IKEv2-trafikkomfang på iPhone: kven eig dekningsavgjerda

Du leitar etter ein Send all trafikk-brytar på ein iPhone, og han finst ikkje. På ein innebygd IKEv2-profil vert rutingomfanget avgjort av profilen som vart levert, ikkje av ein kontroll brukaren kan vippe, så leitinga gjennom Innstillingar etter den manglande brytaren kastar bort ein ettermiddag. Det rette trekket er å be profileigaren om trafikkontrakten skriftleg og deretter verifisere han med ekte førespurnader. Denne køyreboka gjer det i fem trinn.

Få kontrakten skriftleg før du ser på telefonen

Fire utfall treng kvar sitt svar: om nettlesing skal bruke gatewayen, om berre private ressursar skal gjere det, kva lokale nettverk og systemtenester som blir utanfor tunnelen, og kva som skjer medan tunnelen er utilgjengeleg. Dette er ulike krav, og ulike nøklar oppfyller dei. Ein profil som dekkjer alt, og ein profil som dekkjer eitt subnett, kan sjå identiske ut på oversiktsskjermen til eininga.

Fastslå også kven som eig profilen. Vart han levert av ein administrasjonsteneste, lever verdiane i den konsollen, og ein handredigering på telefonen er i beste fall ei mellombels lokal endring. Om ingen kan namngje eigaren, handsam det som funnet og stopp; å gjette på dekninga frå telefonen gir ikkje eit svar som kan forsvarast.

Be om dei fire verdiane som avgjer omfanget

Dekningsnøkkelen er IncludeAllNetworks, som Apple dokumenterer vart innført i iOS 14, og det er han som får tilkoplinga til å bere trafikk breitt i staden for berre til adressene gatewayen skyv ut. Det lokale unntaket er ExcludeLocalNetworks, tilgjengeleg frå iOS 14.2, og den dokumenterte iOS-standardverdien er 1, som avvik frå macOS-standarden på 0. Spør kva verdi kvar nøkkel ber i den faktiske nyttelasta i staden for å anta ein plattformstandard frå ei Mac-orientert rettleiing.

Spør deretter om DNS, fordi kva resolver som tek imot private og offentlege namn er ein del av same kontrakt og har sitt eige tilgjengekrav. Ein tunnel som ber all trafikk men lèt private namn bli hos ein offentleg resolver, vil sjå ut som ein øydelagd tunnel for kvar brukar som skriv eit kort vertsnamn. Test det tilfellet først, fordi det er det billegaste å gjenskape, og det er det brukarane rapporterer som ein øydelagd VPN.

Kontroller versjonsgolvet før du signerer

Kvar av desse nøklane har ei minsteutgåve, og ein profil som ber ein nøkkel den installerte iOS-en ikkje kjenner, er ikkje ein delvis suksess. Fleire unntaksnøklar som dekkjer push-varsel og mobiltjenester har også sine eigne golv, så ei nyttelast sett saman for ein flåte kan bli halvvegs brukt på ein eldre. Noter den installerte iOS-versjonen ved sida av nyttelastversjonen i distribusjonsloggen. Ei nyttelast som berre blir brukt halvvegs er verre enn ei som nektar å installere, fordi eininga rapporterer ein tunnel du ikkje kan resonnere om.

Ikkje installer ein uidentifisert profil berre for å avdekkje ein kontroll som eit skjermbilete frå ei eldre utgåve lova. Viss konfigurasjonen som er levert ikkje inneheld ein nøkkel, er nøkkelen ikkje i kraft, uansett kva oversiktsskjermen antydar.

Verifiser med trafikk, ikkje med ein brytarposisjon

Etter klargjeringa opnar du den tiltenkte private ressursen og ei vanleg offentleg side, og stadfestar at begge tek vegen kontrakten skildrar. Set deretter telefonen på mobilnett, gjenta begge, og kontroller åtferda du dokumenterte for det utilgjengelege tilfellet i staden for å finne henne opp under testen. Ta med éin tillaten overgang frå Wi-Fi til mobilnett, fordi det er der ein profil med smalt omfang vanlegvis viser seg.

Hald ein overvaka administrert Always On-distribusjon utanfor denne samanlikninga. Automatisk aktivering og brei ruting på ein personleg profil beviser ikkje den administrerte policyen, og det motsette er også sant. Test eitt arrangement om gongen på éi eining, fordi ein telefon med to VPN-profilar vil forvirre kvart resultat du samlar inn.

Rull tilbake til ein kjend profil

Når åtferda er feil, fjern profilen og installer den siste kjende gode nyttelasta på nytt i staden for å redigere nøklar på eininga. Stadfest deretter at den tidlegare dekninga verkeleg er tilbake ved å gjenta dei same to førespurnadene. Ei tilbakerulling som gjenopprettar profilen men ikkje rutinga er ikkje ei tilbakerulling, og det vil bli oppdaga av ein brukar, ikkje av testen.

Arkiver nyttelastversjonen, dei fire verdiane og verifiseringsresultatet saman, slik at neste endring startar frå ei dokumentert basislinje i staden for eit skjermbilete.