iPhone の IKEv2 通信範囲：カバレッジの決定権は誰にあるか

iPhone で「すべてのトラフィックを送信」スイッチを探しても、それはありません。ネイティブの IKEv2 プロファイルでは、ルーティング範囲は配信されたプロファイルが決めるもので、ユーザーが切り替えられるコントロールではないため、設定の中を探し回って見つからないトグルを捜すのは午後を丸ごと無駄にするだけです。正しい進め方は、プロファイルの所有者に通信契約を書面で求め、実際のリクエストで検証することです。この手順書はそれを 五つのステップで行います。

電話を見る前に契約を書面で受け取る

四つの結果には別々の答えが必要です。インターネット閲覧がゲートウェイを使うべきか、プライベートなリソースだけが使うべきか、どのローカルネットワークとシステムサービスがトンネルの外に残るか、トンネルが使えない間はどうなるか——これらは別々の要件であり、別々のキーが満たします。すべてをカバーするプロファイルと 一つのサブネットだけをカバーするプロファイルは、端末の概要画面では同じに見えることがあります。

プロファイルの所有者が誰かも特定してください。管理サービスが配信したものであれば、値はそのコンソールにあり、端末上での手編集はせいぜい一時的なローカル変更です。所有者を誰も名指しできないなら、それを所見として扱い、そこで止めてください、端末からカバレッジを推測しても説明可能な答えにはなりません。

範囲を決める四つの値を確認する

カバレッジのキーは IncludeAllNetworks で、Apple のドキュメントでは iOS 14 で導入されたとされており、接続がゲートウェイの押し出すアドレスだけでなく広く通信を運ぶのはこのキーによります。ローカル例外は ExcludeLocalNetworks で、iOS 14.2 から利用でき、ドキュメント上の iOS のデフォルトは 1 で、macOS のデフォルト 0 とは異なります。Mac 向けのガイドからプラットフォームのデフォルトを仮定するのではなく、実際のペイロードで各キーがどの値を持つかを尋ねてください。

次に DNS を確認します——プライベート名とパブリック名をどちらのリゾルバが受け取るかは同じ契約の一部であり、独自の到達性要件があるからです。すべての通信を運ぶのにプライベート名をパブリックリゾルバに残すトンネルは、短いホスト名を入力するすべてのユーザーに壊れたトンネルに見えます。このケースを最初にテストするのは、再現が最も安く、ユーザーが VPN が壊れたと報告するのがまさにこれだからです。

承認する前にバージョンの下限を確認する

これらのキーにはそれぞれ最小リリースがあり、インストール済みの iOS が知らないキーを持つプロファイルは部分的な成功ではありません。プッシュ通知やセルラーサービスを対象とする追加の除外キーにもそれぞれ下限があるため、あるフリート向けに組み立てたペイロードが古いフリートで半分だけ適用されることがあります。配備記録には、ペイロードのバージョンの隣にインストール済みの iOS バージョンを記録してください。半分だけ適用されるペイロードは、端末が判断できないトンネルを報告してしまうため、インストールを拒否するペイロードより悪いです。

古いリリースのスクリーンショットが約束したコントロールを出すためだけに、正体不明のプロファイルをインストールしないでください。提供された構成にキーが含まれていなければ、概要画面が何を示唆していても、そのキーは有効ではありません。

スイッチの位置ではなく、通信で検証する

プロビジョニング後に、目的のプライベートリソースと一般の公開ページを開き、どちらも契約が描く経路を通ることを確認します。次に端末をセルラーに切り替えて同じ二つを繰り返し、テスト中に作り話をするのではなく、利用不可の場合について記録した動作を確認します。範囲の狭いプロファイルはたいていそこで正体を現すため、許可された Wi-Fi からセルラーへの切り替えを一回含めてください。

監視下の管理対象 Always On 配備は、この比較から外してください。個人プロファイルでの自動有効化と広いルーティングは、その管理ポリシーを裏付けませんし、逆もまた然りです。VPN プロファイルを二つ持つ端末は集めた結果をすべて混乱させるため、一台の端末で一つずつ構成を試してください。

既知のプロファイルに戻す

動作が誤っているときは、端末上でキーを編集するのではなく、プロファイルを削除して最後の既知の正常なペイロードを再インストールしてください。そのうえで同じ二つのリクエストを繰り返し、以前のカバレッジが本当に戻ったことを確認します。プロファイルは戻すがルーティングは戻さないロールバックはロールバックではなく、テストではなくユーザーがそれを見つけます。

ペイロードのバージョン、四つの値、検証結果をまとめて保管し、次の変更がスクリーンショットではなく文書化された基準から始まるようにしてください。