IKEv2-Verkehrsumfang auf dem iPhone: wer über die Abdeckung entscheidet

Sie suchen auf einem iPhone nach einem Schalter Alle Daten senden, und er ist nicht da. Bei einem nativen IKEv2-Profil entscheidet das gelieferte Profil über den Routingumfang, nicht ein Bedienelement, das der Nutzer umlegen kann, deshalb verschwendet die Suche in den Einstellungen nach dem fehlenden Schalter einen Nachmittag. Der richtige Schritt ist, beim Profilinhaber den Verkehrsvertrag schriftlich anzufordern und ihn dann mit echten Anfragen zu überprüfen. Dieses Runbook tut das in fünf Schritten.

Holen Sie den Vertrag schriftlich, bevor Sie auf das Telefon schauen

Vier Ergebnisse brauchen getrennte Antworten: ob das Surfen im Internet das Gateway nutzen soll, ob das nur private Ressourcen tun sollen, welche lokalen Netze und Systemdienste außerhalb des Tunnels bleiben und was passiert, solange der Tunnel nicht verfügbar ist. Das sind unterschiedliche Anforderungen, und unterschiedliche Schlüssel erfüllen sie. Ein Profil, das alles abdeckt, und ein Profil, das ein einzelnes Subnetz abdeckt, können auf dem Übersichtsbildschirm des Geräts identisch aussehen.

Klären Sie außerdem, wem das Profil gehört. Wurde es von einem Verwaltungsdienst geliefert, leben die Werte in jener Konsole, und eine Handänderung am Telefon ist bestenfalls eine vorübergehende lokale Änderung. Kann niemand den Inhaber benennen, behandeln Sie das als Befund und hören Sie auf; Raten über die Abdeckung vom Telefon aus liefert keine belastbare Antwort.

Fragen Sie nach den vier Werten, die den Umfang bestimmen

Der Abdeckungsschlüssel ist IncludeAllNetworks, laut Apple eingeführt in iOS 14, und er ist es, der die Verbindung Verkehr breit tragen lässt statt nur zu den Adressen, die das Gateway schiebt. Die lokale Ausnahme ist ExcludeLocalNetworks, verfügbar ab iOS 14.2, und ihr dokumentierter iOS-Standardwert ist 1, was vom macOS-Standard 0 abweicht. Fragen Sie, welchen Wert jeder Schlüssel in der tatsächlichen Nutzlast trägt, statt einen Plattformstandard aus einer Mac-orientierten Anleitung anzunehmen.

Fragen Sie dann nach DNS, denn welcher Resolver private und öffentliche Namen erhält, ist Teil desselben Vertrags und hat seine eigene Erreichbarkeitsanforderung. Ein Tunnel, der den gesamten Verkehr trägt, aber private Namen bei einem öffentlichen Resolver lässt, wird jedem Nutzer, der einen kurzen Hostnamen eingibt, wie ein kaputter Tunnel erscheinen. Testen Sie diesen Fall zuerst, denn er ist am billigsten zu reproduzieren und genau der, den Nutzer als kaputtes VPN melden.

Prüfen Sie die Versionsuntergrenze, bevor Sie abzeichnen

Jeder dieser Schlüssel hat eine Mindestversion, und ein Profil, das einen Schlüssel trägt, den das installierte iOS nicht kennt, ist kein Teilerfolg. Zusätzliche Ausschlussschlüssel für Push-Mitteilungen und Mobilfunkdienste haben ebenfalls ihre eigenen Untergrenzen, sodass eine für eine Flotte zusammengestellte Nutzlast bei einer älteren nur halb greifen kann. Notieren Sie die installierte iOS-Version neben der Nutzlastversion im Bereitstellungsprotokoll. Eine Nutzlast, die nur halb greift, ist schlimmer als eine, die die Installation verweigert, weil das Gerät dann einen Tunnel meldet, über den Sie nicht nachdenken können.

Installieren Sie kein nicht identifiziertes Profil, nur um ein Bedienelement sichtbar zu machen, das ein Screenshot einer älteren Version versprochen hat. Enthält die gelieferte Konfiguration einen Schlüssel nicht, ist der Schlüssel nicht in Kraft, was der Übersichtsbildschirm auch nahelegen mag.

Prüfen Sie mit Verkehr, nicht mit einer Schalterstellung

Öffnen Sie nach der Bereitstellung die vorgesehene private Ressource und eine gewöhnliche öffentliche Seite und bestätigen Sie, dass beide den im Vertrag beschriebenen Weg nehmen. Setzen Sie das Telefon dann auf Mobilfunk, wiederholen Sie beides und prüfen Sie das von Ihnen dokumentierte Verhalten für den nicht verfügbaren Fall, statt es während des Tests zu erfinden. Nehmen Sie einen erlaubten Übergang von Wi-Fi zu Mobilfunk auf, denn dort zeigt sich ein Profil mit engem Umfang meist.

Halten Sie eine beaufsichtigte verwaltete Always On-Bereitstellung aus diesem Vergleich heraus. Automatische Aktivierung und breites Routing auf einem persönlichen Profil belegen diese verwaltete Richtlinie nicht, und das Umgekehrte gilt ebenso. Testen Sie eine Anordnung nach der anderen auf einem Gerät, denn ein Telefon mit zwei VPN-Profilen wird jedes Ergebnis verfälschen, das Sie sammeln.

Rollen Sie auf ein bekanntes Profil zurück

Wenn das Verhalten falsch ist, entfernen Sie das Profil und installieren Sie die letzte bewährte Nutzlast neu, statt Schlüssel auf dem Gerät zu bearbeiten. Bestätigen Sie dann, dass die frühere Abdeckung wirklich zurück ist, indem Sie dieselben zwei Anfragen wiederholen. Ein Rollback, der das Profil, aber nicht das Routing wiederherstellt, ist kein Rollback, und ein Nutzer wird ihn entdecken, nicht der Test.

Legen Sie Nutzlastversion, die vier Werte und das Prüfergebnis gemeinsam ab, damit die nächste Änderung von einer dokumentierten Grundlage ausgeht statt von einem Screenshot.