IKEv2-trafikomfang på iPhone: hvem ejer dækningsbeslutningen

Du leder efter en kontakt til Send al trafik på en iPhone, og den findes ikke. På en native IKEv2-profil afgøres routingomfanget af den profil, der blev leveret, ikke af en knap som brugeren kan trykke på, så jagten gennem Indstillinger efter den manglende kontakt spilder en eftermiddag. Det rigtige træk er at bede profilens ejer om trafikaftalen på skrift og derefter verificere den med rigtige forespørgsler. Denne kørebog gør det i fem trin.

Få aftalen på skrift, før du ser på telefonen

Fire udfald kræver hver sit svar: om internetbrowsing skal bruge gatewayen, om det kun er private ressourcer, der skal det, hvilke lokale netværk og systemtjenester der bliver uden for tunnelen, og hvad der sker, mens tunnelen er utilgængelig. Det er forskellige krav, og de opfyldes af forskellige nøgler. En profil, der dækker alt, og en profil, der dækker et enkelt subnet, kan se identiske ud på enhedens oversigtsskærm.

Fastslå også, hvem der ejer profilen. Hvis den blev leveret af en styringstjeneste, lever værdierne i den konsol, og en håndredigering på telefonen er i bedste fald en midlertidig lokal ændring. Hvis ingen kan navngive ejeren, skal du behandle det som fundet og stoppe; at gætte på dækningen fra telefonen giver ikke et svar, der kan forsvares.

Bed om de fire værdier, der afgør omfanget

Dækningsnøglen er IncludeAllNetworks, som Apple dokumenterer blev indført i iOS 14, og det er den, der får forbindelsen til at bære trafik bredt i stedet for kun til de adresser, gatewayen skubber ud. Den lokale undtagelse er ExcludeLocalNetworks, tilgængelig fra iOS 14.2, og dens dokumenterede iOS-standardværdi er 1, hvilket adskiller sig fra macOS-standarden på 0. Spørg, hvilken værdi hver nøgle bærer i den faktiske nyttelast, i stedet for at antage en platformstandard fra en Mac-orienteret vejledning.

Spørg derefter til DNS, for hvilken resolver der modtager private og offentlige navne er en del af samme aftale og har sit eget tilgængelighedskrav. En tunnel, der bærer al trafik, men efterlader private navne hos en offentlig resolver, vil se ud som en brudt tunnel for enhver bruger, der skriver et kort værtsnavn. Test det tilfælde først, fordi det er det billigste at genskabe, og det er det, brugerne rapporterer som en VPN, der er brudt.

Kontroller versionsgulvet, før du godkender

Hver af disse nøgler har en minimumsudgivelse, og en profil, der bærer en nøgle, som den installerede iOS ikke kender, er ikke en delvis succes. Yderligere undtagelsesnøgler, der dækker push-meddelelser og mobiltjenester, har også deres egne gulve, så en nyttelast sammensat til én flåde kan delvist blive anvendt på en ældre. Notér den installerede iOS-version ved siden af nyttelastversionen i udrulningsregistret. En nyttelast, der kun anvendes delvist, er værre end en, der nægter at installere, fordi enheden rapporterer en tunnel, du ikke kan ræsonnere om.

Installer ikke en uidentificeret profil blot for at afsløre en kontrol, som et skærmbillede fra en ældre udgivelse lovede. Hvis den leverede konfiguration ikke indeholder en nøgle, er nøglen ikke i kraft, uanset hvad oversigtsskærmen antyder.

Verificer med trafik, ikke med en kontaktposition

Efter klargøringen åbner du den tilsigtede private ressource og en almindelig offentlig side og bekræfter, at begge tager den vej, aftalen beskriver. Sæt derefter telefonen på mobilt netværk, gentag begge, og kontroller den adfærd, du dokumenterede for det utilgængelige tilfælde, i stedet for at opfinde den under testen. Medtag én tilladt overgang fra Wi-Fi til mobilt netværk, for det er der, en profil med et snævert omfang som regel viser sig.

Hold en superviseret administreret Always On-udrulning ude af denne sammenligning. Automatisk aktivering og bred routing på en personlig profil fastslår ikke den administrerede politik, og det omvendte er også sandt. Test ét arrangement ad gangen på én enhed, fordi en telefon med to VPN-profiler vil forvirre hvert resultat, du indsamler.

Rul tilbage til en kendt profil

Når adfærden er forkert, fjern profilen, og geninstaller den sidste kendte gode nyttelast i stedet for at redigere nøgler på enheden. Bekræft derefter, at den tidligere dækning virkelig er tilbage, ved at gentage de samme to forespørgsler. En tilbagerulning, der gendanner profilen, men ikke routing, er ikke en tilbagerulning, og den vil blive opdaget af en bruger og ikke af testen.

Arkivér nyttelastversionen, de fire værdier og verifikationsresultatet sammen, så den næste ændring starter fra en dokumenteret basislinje i stedet for et skærmbillede.