IKEv2-trafikkomfang på iPhone: hvem eier dekningsbeslutningen

Du leter etter en Send all trafikk-bryter på en iPhone, og den finnes ikke. På en innebygd IKEv2-profil avgjøres rutingomfanget av profilen som ble levert, ikke av en kontroll brukeren kan vippe, så letingen gjennom Innstillinger etter den manglende bryteren kaster bort en ettermiddag. Det riktige trekket er å be profileieren om trafikkontrakten skriftlig og deretter verifisere den med ekte forespørsler. Denne kjøreboken gjør det i fem trinn.

Få kontrakten skriftlig før du ser på telefonen

Fire utfall trenger hvert sitt svar: om nettlesing skal bruke gatewayen, om bare private ressurser skal gjøre det, hvilke lokale nettverk og systemtjenester som blir utenfor tunnelen, og hva som skjer mens tunnelen er utilgjengelig. Dette er forskjellige krav, og forskjellige nøkler oppfyller dem. En profil som dekker alt, og en profil som dekker ett subnett, kan se identiske ut på enhetens oversiktsskjerm.

Fastslå også hvem som eier profilen. Hvis den ble levert av en administrasjonstjeneste, lever verdiene i den konsollen, og en håndredigering på telefonen er i beste fall en midlertidig lokal endring. Hvis ingen kan navngi eieren, behandle det som funnet og stopp; å gjette på dekningen fra telefonen gir ikke et svar som kan forsvares.

Be om de fire verdiene som avgjør omfanget

Dekningsnøkkelen er IncludeAllNetworks, som Apple dokumenterer ble innført i iOS 14, og det er den som får tilkoblingen til å bære trafikk bredt i stedet for bare til adressene gatewayen skyver ut. Det lokale unntaket er ExcludeLocalNetworks, tilgjengelig fra iOS 14.2, og dens dokumenterte iOS-standardverdi er 1, som avviker fra macOS-standarden på 0. Spør hvilken verdi hver nøkkel bærer i den faktiske nyttelasten i stedet for å anta en plattformstandard fra en Mac-orientert veiledning.

Spør deretter om DNS, fordi hvilken resolver som mottar private og offentlige navn er en del av samme kontrakt og har sitt eget tilgjengelighetskrav. En tunnel som bærer all trafikk men lar private navn bli hos en offentlig resolver, vil se ut som en ødelagt tunnel for hver bruker som skriver et kort vertsnavn. Test det tilfellet først, fordi det er det billigste å gjenskape, og det er det brukerne rapporterer som en ødelagt VPN.

Kontroller versjonsgulvet før du signerer

Hver av disse nøklene har en minimumsutgivelse, og en profil som bærer en nøkkel den installerte iOS-en ikke kjenner, er ikke en delvis suksess. Ytterligere unntaksnøkler som dekker push-varsler og mobiltjenester har også sine egne gulv, så en nyttelast satt sammen for én flåte kan bli halvveis brukt på en eldre. Noter den installerte iOS-versjonen ved siden av nyttelastversjonen i distribusjonsloggen. En nyttelast som bare brukes halvveis er verre enn en som nekter å installere, fordi enheten rapporterer en tunnel du ikke kan resonnere om.

Ikke installer en uidentifisert profil bare for å avdekke en kontroll som et skjermbilde fra en eldre utgivelse lovet. Hvis konfigurasjonen som er levert ikke inneholder en nøkkel, er nøkkelen ikke i kraft, uansett hva oversiktsskjermen antyder.

Verifiser med trafikk, ikke med en bryterposisjon

Etter klargjøringen åpner du den tiltenkte private ressursen og en vanlig offentlig side, og bekrefter at begge tar veien kontrakten beskriver. Sett deretter telefonen på mobilnett, gjenta begge, og kontroller oppførselen du dokumenterte for det utilgjengelige tilfellet i stedet for å finne den opp under testen. Ta med én tillatt overgang fra Wi-Fi til mobilnett, fordi det er der en profil med smalt omfang vanligvis viser seg.

Hold en overvåket administrert Always On-distribusjon utenfor denne sammenligningen. Automatisk aktivering og bred ruting på en personlig profil beviser ikke den administrerte policyen, og det motsatte er også sant. Test ett arrangement om gangen på én enhet, fordi en telefon med to VPN-profiler vil forvirre hvert resultat du samler inn.

Rull tilbake til en kjent profil

Når oppførselen er feil, fjern profilen og installer den siste kjente gode nyttelasten på nytt i stedet for å redigere nøkler på enheten. Bekreft deretter at den tidligere dekningen virkelig er tilbake ved å gjenta de samme to forespørslene. En tilbakerulling som gjenoppretter profilen men ikke rutingen er ikke en tilbakerulling, og det vil bli oppdaget av en bruker, ikke av testen.

Arkiver nyttelastversjonen, de fire verdiene og verifiseringsresultatet sammen, slik at neste endring starter fra en dokumentert basislinje i stedet for et skjermbilde.