sistema queden fora del túnel, i què passa mentre el túnel no està disponible. Són requisits diferents i els satisfan claus diferents. Un perfil que ho cobreix tot i un perfil que cobreix una sola subxarxa poden semblar idèntics a la pantalla de resum del dispositiu.

Estableix també qui és el propietari del perfil. Si l’ha lliurat un servei de gestió, els valors viuen en aquella consola i una edició manual al telèfon és com a màxim un canvi local temporal. Si ningú no pot dir el nom del propietari, tracta-ho com la troballa i atura't; endevinar la cobertura des del telèfon no produirà una resposta defensable.

Demana els quatre valors que decideixen l’abast

La clau de cobertura és IncludeAllNetworks, documentada per Apple com a introduïda a iOS 14, i és el que fa que la connexió porti trànsit de manera àmplia i no només cap a les adreces que envia la passarel·la. L’excepció local és ExcludeLocalNetworks, disponible des d’iOS 14.2, i el seu valor predeterminat documentat a iOS és 1, que difereix del predeterminat de macOS, 0. Pregunta quin valor porta cada clau a la càrrega real en lloc de suposar un predeterminat de plataforma a partir d’una guia pensada per a Mac.

Després pregunta pel DNS, perquè quin resolutor rep els noms privats i públics forma part del mateix contracte i té el seu propi requisit d’abastabilitat. Un túnel que porta tot el trànsit però deixa els noms privats a un resolutor públic semblarà un túnel trencat a cada usuari que escrigui un nom d’amfitrió curt. Prova aquest cas primer, perquè és el més barat de reproduir i el que els usuaris denuncien com la VPN que no funciona.

Comprova el mínim de versió abans de signar

Cada una d’aquestes claus té una versió mínima, i un perfil que porta una clau que l’iOS instal·lat no coneix no és un èxit parcial. Les claus d’exclusió addicionals que cobreixen notificacions push i serveis mòbils també tenen els seus mínims, així que una càrrega muntada per a una flota pot aplicar-se parcialment en una de més antiga. Anota la versió d’iOS instal·lada al costat de la versió de la càrrega al registre de desplegament. Una càrrega que s’aplica parcialment és pitjor que una que es nega a instal·lar-se, perquè el dispositiu informa d’un túnel sobre el qual no pots raonar.

No instal·lis un perfil no identificat només per revelar un control que prometia una captura de pantalla d’una versió anterior. Si la configuració subministrada no inclou una clau, la clau no és efectiva, digui el que digui la pantalla de resum.

Verifica amb trànsit, no amb la posició d’un commutador

Després de l’aprovisionament, obre el recurs privat previst i una pàgina pública corrent, i confirma que tots dos segueixen el camí que descriu el contracte. Després posa el telèfon a la xarxa mòbil, repeteix tots dos i comprova el comportament que has documentat per al cas no disponible en lloc d’inventar-lo durant la prova. Inclou una transició permesa de Wi-Fi a xarxa mòbil, perquè és on un perfil d’abast estret normalment es mostra.

Mantén un desplegament Always On gestionat i supervisat fora d’aquesta comparació. L’activació automàtica i l’encaminament ampli en un perfil personal no estableixen aquesta política gestionada, i el contrari també és cert. Prova un arranjament alhora en un sol dispositiu, perquè un telèfon amb dos perfils VPN confondrà cada resultat que recullis.

Torna a un perfil conegut

Quan el comportament és incorrecte, elimina el perfil i reinstal·la l’última càrrega bona coneguda en lloc d’editar claus al dispositiu. Després confirma que la cobertura anterior ha tornat realment repetint les mateixes dues sol·licituds. Una reversió que restaura el perfil però no l’encaminament no és una reversió, i la descobrirà un usuari i no la prova.

Arxiva la versió de la càrrega, els quatre valors i el resultat de la verificació junts, perquè el proper canvi comenci des d’una línia base documentada i no des d’una captura de pantalla.