Portée du trafic IKEv2 sur iPhone : à qui revient la décision de couverture

Vous cherchez un interrupteur Envoyer tout le trafic sur un iPhone et il n’existe pas. Sur un profil IKEv2 natif, la portée du routage est décidée par le profil livré, pas par un contrôle que l’utilisateur peut basculer, donc fouiller les Réglages à la recherche de l’interrupteur manquant fait perdre un après-midi. Le bon geste est de demander au propriétaire du profil le contrat de trafic par écrit, puis de le vérifier avec de vraies requêtes. Ce guide le fait en cinq étapes.

Obtenez le contrat par écrit avant de regarder le téléphone

Quatre résultats exigent des réponses distinctes : si la navigation internet doit passer par la passerelle, si seules les ressources privées doivent le faire, quels réseaux locaux et services système restent hors du tunnel, et ce qui se passe pendant que le tunnel est indisponible. Ce sont des exigences différentes et des clés différentes les satisfont. Un profil qui couvre tout et un profil qui couvre un seul sous-réseau peuvent sembler identiques sur l’écran de résumé de l’appareil.

Établissez aussi à qui appartient le profil. S’il a été livré par un service de gestion, les valeurs vivent dans cette console et une modification manuelle sur le téléphone n’est au mieux qu’un changement local temporaire. Si personne ne peut nommer le propriétaire, traitez cela comme le constat et arrêtez-vous ; deviner la couverture depuis le téléphone ne produira pas de réponse défendable.

Demandez les quatre valeurs qui décident de la portée

La clé de couverture est IncludeAllNetworks, documentée par Apple comme introduite dans iOS 14, et c’est elle qui fait que la connexion transporte le trafic largement et pas seulement vers les adresses que la passerelle pousse. L’exception locale est ExcludeLocalNetworks, disponible depuis iOS 14.2, et sa valeur par défaut documentée sous iOS est 1, ce qui diffère de la valeur par défaut de macOS, 0. Demandez quelle valeur chaque clé porte dans la charge réelle au lieu de supposer une valeur par défaut de plateforme tirée d’un guide pensé pour Mac.

Demandez ensuite pour le DNS, car quel résolveur reçoit les noms privés et publics fait partie du même contrat et a sa propre exigence de joignabilité. Un tunnel qui transporte tout le trafic mais laisse les noms privés chez un résolveur public apparaîtra comme un tunnel cassé à chaque utilisateur qui saisit un nom d’hôte court. Testez ce cas en premier, car c’est le moins coûteux à reproduire et celui que les utilisateurs signalent comme le VPN qui ne marche pas.

Vérifiez le plancher de version avant de valider

Chacune de ces clés a une version minimale, et un profil qui porte une clé que l’iOS installé ne connaît pas n’est pas un succès partiel. Les clés d’exclusion supplémentaires couvrant les notifications push et les services cellulaires ont aussi leurs propres planchers, si bien qu’une charge assemblée pour une flotte peut s’appliquer à moitié sur une plus ancienne. Notez la version d’iOS installée à côté de la version de la charge dans le registre de déploiement. Une charge qui s’applique à moitié est pire qu’une qui refuse de s’installer, car l’appareil signale un tunnel sur lequel vous ne pouvez pas raisonner.

N’installez pas un profil non identifié juste pour révéler un contrôle qu’une capture d’écran d’une version antérieure promettait. Si la configuration fournie n’inclut pas une clé, la clé n’est pas en vigueur, quoi qu’en suggère l’écran de résumé.

Vérifiez avec du trafic, pas avec la position d’un interrupteur

Après le provisionnement, ouvrez la ressource privée prévue et une page publique ordinaire, et confirmez que les deux empruntent le chemin décrit par le contrat. Mettez ensuite le téléphone sur le réseau cellulaire, répétez les deux, et vérifiez le comportement que vous avez documenté pour le cas indisponible plutôt que de l’inventer pendant le test. Incluez une transition autorisée du Wi-Fi vers le cellulaire, car c’est là qu’un profil à portée étroite se révèle généralement.

Gardez un déploiement Always On géré et supervisé hors de cette comparaison. L’activation automatique et le routage large sur un profil personnel n’établissent pas cette politique gérée, et l’inverse est vrai aussi. Testez un agencement à la fois sur un seul appareil, car un téléphone portant deux profils VPN faussera chaque résultat que vous collectez.

Revenez à un profil connu

Quand le comportement est mauvais, supprimez le profil et réinstallez la dernière charge bonne connue plutôt que de modifier des clés sur l’appareil. Confirmez ensuite que la couverture précédente est réellement revenue en répétant les deux mêmes requêtes. Un retour arrière qui restaure le profil mais pas le routage n’est pas un retour arrière, et c’est un utilisateur qui le découvrira, pas le test.

Archivez ensemble la version de la charge, les quatre valeurs et le résultat de la vérification, afin que le changement suivant parte d’une base documentée et non d’une capture d’écran.