Âmbito do tráfego IKEv2 no iPhone: quem decide a cobertura

Procura um interruptor Enviar todo o tráfego num iPhone e ele não existe. Num perfil IKEv2 nativo, o âmbito do encaminhamento é decidido pelo perfil que foi entregue, não por um controlo que o utilizador possa inverter, por isso vasculhar os Ajustes à procura do interruptor ausente desperdiça uma tarde. O passo certo é pedir ao proprietário do perfil o contrato de tráfego por escrito e depois verificá-lo com pedidos reais. Este guia fá-lo em cinco passos.

Obtenha o contrato por escrito antes de olhar para o telefone

Quatro resultados exigem respostas separadas: se a navegação na internet deve usar o gateway, se apenas os recursos privados o devem fazer, que redes locais e serviços do sistema ficam fora do túnel, e o que acontece enquanto o túnel não está disponível. São requisitos diferentes e chaves diferentes satisfazem-nos. Um perfil que cobre tudo e um perfil que cobre uma única sub-rede podem parecer idênticos no ecrã de resumo do dispositivo.

Estabeleça também de quem é o perfil. Se foi entregue por um serviço de gestão, os valores vivem nessa consola e uma edição manual no telefone é, no melhor caso, uma alteração local temporária. Se ninguém conseguir nomear o proprietário, trate isso como o achado e pare; adivinhar a cobertura a partir do telefone não produzirá uma resposta defensável.

Peça os quatro valores que decidem o âmbito

A chave de cobertura é IncludeAllNetworks, documentada pela Apple como introduzida no iOS 14, e é ela que faz a ligação transportar tráfego de forma ampla e não apenas para os endereços que o gateway empurra. A exceção local é ExcludeLocalNetworks, disponível desde o iOS 14.2, e o seu valor predefinido documentado no iOS é 1, que difere do predefinido do macOS, 0. Pergunte que valor cada chave transporta na carga real em vez de assumir um predefinido de plataforma a partir de um guia pensado para Mac.

Depois pergunte pelo DNS, porque qual o resolver que recebe os nomes privados e públicos faz parte do mesmo contrato e tem o seu próprio requisito de alcance. Um túnel que transporta todo o tráfego mas deixa os nomes privados num resolver público parecerá um túnel avariado a cada utilizador que escreva um nome de anfitrião curto. Teste esse caso primeiro, porque é o mais barato de reproduzir e é o que os utilizadores reportam como a VPN que não funciona.

Verifique o mínimo de versão antes de assinar

Cada uma destas chaves tem uma versão mínima, e um perfil que transporta uma chave que o iOS instalado não conhece não é um sucesso parcial. As chaves de exclusão adicionais que cobrem notificações push e serviços móveis também têm os seus próprios mínimos, por isso uma carga montada para uma frota pode aplicar-se a meio numa mais antiga. Anote a versão de iOS instalada ao lado da versão da carga no registo de implementação. Uma carga que se aplica a meio é pior do que uma que recusa instalar-se, porque o dispositivo reporta um túnel sobre o qual não consegue raciocinar.

Não instale um perfil não identificado só para revelar um controlo que uma captura de ecrã de uma versão anterior prometia. Se a configuração fornecida não incluir uma chave, a chave não está em vigor, diga o que disser o ecrã de resumo.

Verifique com tráfego, não com a posição de um interruptor

Após o aprovisionamento, abra o recurso privado pretendido e uma página pública comum, e confirme que ambos seguem o caminho descrito pelo contrato. Depois passe o telefone para a rede móvel, repita ambos e verifique o comportamento que documentou para o caso indisponível em vez de o inventar durante o teste. Inclua uma transição permitida de Wi-Fi para rede móvel, porque é aí que um perfil de âmbito estreito costuma revelar-se.

Mantenha uma implementação Always On gerida e supervisionada fora desta comparação. A ativação automática e o encaminhamento amplo num perfil pessoal não estabelecem essa política gerida, e o contrário também é verdade. Teste um arranjo de cada vez num único dispositivo, porque um telefone com dois perfis VPN irá confundir cada resultado que recolher.

Volte a um perfil conhecido

Quando o comportamento está errado, remova o perfil e reinstale a última carga boa conhecida em vez de editar chaves no dispositivo. Depois confirme que a cobertura anterior voltou mesmo, repetindo os mesmos dois pedidos. Uma reversão que restaura o perfil mas não o encaminhamento não é uma reversão, e será descoberta por um utilizador e não pelo teste.

Arquive a versão da carga, os quatro valores e o resultado da verificação em conjunto, para que a alteração seguinte comece a partir de uma base documentada e não de uma captura de ecrã.