Zakres ruchu IKEv2 na iPhonie: kto decyduje o pokryciu

Szukasz na iPhonie przełącznika Wyślij cały ruch i nie ma go. W natywnym profilu IKEv2 zakres trasowania ustala profil, który został dostarczony, a nie kontrolka, którą użytkownik może przełączyć, więc szukanie w Ustawieniach brakującego przełącznika marnuje popołudnie. Właściwym krokiem jest poproszenie właściciela profilu o umowę dotyczącą ruchu na piśmie, a następnie zweryfikowanie jej rzeczywistymi żądaniami. Ten przewodnik robi to w pięciu krokach.

Zdobądź umowę na piśmie, zanim spojrzysz na telefon

Cztery wyniki wymagają osobnych odpowiedzi: czy przeglądanie internetu ma korzystać z bramy, czy mają to robić tylko zasoby prywatne, które sieci lokalne i usługi systemowe pozostają poza tunelem, oraz co się dzieje, gdy tunel jest niedostępny. To różne wymagania i różne klucze je spełniają. Profil obejmujący wszystko i profil obejmujący jedną podsieć mogą wyglądać identycznie na ekranie podsumowania urządzenia.

Ustal też, do kogo należy profil. Jeśli dostarczyła go usługa zarządzania, wartości żyją w tej konsoli, a ręczna zmiana na telefonie jest w najlepszym razie tymczasową zmianą lokalną. Jeśli nikt nie potrafi wskazać właściciela, potraktuj to jako ustalenie i zatrzymaj się; zgadywanie pokrycia z telefonu nie da odpowiedzi, której można bronić.

Poproś o cztery wartości, które decydują o zakresie

Kluczem pokrycia jest IncludeAllNetworks, udokumentowany przez Apple jako wprowadzony w iOS 14, i to on sprawia, że połączenie niesie ruch szeroko, a nie tylko do adresów wypychanych przez bramę. Wyjątkiem lokalnym jest ExcludeLocalNetworks, dostępny od iOS 14.2, a jego udokumentowana wartość domyślna w iOS to 1, co różni się od wartości domyślnej macOS wynoszącej 0. Pytaj, jaką wartość niesie każdy klucz w rzeczywistym ładunku, zamiast zakładać wartość domyślną platformy z poradnika pisanego pod Maca.

Następnie pytaj o DNS, ponieważ to, który resolver odbiera nazwy prywatne i publiczne, jest częścią tej samej umowy i ma własne wymaganie osiągalności. Tunel, który niesie cały ruch, ale zostawia nazwy prywatne u publicznego resolvera, będzie wyglądał na zepsuty tunel dla każdego użytkownika, który wpisze krótką nazwę hosta. Przetestuj ten przypadek pierwszy, bo najtaniej go odtworzyć i właśnie ten użytkownicy zgłaszają jako zepsuty VPN.

Sprawdź dolną granicę wersji, zanim podpiszesz

Każdy z tych kluczy ma minimalne wydanie, a profil niosący klucz, którego zainstalowany iOS nie zna, nie jest częściowym sukcesem. Dodatkowe klucze wyjątków obejmujące powiadomienia push i usługi komórkowe mają również własne granice, więc ładunek złożony dla jednej floty może zadziałać połowicznie na starszej. Zapisz zainstalowaną wersję iOS obok wersji ładunku w rejestrze wdrożenia. Ładunek, który działa połowicznie, jest gorszy od tego, który odmawia instalacji, ponieważ urządzenie raportuje tunel, o którym nie możesz rozumować.

Nie instaluj niezidentyfikowanego profilu tylko po to, by ujawnić kontrolkę, którą obiecywał zrzut ekranu ze starszego wydania. Jeśli dostarczona konfiguracja nie zawiera klucza, klucz nie obowiązuje, cokolwiek sugeruje ekran podsumowania.

Weryfikuj ruchem, a nie pozycją przełącznika

Po przygotowaniu otwórz zamierzony zasób prywatny i zwykłą stronę publiczną i potwierdź, że oba idą drogą opisaną w umowie. Następnie przełącz telefon na sieć komórkową, powtórz oba i sprawdź zachowanie, które udokumentowałeś dla przypadku niedostępności, zamiast wymyślać je podczas testu. Uwzględnij jedno dozwolone przejście z Wi-Fi na sieć komórkową, bo tam profil o wąskim zakresie zwykle się ujawnia.

Trzymaj nadzorowane zarządzane wdrożenie Always On poza tym porównaniem. Automatyczna aktywacja i szerokie trasowanie w profilu osobistym nie dowodzą tej zarządzanej polityki, i odwrotnie też to prawda. Testuj jedno ustawienie naraz na jednym urządzeniu, ponieważ telefon z dwoma profilami VPN zaburzy każdy zebrany wynik.

Wróć do znanego profilu

Gdy zachowanie jest błędne, usuń profil i zainstaluj ponownie ostatni znany dobry ładunek, zamiast edytować klucze na urządzeniu. Potem potwierdź, że poprzednie pokrycie naprawdę wróciło, powtarzając te same dwa żądania. Wycofanie, które przywraca profil, ale nie trasowanie, nie jest wycofaniem, i odkryje je użytkownik, a nie test.

Archiwizuj wersję ładunku, cztery wartości i wynik weryfikacji razem, aby następna zmiana zaczynała się od udokumentowanej linii bazowej, a nie od zrzutu ekranu.