IKEv2-trafika amplekso sur iPhone: kiu decidas pri la kovrado

Vi serĉas ŝaltilon Sendi ĉiun trafikon sur iPhone kaj ĝi ne estas tie. En denaska IKEv2-profilo la enkursiga amplekso estas decidata de la profilo, kiu estis liverita, ne de regilo, kiun la uzanto povas turni, do serĉado tra Agordoj por la mankanta ŝaltilo malŝparas posttagmezon. La ĝusta movo estas peti de la posedanto de la profilo la trafikan kontrakton skribe, kaj poste kontroli ĝin per realaj petoj. Ĉi tiu gvidlibro faras tion en kvin paŝoj.

Akiru la kontrakton skribe antaŭ ol rigardi la telefonon

Kvar rezultoj bezonas apartajn respondojn: ĉu retumado devas uzi la enirejon, ĉu nur privataj rimedoj devas fari tion, kiuj lokaj retoj kaj sistemaj servoj restas ekster la tunelo, kaj kio okazas dum la tunelo ne disponeblas. Tiuj estas malsamaj postuloj kaj malsamaj ŝlosiloj plenumas ilin. Profilo, kiu kovras ĉion, kaj profilo, kiu kovras unu subreton, povas aspekti identaj sur la resuma ekrano de la aparato.

Ankaŭ establu, kiu posedas la profilon. Se liveris ĝin administra servo, la valoroj vivas en tiu konzolo, kaj permana redakto sur la telefono estas plej bone portempa loka ŝanĝo. Se neniu povas nomi la posedanton, traktu tion kiel la trovitan kaj haltu; diveni la kovradon de la telefono ne produktos subteneblan respondon.

Petu la kvar valorojn, kiuj decidas la amplekson

La kovrada ŝlosilo estas IncludeAllNetworks, dokumentita de Apple kiel enkondukita en iOS 14, kaj ĝi estas tio, kio igas la konekton porti trafikon vaste anstataŭ nur al la adresoj, kiujn la enirejo puŝas. La loka escepto estas ExcludeLocalNetworks, disponebla ekde iOS 14.2, kaj ĝia dokumentita iOS-defaŭlto estas 1, kio diferencas de la macOS-defaŭlto 0. Demandu, kiun valoron ĉiu ŝlosilo portas en la efektiva ŝarĝo, anstataŭ supozi platforman defaŭlton el gvidilo orientita al Mac.

Poste demandu pri DNS, ĉar kiu solvilo ricevas privatajn kaj publikajn nomojn estas parto de la sama kontrakto kaj havas sian propran atingebec-postulon. Tunelo, kiu portas la tutan trafikon sed lasas privatajn nomojn ĉe publika solvilo, aspektos kiel rompita tunelo al ĉiu uzanto, kiu tajpas mallongan gastigantnomon. Testu tiun kazon unue, ĉar ĝi estas la plej malmultekosta por reprodukti kaj ĝuste ĝin uzantoj raportas kiel rompitan VPN.

Kontrolu la version-subtenon antaŭ ol aprobi

Ĉiu el ĉi tiuj ŝlosiloj havas minimuman eldonon, kaj profilo portanta ŝlosilon, kiun la instalita iOS ne konas, ne estas parta sukceso. Pliaj esceptaj ŝlosiloj kovrantaj puŝajn sciigojn kaj poŝtelefonajn servojn ankaŭ havas siajn proprajn subtenojn, do ŝarĝo kunmetita por unu floto povas duone aplikiĝi sur pli malnova. Notu la instalitan iOS-version apud la ŝarĝa versio en la deploja registro. Ŝarĝo, kiu aplikiĝas duone, estas pli malbona ol tiu, kiu rifuzas instaliĝi, ĉar la aparato raportas tunelon, pri kiu vi ne povas rezoni.

Ne instalu neidentigitan profilon nur por malkaŝi regilon, kiun promesis ekrankopio el pli malnova eldono. Se la provizita agordo ne inkluzivas ŝlosilon, la ŝlosilo ne validas, kion ajn la resuma ekrano sugestas.

Kontrolu per trafiko, ne per ŝaltila pozicio

Post provizado, malfermu la celatan privatan rimedon kaj ordinaran publikan paĝon, kaj konfirmu, ke ambaŭ prenas la vojon priskribitan de la kontrakto. Poste metu la telefonon sur poŝtelefona reto, ripetu ambaŭ, kaj kontrolu la konduton, kiun vi dokumentis por la nedisponebla kazo, anstataŭ inventi ĝin dum la testado. Inkluzivu unu permesitan transiron de Wi-Fi al poŝtelefona reto, ĉar tie profilo kun mallarĝa amplekso kutime montriĝas.

Tenu superrigardatan administritan Always On-deplojon ekster ĉi tiu komparo. Aŭtomata aktivigo kaj larĝa enkursigo sur persona profilo ne establas tiun administritan politikon, kaj la malo ankaŭ veras. Testu unu aranĝon samtempe sur unu aparato, ĉar telefono portanta du VPN-profilojn konfuzos ĉiun rezulton, kiun vi kolektas.

Revertu al konata profilo

Kiam la konduto estas malĝusta, forigu la profilon kaj reinstalu la lastan konatan bonan ŝarĝon anstataŭ redakti ŝlosilojn sur la aparato. Poste konfirmu, ke la antaŭa kovrado vere revenis, ripetante la samajn du petojn. Revenigo, kiu restarigas la profilon sed ne la enkursigon, ne estas revenigo, kaj ĝin malkovros uzanto, ne la testo.

Arkivu la ŝarĝan version, la kvar valorojn kaj la kontrolrezulton kune, por ke la sekva ŝanĝo komenciĝu de dokumentita bazlinio anstataŭ de ekrankopio.