IKEv2-verkeersbereik op de iPhone: wie beslist over de dekking

Je zoekt een schakelaar Alle verkeer verzenden op een iPhone en die is er niet. Bij een native IKEv2-profiel bepaalt het geleverde profiel de routing-scope, niet een bediening die de gebruiker kan omzetten, dus zoeken in Instellingen naar de ontbrekende schakelaar kost een middag. De juiste stap is de profieleigenaar schriftelijk om het verkeerscontract vragen en dat daarna verifiëren met echte aanvragen. Deze runbook doet dat in vijf stappen.

Haal het contract schriftelijk op voordat je naar de telefoon kijkt

Vier uitkomsten vragen aparte antwoorden: of internetbrowsen de gateway hoort te gebruiken, of alleen privéresources dat zouden moeten doen, welke lokale netwerken en systeemdiensten buiten de tunnel blijven, en wat er gebeurt terwijl de tunnel niet beschikbaar is. Dat zijn verschillende eisen en verschillende sleutels voldoen eraan. Een profiel dat alles dekt en een profiel dat één subnet dekt, kunnen er op het samenvattingsscherm van het apparaat identiek uitzien.

Stel ook vast wie de eigenaar van het profiel is. Is het geleverd door een beheerdienst, dan leven de waarden in die console en is handmatig aanpassen op de telefoon op zijn best een tijdelijke lokale wijziging. Kan niemand de eigenaar noemen, behandel dat als de bevinding en stop; gissen naar de dekking vanaf de telefoon levert geen verdedigbaar antwoord op.

Vraag om de vier waarden die de scope bepalen

De dekkingssleutel is IncludeAllNetworks, door Apple gedocumenteerd als geïntroduceerd in iOS 14, en die zorgt ervoor dat de verbinding verkeer breed draagt en niet alleen naar de adressen die de gateway pusht. De lokale uitzondering is ExcludeLocalNetworks, beschikbaar vanaf iOS 14.2, en de gedocumenteerde iOS-standaardwaarde is 1, wat afwijkt van de macOS-standaard van 0. Vraag welke waarde elke sleutel in de werkelijke payload heeft in plaats van een platformstandaard aan te nemen uit een gids die op de Mac is gericht.

Vraag daarna naar DNS, want welke resolver privé- en openbare namen ontvangt is deel van hetzelfde contract en heeft zijn eigen bereikbaarheidseis. Een tunnel die al het verkeer draagt maar privénamen bij een openbare resolver laat, ziet er voor elke gebruiker die een korte hostnaam typt uit als een kapotte tunnel. Test dat geval eerst, want het is het goedkoopst te reproduceren en het is precies wat gebruikers melden als een kapotte VPN.

Controleer de versieondergrens voordat je tekent

Elk van deze sleutels heeft een minimumrelease, en een profiel met een sleutel die de geïnstalleerde iOS niet kent is geen gedeeltelijk succes. Extra uitsluitingssleutels voor pushmeldingen en mobiele diensten hebben ook hun eigen ondergrenzen, dus een payload die voor de ene vloot is samengesteld kan op een oudere maar half werken. Noteer de geïnstalleerde iOS-versie naast de payloadversie in het uitrolregister. Een payload die maar half werkt is erger dan een die weigert te installeren, omdat het apparaat een tunnel meldt waarover je niet kunt redeneren.

Installeer geen onbekend profiel alleen om een bediening te onthullen die een schermafbeelding uit een oudere release beloofde. Als de geleverde configuratie geen sleutel bevat, is de sleutel niet van kracht, wat het samenvattingsscherm ook suggereert.

Verifieer met verkeer, niet met een schakelaarpositie

Open na de inrichting de bedoelde privéresource en een gewone openbare pagina, en bevestig dat beide het pad nemen dat het contract beschrijft. Zet de telefoon daarna op mobiel, herhaal beide, en controleer het gedrag dat je voor het niet-beschikbare geval hebt gedocumenteerd in plaats van het tijdens de test te bedenken. Neem één toegestane overgang van Wi-Fi naar mobiel op, want daar laat een profiel met een smalle scope zich meestal zien.

Houd een beheerde Always On-uitrol onder toezicht buiten deze vergelijking. Automatische activering en brede routing op een persoonlijk profiel bewijzen dat beheerde beleid niet, en het omgekeerde is ook waar. Test één opstelling per keer op één apparaat, want een telefoon met twee VPN-profielen vertroebelt elk resultaat dat je verzamelt.

Val terug op een bekend profiel

Als het gedrag verkeerd is, verwijder het profiel en herinstalleer de laatste bekende goede payload in plaats van sleutels op het apparaat te bewerken. Bevestig daarna dat de vorige dekking echt terug is door dezelfde twee aanvragen te herhalen. Een terugdraaiing die het profiel maar niet de routing herstelt is geen terugdraaiing, en een gebruiker ontdekt het, niet de test.

Archiveer de payloadversie, de vier waarden en het verificatieresultaat samen, zodat de volgende wijziging van een gedocumenteerde basislijn begint en niet van een schermafbeelding.