iPhone의 IKEv2 트래픽 범위: 커버리지 결정은 누구 몫인가

iPhone에서 모든 트래픽 보내기 스위치를 찾고 있지만 그런 것은 없습니다. 기본 IKEv2 프로필에서 라우팅 범위는 전달된 프로필이 결정하며 사용자가 뒤집을 수 있는 컨트롤이 아니므로, 설정을 뒤져 사라진 토글을 찾는 일은 오후 한 나절을 낭비할 뿐입니다. 올바른 순서는 프로필 소유자에게 트래픽 계약을 문서로 요구하고, 실제 요청으로 검증하는 것입니다. 이 문서는 그 과정을 다섯 단계로 설명합니다.

전화를 보기 전에 계약을 문서로 받으세요

네 가지 결과에는 각각 다른 답이 필요합니다: 인터넷 탐색이 게이트웨이를 써야 하는지, 사설 리소스만 써야 하는지, 어떤 로컬 네트워크와 시스템 서비스가 터널 밖에 남는지, 터널을 쓸 수 없는 동안 무슨 일이 일어나는지. 서로 다른 요구 사항이며 서로 다른 키가 이를 충족합니다. 모든 것을 커버하는 프로필과 서브넷 하나만 커버하는 프로필은 기기 요약 화면에서 똑같이 보일 수 있습니다.

프로필의 소유자가 누구인지도 확인하세요. 관리 서비스가 전달했다면 값은 그 콘솔에 살고, 전화에서 손으로 고치는 것은 기껏해야 일시적인 로컬 변경입니다. 아무도 소유자를 지목할 수 없다면 그것을 발견 사항으로 삼고 멈추세요, 전화에서 커버리지를 추측해도 방어 가능한 답은 나오지 않습니다.

범위를 결정하는 네 가지 값을 요청하세요

커버리지 키는 IncludeAllNetworks이며 Apple 문서에 따르면 iOS 14에서 도입되었고, 연결이 게이트웨이가 밀어 넣는 주소만이 아니라 트래픽을 폭넓게 나르게 하는 것이 바로 이 키입니다. 로컬 예외는 ExcludeLocalNetworks이며 iOS 14.2부터 사용할 수 있고, 문서상 iOS 기본값은 1로 macOS 기본값 0과 다릅니다. Mac용 가이드에서 플랫폼 기본값을 가정하지 말고 실제 페이로드에서 각 키가 어떤 값을 갖는지 물으세요.

다음으로 DNS를 물으세요—사설 이름과 공용 이름을 어느 리졸버가 받는지는 같은 계약의 일부이며 자체적인 도달 가능성 요구가 있습니다. 모든 트래픽을 나르면서 사설 이름은 공용 리졸버에 남겨 두는 터널은 짧은 호스트 이름을 입력하는 모든 사용자에게 고장 난 터널처럼 보입니다. 재현 비용이 가장 적고, 사용자들이 VPN이 고장 났다고 보고하는 것이 바로 그 경우이므로 그 사례를 먼저 시험하세요.

승인하기 전에 버전 하한을 확인하세요

이 키들에는 각각 최소 릴리스가 있으며, 설치된 iOS가 모르는 키를 담은 프로필은 부분적 성공이 아닙니다. 푸시 알림과 셀룰러 서비스를 대상으로 하는 추가 제외 키에도 각자의 하한이 있어서, 한 플리트를 위해 조립한 페이로드가 더 오래된 플리트에서 절반만 적용될 수 있습니다. 배포 기록에 페이로드 버전 옆에 설치된 iOS 버전을 적으세요. 절반만 적용되는 페이로드는 기기가 판단할 수 없는 터널을 보고하기 때문에 설치를 거부하는 페이로드보다 나쁩니다.

이전 릴리스의 스크린샷이 약속한 컨트롤을 드러내기 위해 정체불명의 프로필을 설치하지 마세요. 제공된 구성에 키가 없다면 요약 화면이 무엇을 암시하든 그 키는 효력이 없습니다.

스위치 위치가 아니라 트래픽으로 검증하세요

프로비저닝 후 의도한 사설 리소스와 평범한 공개 페이지를 열고 둘 다 계약이 서술한 경로를 탄다는 것을 확인하세요. 그다음 전화를 셀룰러로 옮기고 둘 다 반복하며, 시험 중에 새로 지어내지 말고 사용할 수 없을 때를 위해 기록해 둔 동작을 확인하세요. 범위가 좁은 프로필은 보통 거기서 모습을 드러내므로 허용된 Wi-Fi에서 셀룰러로의 전환을 한 번 포함하세요.

감독되는 관리형 Always On 배포는 이 비교에서 빼 두세요. 개인 프로필에서의 자동 활성화와 광범위한 라우팅은 그 관리 정책을 입증하지 않으며 그 반대도 마찬가지입니다. VPN 프로필 두 개를 가진 전화는 수집한 모든 결과를 뒤섞기 때문에 한 기기에서 한 번에 한 구성만 시험하세요.

알려진 프로필로 되돌리세요

동작이 잘못되었을 때 기기에서 키를 편집하는 대신 프로필을 제거하고 마지막으로 알려진 정상 페이로드를 다시 설치하세요. 그다음 같은 두 요청을 반복해 이전 커버리지가 정말로 돌아왔는지 확인하세요. 프로필은 복원하지만 라우팅은 복원하지 않는 롤백은 롤백이 아니며, 시험이 아니라 사용자가 그것을 발견합니다.

페이로드 버전, 네 가지 값, 검증 결과를 함께 보관해 다음 변경이 스크린샷이 아니라 문서화된 기준선에서 시작하게 하세요.