Rozsah provozu IKEv2 na iPhonu: kdo rozhoduje o pokrytí

Hledáte na iPhonu přepínač Odesílat veškerý provoz a on tam není. U nativního profilu IKEv2 určuje rozsah směrování profil, který byl doručen, nikoli ovládací prvek, který může uživatel přepnout, takže hledání chybějícího přepínače v Nastavení promarní odpoledne. Správný krok je vyžádat si od vlastníka profilu smlouvu o provozu písemně a poté ji ověřit skutečnými požadavky. Tato příručka to dělá v pěti krocích.

Získejte smlouvu písemně, než se podíváte na telefon

Čtyři výsledky vyžadují samostatné odpovědi: zda má prohlížení internetu používat bránu, zda to mají dělat jen soukromé zdroje, které místní sítě a systémové služby zůstávají mimo tunel a co se děje, dokud je tunel nedostupný. To jsou různé požadavky a uspokojují je různé klíče. Profil, který pokrývá vše, a profil, který pokrývá jednu podsíť, mohou na souhrnné obrazovce zařízení vypadat stejně.

Zjistěte také, komu profil patří. Pokud jej doručila služba správy, hodnoty žijí v té konzoli a ruční úprava v telefonu je v nejlepším případě dočasnou místní změnou. Pokud nikdo nedokáže vlastníka pojmenovat, považujte to za zjištění a skončete; odhadování pokrytí z telefonu neposkytne obhajitelnou odpověď.

Vyžádejte si čtyři hodnoty, které určují rozsah

Klíčem pokrytí je IncludeAllNetworks, podle Apple zavedený v iOS 14, a právě on způsobuje, že spojení nese provoz široce, ne jen na adresy, které vytlačuje brána. Místní výjimkou je ExcludeLocalNetworks, dostupná od iOS 14.2, a její dokumentovaná výchozí hodnota v iOS je 1, což se liší od výchozí hodnoty macOS 0. Ptejte se, jakou hodnotu nese každý klíč ve skutečném datovém zatížení, místo abyste předpokládali výchozí hodnotu platformy z příručky orientované na Mac.

Potom se ptejte na DNS, protože to, který resolver dostává soukromá a veřejná jména, je součástí stejné smlouvy a má vlastní požadavek na dosažitelnost. Tunel, který nese veškerý provoz, ale nechává soukromá jména u veřejného resolveru, bude každému uživateli, který napíše krátké jméno hostitele, připadat jako rozbitý tunel. Otestujte tento případ jako první, protože se nejsnáze reprodukuje a právě ten uživatelé hlásí jako rozbitou VPN.

Před schválením zkontrolujte minimální verzi

Každý z těchto klíčů má minimální vydání a profil nesoucí klíč, který nainstalovaný iOS nezná, není částečný úspěch. Dodatečné klíče výjimek pokrývající push oznámení a mobilní služby mají také své minimální verze, takže datové zatížení sestavené pro jednu flotilu se může na starší použít jen částečně. Zapište nainstalovanou verzi iOS vedle verze datového zatížení do záznamu o nasazení. Datové zatížení, které se použije částečně, je horší než to, které odmítne instalaci, protože zařízení hlásí tunel, o kterém nemůžete uvažovat.

Neinstalujte neidentifikovaný profil jen proto, abyste odhalili ovládací prvek, který sliboval snímek obrazovky ze staršího vydání. Pokud dodaná konfigurace klíč neobsahuje, klíč neplatí, ať souhrnná obrazovka naznačuje cokoli.

Ověřujte provozem, ne polohou přepínače

Po zřízení otevřete zamýšlený soukromý zdroj a běžnou veřejnou stránku a potvrďte, že oba jdou cestou, kterou smlouva popisuje. Poté přepněte telefon na mobilní síť, zopakujte obojí a zkontrolujte chování, které jste zdokumentovali pro nedostupný případ, místo abyste si ho během testu vymýšleli. Zahrňte jeden povolený přechod z Wi-Fi na mobilní síť, protože právě tam se profil s úzkým rozsahem obvykle ukáže.

Nechte spravované nasazení Always On pod dohledem mimo toto srovnání. Automatická aktivace a široké směrování na osobním profilu tuto spravovanou politiku neprokazují a opak je také pravda. Testujte jedno uspořádání po druhém na jednom zařízení, protože telefon se dvěma profily VPN zkreslí každý výsledek, který shromáždíte.

Vraťte se ke známému profilu

Když je chování špatné, odeberte profil a přeinstalujte poslední známé dobré datové zatížení, místo abyste na zařízení upravovali klíče. Poté potvrďte, že předchozí pokrytí je skutečně zpět, zopakováním stejných dvou požadavků. Vrácení, které obnoví profil, ale ne směrování, není vrácení a objeví ho uživatel, ne test.

Uložte verzi datového zatížení, čtyři hodnoty a výsledek ověření společně, aby další změna začínala z zdokumentované základny, a ne ze snímku obrazovky.