Область трафика IKEv2 на iPhone: кому принадлежит решение о покрытии

Вы ищете на iPhone переключатель «Отправлять весь трафик», и его там нет. В собственном профиле IKEv2 область маршрутизации определяется доставленным профилем, а не элементом управления, который пользователь может переключить, поэтому поиск пропавшего тумблера в Настройках тратит полдня. Правильный шаг — запросить у владельца профиля договор о трафике в письменном виде, а затем проверить его реальными запросами. Это руководство делает так за пять шагов.

Получите договор письменно, прежде чем смотреть на телефон

Четыре исхода требуют отдельных ответов: должен ли просмотр интернета использовать шлюз, должны ли это делать только частные ресурсы, какие локальные сети и системные службы остаются вне туннеля и что происходит, пока туннель недоступен. Это разные требования, и удовлетворяют их разные ключи. Профиль, покрывающий всё, и профиль, покрывающий одну подсеть, могут выглядеть одинаково на экране сводки устройства.

Также установите, кому принадлежит профиль. Если его доставила служба управления, значения живут в той консоли, а ручная правка на телефоне в лучшем случае временное локальное изменение. Если никто не может назвать владельца, считайте это находкой и остановитесь; догадки о покрытии с телефона не дадут ответа, который можно защитить.

Запросите четыре значения, определяющие область

Ключ покрытия — IncludeAllNetworks, который Apple документирует как введённый в iOS 14, и именно он заставляет соединение нести трафик широко, а не только к адресам, которые выталкивает шлюз. Локальное исключение — ExcludeLocalNetworks, доступное с iOS 14.2, и его документированное значение по умолчанию в iOS — 1, что отличается от значения по умолчанию в macOS, равного 0. Спрашивайте, какое значение несёт каждый ключ в фактической полезной нагрузке, вместо того чтобы предполагать платформенное значение по умолчанию из руководства, ориентированного на Mac.

Затем спросите о DNS, потому что то, какой распознаватель получает частные и публичные имена, является частью того же договора и имеет собственное требование достижимости. Туннель, который несёт весь трафик, но оставляет частные имена у публичного распознавателя, будет выглядеть как сломанный туннель для каждого пользователя, который вводит короткое имя хоста. Проверьте этот случай первым, потому что его дешевле всего воспроизвести, и именно его пользователи сообщают как сломанный VPN.

Проверьте нижнюю границу версии, прежде чем подписывать

У каждого из этих ключей есть минимальный выпуск, и профиль с ключом, которого установленная iOS не знает, не является частичным успехом. Дополнительные ключи исключений для push-уведомлений и сотовых служб тоже имеют свои границы, поэтому полезная нагрузка, собранная для одного парка, может примениться наполовину на более старом. Запишите установленную версию iOS рядом с версией полезной нагрузки в журнале развёртывания. Полезная нагрузка, которая применяется наполовину, хуже той, что отказывается устанавливаться, потому что устройство сообщает о туннеле, о котором нельзя рассуждать.

Не устанавливайте неопознанный профиль только чтобы обнаружить элемент управления, который обещал снимок экрана из более старого выпуска. Если предоставленная конфигурация не содержит ключа, ключ не действует, что бы ни подразумевал экран сводки.

Проверяйте трафиком, а не положением переключателя

После подготовки откройте нужный частный ресурс и обычную публичную страницу и подтвердите, что оба идут путём, описанным в договоре. Затем переведите телефон на сотовую сеть, повторите оба и проверьте поведение, которое вы задокументировали для недоступного случая, вместо того чтобы придумывать его во время теста. Включите один разрешённый переход с Wi-Fi на сотовую сеть, потому что именно там профиль с узкой областью обычно себя показывает.

Держите контролируемое управляемое развёртывание Always On вне этого сравнения. Автоматическая активация и широкая маршрутизация на личном профиле не подтверждают эту управляемую политику, и обратное тоже верно. Тестируйте одну конфигурацию за раз на одном устройстве, потому что телефон с двумя профилями VPN запутает каждый собранный результат.

Вернитесь к известному профилю

Когда поведение неверно, удалите профиль и переустановите последнюю известную хорошую полезную нагрузку вместо правки ключей на устройстве. Затем подтвердите, что прежнее покрытие действительно вернулось, повторив те же два запроса. Откат, который восстанавливает профиль, но не маршрутизацию, не является откатом, и его обнаружит пользователь, а не тест.

Храните версию полезной нагрузки, четыре значения и результат проверки вместе, чтобы следующее изменение начиналось с задокументированной базовой линии, а не со снимка экрана.