היקף התעבורה של IKEv2 ב-iPhone: מי מחליט על הכיסוי

אתם מחפשים מתג שליחת כל התעבורה ב-iPhone והוא לא שם. בפרופיל IKEv2 מקורי היקף הניתוב נקבע על ידי הפרופיל שנמסר, ולא על ידי בקרה שהמשתמש יכול להפוך, ולכן חיפוש בהגדרות אחר המתג החסר מבזבז אחר צהריים. הצעד הנכון הוא לבקש מבעל הפרופיל את חוזה התעבורה בכתב, ואז לאמת אותו בבקשות אמיתיות. מדריך זה עושה זאת בחמישה שלבים.

השיגו את החוזה בכתב לפני שאתם מסתכלים בטלפון

ארבע תוצאות דורשות תשובות נפרדות: אם גלישה באינטרנט אמורה להשתמש בשער, אם רק משאבים פרטיים אמורים לעשות זאת, אילו רשתות מקומיות ושירותי מערכת נשארים מחוץ למנהרה, ומה קורה כשהמנהרה אינה זמינה. אלו דרישות שונות ומפתחות שונים מספקים אותן. פרופיל שמכסה הכול ופרופיל שמכסה תת-רשת אחת יכולים להיראות זהים במסך הסיכום של המכשיר.

קבעו גם למי שייך הפרופיל. אם שירות ניהול מסר אותו, הערכים חיים באותה קונסולה, ועריכה ידנית בטלפון היא במקרה הטוב שינוי מקומי זמני. אם איש אינו יכול לנקוב בשם הבעלים, התייחסו לכך כממצא והפסיקו; ניחוש הכיסוי מהטלפון לא יפיק תשובה שאפשר להגן עליה.

בקשו את ארבעת הערכים שקובעים את ההיקף

מפתח הכיסוי הוא IncludeAllNetworks, שלדברי Apple הוצג ב-iOS 14, והוא מה שגורם לחיבור לשאת תעבורה באופן רחב ולא רק לכתובות שהשער דוחף. החריג המקומי הוא ExcludeLocalNetworks, זמין מ-iOS 14.2, וברירת המחדל המתועדת שלו ב-iOS היא 1, השונה מברירת המחדל של macOS שהיא 0. שאלו איזה ערך נושא כל מפתח במטען בפועל במקום להניח ברירת מחדל של פלטפורמה מתוך מדריך שמיועד ל-Mac.

לאחר מכן שאלו על DNS, משום איזה פותר מקבל שמות פרטיים וציבוריים הוא חלק מאותו חוזה ויש לו דרישת נגישות משלו. מנהרה שנושאת את כל התעבורה אך משאירה שמות פרטיים אצל פותר ציבורי תיראה כמנהרה שבורה לכל משתמש שמקליד שם מארח קצר. בדקו את המקרה הזה ראשון, משום שהוא הזול ביותר לשחזור וזה שהמשתמשים מדווחים עליו כ-VPN שבור.

בדקו את רצפת הגרסה לפני שאתם חותמים

לכל אחד מהמפתחות האלה יש גרסת מינימום, ופרופיל שנושא מפתח שה-iOS המותקן אינו מכיר אינו הצלחה חלקית. גם למפתחות החריגה הנוספים שמכסים התראות דחיפה ושירותי סלולר יש רצפות משלהם, ולכן מטען שהורכב עבור צי אחד יכול לחול חלקית על צי ישן יותר. רשמו את גרסת ה-iOS המותקנת לצד גרסת המטען ברשומת הפריסה. מטען שחל חלקית גרוע מזה שמסרב להתקין, משום שהמכשיר מדווח על מנהרה שאינכם יכולים לנמק לגביה.

אל תתקינו פרופיל לא מזוהה רק כדי לחשוף בקרה שצילום מסך מגרסה ישנה יותר הבטיח. אם התצורה שסופקה אינה כוללת מפתח, המפתח אינו בתוקף, יהיה אשר יהיה מה שמסך הסיכום מרמז.

אמתו בתעבורה, לא במצב של מתג

לאחר ההקצאה, פתחו את המשאב הפרטי המיועד ועמוד ציבורי רגיל, ואשרו ששניהם הולכים במסלול שהחוזה מתאר. לאחר מכן העבירו את הטלפון לרשת סלולרית, חזרו על שניהם, ובדקו את ההתנהגות שתיעדתם למקרה שאינו זמין במקום להמציא אותה במהלך הבדיקה. כללו מעבר מותר אחד מ-Wi-Fi לסלולרי, משום ששם פרופיל עם היקף צר בדרך כלל מראה את עצמו.

הרחיקו פריסת Always On מנוהלת תחת פיקוח מהשוואה זו. הפעלה אוטומטית וניתוב רחב בפרופיל אישי אינם מבססים את המדיניות המנוהלת הזו, וגם ההפך נכון. בדקו סידור אחד בכל פעם במכשיר אחד, כי טלפון שנושא שני פרופילי VPN יערבב כל תוצאה שתאספו.

חזרו לפרופיל מוכר

כאשר ההתנהגות שגויה, הסירו את הפרופיל והתקינו מחדש את המטען התקין המוכר האחרון במקום לערוך מפתחות במכשיר. לאחר מכן אשרו שהכיסוי הקודם באמת חזר בכך שתחזרו על אותן שתי בקשות. החזרה שמשחזרת את הפרופיל אך לא את הניתוב אינה החזרה, ומשתמש יגלה אותה ולא הבדיקה.

תיקו את גרסת המטען, ארבעת הערכים ותוצאת האימות יחד, כדי שהשינוי הבא יתחיל מקו בסיס מתועד ולא מצילום מסך.