IKEv2 forgalmi hatókör iPhone-on: kié a lefedettség döntése

Egy Minden forgalom küldése kapcsolót keres iPhone-on, és nincs ott. Natív IKEv2-profilnál az útválasztás hatókörét a leszállított profil dönti el, nem egy vezérlőelem, amelyet a felhasználó átkapcsolhat, ezért a hiányzó kapcsoló keresése a Beállításokban elpazarol egy délutánt. A helyes lépés az, hogy írásban kérjük el a profil tulajdonosától a forgalmi szerződést, majd valódi kérésekkel ellenőrizzük. Ez az útmutató ezt öt lépésben teszi meg.

Szerezze be a szerződést írásban, mielőtt a telefonra nézne

Négy eredményhez külön válasz kell: az internetes böngészésnek az átjárót kell-e használnia, csak a privát erőforrásoknak kell-e ezt tenniük, mely helyi hálózatok és rendszerszolgáltatások maradnak az alagúton kívül, és mi történik, amíg az alagút nem elérhető. Ezek különböző követelmények, és különböző kulcsok elégítik ki őket. Egy mindent lefedő profil és egyetlen alhálózatot lefedő profil azonosnak tűnhet az eszköz összegző képernyőjén.

Azt is állapítsa meg, kié a profil. Ha felügyeleti szolgáltatás szállította, az értékek abban a konzolban élnek, és a telefonon végzett kézi szerkesztés legjobb esetben ideiglenes helyi változás. Ha senki nem tudja megnevezni a tulajdonost, tekintse ezt a megállapításnak, és álljon meg; a lefedettség telefonról való találgatása nem ad védhető választ.

Kérje el a hatókört eldöntő négy értéket

A lefedettségi kulcs az IncludeAllNetworks, amelyet az Apple dokumentációja szerint az iOS 14 vezetett be, és ez az, ami miatt a kapcsolat széles körben visz forgalmat, nem csak az átjáró által tolt címekre. A helyi kivétel az ExcludeLocalNetworks, az iOS 14.2-től érhető el, és dokumentált iOS-alapértelmezése 1, ami eltér a macOS 0 alapértelmezésétől. Kérdezze meg, milyen értéket hordoz az egyes kulcs a tényleges hasznos terhelésben, ahelyett hogy egy Mac-re szabott útmutatóból platform-alapértelmezést feltételezne.

Utána kérdezzen a DNS-ről, mert hogy melyik feloldó kapja a privát és nyilvános neveket, ugyanannak a szerződésnek a része, és saját elérhetőségi követelménye van. Egy alagút, amely minden forgalmat visz, de a privát neveket nyilvános feloldónál hagyja, minden olyan felhasználónak törött alagútnak tűnik, aki rövid gazdagépnevet ír be. Ezt az esetet tesztelje először, mert ezt a legolcsóbb reprodukálni, és ezt jelentik a felhasználók törött VPN-ként.

A verzió alsó korlátját az aláírás előtt ellenőrizze

Ezeknek a kulcsoknak mindegyike minimális kiadással rendelkezik, és az a profil, amely olyan kulcsot hordoz, amelyet a telepített iOS nem ismer, nem részleges siker. A push-értesítéseket és mobilszolgáltatásokat lefedő további kizárási kulcsoknak is megvannak a maguk alsó korlátai, ezért az egy flottához összeállított hasznos terhelés egy régebbin csak félig érvényesülhet. Jegyezze fel a telepített iOS-verziót a hasznos terhelés verziója mellé az üzembe helyezési nyilvántartásban. A félig érvényesülő hasznos terhelés rosszabb, mint amelyik megtagadja a telepítést, mert az eszköz olyan alagutat jelent, amelyről nem tud érvelni.

Ne telepítsen azonosítatlan profilt csak azért, hogy felfedjen egy vezérlőelemet, amelyet egy régebbi kiadás képernyőképe ígért. Ha a szállított konfiguráció nem tartalmaz kulcsot, a kulcs nincs hatályban, bármit sugall is az összegző képernyő.

Forgalommal ellenőrizze, ne egy kapcsoló állásával

A kiépítés után nyissa meg a szánt privát erőforrást és egy közönséges nyilvános oldalt, és erősítse meg, hogy mindkettő a szerződésben leírt úton halad. Utána tegye a telefont mobilhálózatra, ismételje meg mindkettőt, és ellenőrizze a nem elérhető esetre dokumentált viselkedést ahelyett, hogy a teszt közben kitalálná. Ikasson be egy engedélyezett átmenetet Wi-Firől mobilhálózatra, mert ott szokott megmutatkozni a szűk hatókörű profil.

Tartsa ki ebből az összehasonlításból a felügyelt, kezelt Always On üzembe helyezést. A személyes profilon történő automatikus aktiválás és széles útválasztás nem bizonyítja azt a kezelt szabályzatot, és fordítva is igaz. Egyszerre egy elrendezést teszteljen egy eszközön, mert a két VPN-profillal rendelkező telefon minden összegyűjtött eredményt összezavar.

Térjen vissza egy ismert profilra

Ha a viselkedés hibás, távolítsa el a profilt, és telepítse újra az utolsó ismert jó hasznos terhelést, ahelyett hogy kulcsokat szerkesztene az eszközön. Utána erősítse meg, hogy a korábbi lefedettség valóban visszatért, ugyanazt a két kérést megismételve. Az a visszaállítás, amely a profilt visszaállítja, de az útválasztást nem, nem visszaállítás, és egy felhasználó fogja felfedezni, nem a teszt.

Archiválja a hasznos terhelés verzióját, a négy értéket és az ellenőrzés eredményét együtt, hogy a következő változás dokumentált kiindulópontból induljon, ne egy képernyőképről.