Ambito del traffico IKEv2 su iPhone: a chi spetta la copertura

Cerchi un interruttore Invia tutto il traffico su un iPhone e non c’è. Su un profilo IKEv2 nativo l’ambito dell’instradamento lo decide il profilo consegnato, non un controllo che l’utente possa capovolgere, quindi cercare nelle Impostazioni l’interruttore mancante fa perdere un pomeriggio. La mossa giusta è chiedere al proprietario del profilo il contratto del traffico per iscritto, poi verificarlo con richieste reali. Questa guida lo fa in cinque passi.

Ottieni il contratto per iscritto prima di guardare il telefono

Quattro esiti richiedono risposte separate: se la navigazione internet deve usare il gateway, se devono farlo solo le risorse private, quali reti locali e servizi di sistema restano fuori dal tunnel, e cosa succede mentre il tunnel non è disponibile. Sono requisiti diversi e chiavi diverse li soddisfano. Un profilo che copre tutto e un profilo che copre una sola sottorete possono sembrare identici nella schermata di riepilogo del dispositivo.

Stabilisci anche a chi appartiene il profilo. Se l’ha consegnato un servizio di gestione, i valori vivono in quella console e una modifica manuale sul telefono è al massimo un cambiamento locale temporaneo. Se nessuno sa indicare il proprietario, trattalo come il riscontro e fermati; indovinare la copertura dal telefono non produrrà una risposta difendibile.

Chiedi i quattro valori che decidono l’ambito

La chiave di copertura è IncludeAllNetworks, documentata da Apple come introdotta in iOS 14, ed è ciò che fa trasportare il traffico in modo ampio e non solo verso gli indirizzi che il gateway spinge. L’eccezione locale è ExcludeLocalNetworks, disponibile da iOS 14.2, e il suo valore predefinito documentato in iOS è 1, che differisce dal predefinito di macOS, 0. Chiedi quale valore porta ogni chiave nel payload reale invece di presumere un predefinito di piattaforma da una guida pensata per Mac.

Poi chiedi del DNS, perché quale resolver riceve i nomi privati e pubblici fa parte dello stesso contratto e ha il proprio requisito di raggiungibilità. Un tunnel che trasporta tutto il traffico ma lascia i nomi privati a un resolver pubblico sembrerà un tunnel rotto a ogni utente che digita un nome host breve. Prova quel caso per primo, perché è il più economico da riprodurre ed è quello che gli utenti segnalano come VPN rotta.

Controlla il minimo di versione prima di firmare

Ognuna di queste chiavi ha una versione minima, e un profilo che porta una chiave che l’iOS installato non conosce non è un successo parziale. Anche le chiavi di esclusione aggiuntive che coprono notifiche push e servizi cellulari hanno i propri minimi, quindi un payload assemblato per una flotta può applicarsi a metà su una più vecchia. Annota la versione di iOS installata accanto alla versione del payload nel registro di distribuzione. Un payload che si applica a metà è peggio di uno che rifiuta l’installazione, perché il dispositivo segnala un tunnel su cui non puoi ragionare.

Non installare un profilo non identificato solo per rivelare un controllo che uno screenshot di una versione precedente prometteva. Se la configurazione fornita non include una chiave, la chiave non è in vigore, qualunque cosa suggerisca la schermata di riepilogo.

Verifica con il traffico, non con la posizione di un interruttore

Dopo il provisioning apri la risorsa privata prevista e una pagina pubblica ordinaria, e conferma che entrambe seguono il percorso descritto dal contratto. Poi metti il telefono sulla rete cellulare, ripeti entrambe e controlla il comportamento che hai documentato per il caso non disponibile invece di inventarlo durante il test. Includi una transizione consentita dal Wi-Fi al cellulare, perché è lì che un profilo con ambito stretto di solito si mostra.

Tieni una distribuzione Always On gestita e supervisionata fuori da questo confronto. L’attivazione automatica e l’instradamento ampio su un profilo personale non dimostrano quella policy gestita, e vale anche il contrario. Prova un assetto alla volta su un solo dispositivo, perché un telefono con due profili VPN confonderà ogni risultato che raccogli.

Torna a un profilo noto

Quando il comportamento è sbagliato, rimuovi il profilo e reinstalla l’ultimo payload buono noto invece di modificare chiavi sul dispositivo. Poi conferma che la copertura precedente sia davvero tornata ripetendo le stesse due richieste. Un rollback che ripristina il profilo ma non l’instradamento non è un rollback, e lo scoprirà un utente, non il test.

Archivia insieme la versione del payload, i quattro valori e l’esito della verifica, così che la modifica successiva parta da una base documentata e non da uno screenshot.