Alcance do tráfico IKEv2 no iPhone: quen decide a cobertura

Buscas un interruptor Enviar todo o tráfico nun iPhone e non está. Nun perfil IKEv2 nativo, o alcance do enrutamento decídeo o perfil que se entregou, non un control que o usuario poida cambiar, así que rebuscar nos Axustes o interruptor que falta malgasta unha tarde. O movemento correcto é pedirlle ao propietario do perfil o contrato de tráfico por escrito e despois verificalo con solicitudes reais. Esta guía faino en cinco pasos.

Consegue o contrato por escrito antes de mirar o teléfono

Catro resultados necesitan respostas separadas: se a navegación por internet debe usar a pasarela, se só deben facelo os recursos privados, que redes locais e servizos do sistema quedan fóra do túnel, e que ocorre mentres o túnel non está dispoñible. Son requisitos distintos e satisfainos claves distintas. Un perfil que o cobre todo e un perfil que cobre unha soa subrede poden verse idénticos na pantalla de resumo do dispositivo.

Establece tamén quen é o propietario do perfil. Se o entregou un servizo de xestión, os valores viven nesa consola e unha edición manual no teléfono é, como moito, un cambio local temporal. Se ninguén pode nomear o propietario, trata iso como o achado e detente; adiviñar a cobertura desde o teléfono non producirá unha resposta defendible.

Pide os catro valores que deciden o alcance

A clave de cobertura é IncludeAllNetworks, documentada por Apple como introducida en iOS 14, e é o que fai que a conexión leve tráfico de forma ampla e non só cara ás direccións que empurra a pasarela. A excepción local é ExcludeLocalNetworks, dispoñible desde iOS 14.2, e o seu valor predeterminado documentado en iOS é 1, que difire do predeterminado de macOS, 0. Pregunta que valor leva cada clave na carga real en lugar de supoñer un predeterminado de plataforma a partir dunha guía pensada para Mac.

Despois pregunta polo DNS, porque que resolución recibe os nomes privados e públicos forma parte do mesmo contrato e ten o seu propio requisito de alcanzabilidade. Un túnel que leva todo o tráfico pero deixa os nomes privados nunha resolución pública parecerá un túnel roto a cada usuario que escriba un nome de host curto. Proba ese caso primeiro, porque é o máis barato de reproducir e o que os usuarios denuncian como a VPN que non funciona.

Comproba o mínimo de versión antes de asinar

Cada unha destas claves ten unha versión mínima, e un perfil que leva unha clave que o iOS instalado non coñece non é un éxito parcial. As claves de exclusión adicionais que cobren notificacións push e servizos móbiles tamén teñen os seus propios mínimos, así que unha carga montada para unha frota pode aplicarse a medias nunha máis antiga. Anota a versión de iOS instalada xunto á versión da carga no rexistro de despregamento. Unha carga que se aplica a medias é peor que unha que se nega a instalarse, porque o dispositivo informa dun túnel sobre o que non podes razoar.

Non instales un perfil non identificado só para revelar un control que prometía unha captura de pantalla dunha versión anterior. Se a configuración subministrada non inclúe unha clave, a clave non está vixente, diga o que diga a pantalla de resumo.

Verifica con tráfico, non coa posición dun interruptor

Tras o aprovisionamento, abre o recurso privado previsto e unha páxina pública corrente, e confirma que ambos toman o camiño que describe o contrato. Despois pon o teléfono na rede móbil, repite ambos e comproba o comportamento que documentaches para o caso non dispoñible en lugar de inventalo durante a proba. Inclúe unha transición permitida de Wi-Fi a rede móbil, porque é onde un perfil de alcance estreito adoita mostrarse.

Mantén un despregamento Always On xestionado e supervisado fóra desta comparación. A activación automática e o enrutamento amplo nun perfil persoal non establecen esa política xestionada, e o contrario tamén é certo. Proba un arranxo á vez nun só dispositivo, porque un teléfono con dous perfís VPN confundirá cada resultado que recollas.

Volta a un perfil coñecido

Cando o comportamento é incorrecto, elimina o perfil e reinstala a última carga boa coñecida en lugar de editar claves no dispositivo. Despois confirma que a cobertura anterior volveu de verdade repetindo as mesmas dúas solicitudes. Unha reversión que restaura o perfil pero non o enrutamento non é unha reversión, e descubriraa un usuario e non a proba.

Arquiva a versión da carga, os catro valores e o resultado da verificación xuntos, para que o seguinte cambio parta dunha liña base documentada e non dunha captura de pantalla.