Domeniul traficului IKEv2 pe iPhone: cine decide acoperirea

Cauți un comutator Trimite tot traficul pe un iPhone și nu există. Pe un profil IKEv2 nativ, domeniul rutării este decis de profilul care a fost livrat, nu de un control pe care utilizatorul îl poate răsturna, așa că a scotoci prin Setări după comutatorul lipsă pierde o după-amiază. Mișcarea corectă este să ceri proprietarului profilului contractul de trafic în scris și apoi să îl verifici cu cereri reale. Acest ghid face asta în cinci pași.

Obține contractul în scris înainte de a te uita la telefon

Patru rezultate au nevoie de răspunsuri separate: dacă navigarea pe internet ar trebui să folosească gateway-ul, dacă doar resursele private ar trebui să o facă, ce rețele locale și servicii de sistem rămân în afara tunelului, și ce se întâmplă cât timp tunelul nu este disponibil. Sunt cerințe diferite și chei diferite le satisfac. Un profil care acoperă tot și un profil care acoperă o singură subrețea pot arăta identic pe ecranul de sumar al dispozitivului.

Stabilește și cui îi aparține profilul. Dacă a fost livrat de un serviciu de management, valorile trăiesc în acea consolă, iar o editare manuală pe telefon este cel mult o schimbare locală temporară. Dacă nimeni nu poate numi proprietarul, tratează asta ca pe constatarea și oprește-te; ghicitul acoperirii de pe telefon nu va produce un răspuns care poate fi apărat.

Cere cele patru valori care decid domeniul

Cheia de acoperire este IncludeAllNetworks, documentată de Apple ca introdusă în iOS 14, și ea este cea care face conexiunea să transporte trafic larg și nu doar către adresele pe care le împinge gateway-ul. Excepția locală este ExcludeLocalNetworks, disponibilă din iOS 14.2, iar valoarea implicită documentată în iOS este 1, care diferă de valoarea implicită din macOS, 0. Întreabă ce valoare poartă fiecare cheie în încărcătura reală în loc să presupui o valoare implicită de platformă dintr-un ghid gândit pentru Mac.

Apoi întreabă despre DNS, pentru că ce resolver primește numele private și publice face parte din același contract și are propria cerință de accesibilitate. Un tunel care transportă tot traficul dar lasă numele private la un resolver public va arăta ca un tunel stricat pentru fiecare utilizator care tastează un nume de gazdă scurt. Testează acel caz primul, pentru că este cel mai ieftin de reprodus și este cel pe care utilizatorii îl raportează ca VPN stricat.

Verifică pragul minim de versiune înainte de a semna

Fiecare dintre aceste chei are o versiune minimă, iar un profil care poartă o cheie pe care iOS-ul instalat nu o cunoaște nu este un succes parțial. Cheile de excludere suplimentare care acoperă notificări push și servicii celulare au și ele propriile praguri, așa că o încărcătură alcătuită pentru o flotă se poate aplica pe jumătate pe una mai veche. Notează versiunea iOS instalată lângă versiunea încărcăturii în registrul de implementare. O încărcătură care se aplică pe jumătate este mai rea decât una care refuză instalarea, pentru că dispozitivul raportează un tunel despre care nu poți raționa.

Nu instala un profil neidentificat doar ca să dezvălui un control pe care o captură de ecran dintr-o versiune mai veche îl promitea. Dacă configurația furnizată nu include o cheie, cheia nu este în vigoare, orice ar sugera ecranul de sumar.

Verifică cu trafic, nu cu poziția unui comutator

După provizionare, deschide resursa privată dorită și o pagină publică obișnuită și confirmă că ambele urmează calea descrisă de contract. Apoi treci telefonul pe rețeaua celulară, repetă ambele și verifică comportamentul pe care l-ai documentat pentru cazul indisponibil în loc să îl inventezi în timpul testului. Include o tranziție permisă de la Wi-Fi la rețeaua celulară, pentru că acolo un profil cu domeniu îngust se arată de obicei.

Ține o implementare Always On gestionată și supravegheată în afara acestei comparații. Activarea automată și rutarea largă pe un profil personal nu stabilesc acea politică gestionată, și nici invers nu este adevărat. Testează un singur aranjament odată pe un singur dispozitiv, pentru că un telefon cu două profiluri VPN va încurca fiecare rezultat pe care îl colectezi.

Revino la un profil cunoscut

Când comportamentul este greșit, elimină profilul și reinstalează ultima încărcătură bună cunoscută în loc să editezi chei pe dispozitiv. Apoi confirmă că acoperirea anterioară a revenit cu adevărat repetând aceleași două cereri. O revenire care restaurează profilul dar nu rutarea nu este o revenire, și va fi descoperită de un utilizator, nu de test.

Arhivează versiunea încărcăturii, cele patru valori și rezultatul verificării împreună, astfel încât următoarea schimbare să pornească de la o bază documentată și nu de la o captură de ecran.