Rozsah prevádzky IKEv2 na iPhone: kto rozhoduje o pokrytí

Hľadáte na iPhone prepínač Odosielať všetku prevádzku a nie je tam. V natívnom profile IKEv2 určuje rozsah smerovania profil, ktorý bol doručený, nie ovládací prvok, ktorý môže používateľ prepnúť, takže hľadanie chýbajúceho prepínača v Nastaveniach premrhá popoludnie. Správny krok je vyžiadať si od vlastníka profilu zmluvu o prevádzke písomne a potom ju overiť skutočnými požiadavkami. Táto príručka to robí v piatich krokoch.

Získajte zmluvu písomne, skôr než sa pozriete na telefón

Štyri výsledky potrebujú samostatné odpovede: či má prehliadanie internetu používať bránu, či to majú robiť len súkromné zdroje, ktoré miestne siete a systémové služby zostávajú mimo tunela a čo sa deje, kým je tunel nedostupný. To sú rôzne požiadavky a uspokojujú ich rôzne kľúče. Profil, ktorý pokrýva všetko, a profil, ktorý pokrýva jednu podsiet, môžu na súhrnnej obrazovke zariadenia vyzerať rovnako.

Zistite aj, komu profil patrí. Ak ho doručila služba správy, hodnoty žijú v tej konzole a ručná úprava v telefóne je v najlepšom prípade dočasnou miestnou zmenou. Ak nikto nedokáže pomenovať vlastníka, považujte to za zistenie a skončite; odhadovanie pokrytia z telefónu neposkytne obhájiteľnú odpoveď.

Vyžiadajte si štyri hodnoty, ktoré určujú rozsah

Kľúčom pokrytia je IncludeAllNetworks, podľa Apple zavedený v iOS 14, a práve on spôsobuje, že spojenie nesie prevádzku široko, nie len na adresy, ktoré vytláča brána. Miestnou výnimkou je ExcludeLocalNetworks, dostupná od iOS 14.2, a jej dokumentovaná predvolená hodnota v iOS je 1, čo sa líši od predvolenej hodnoty macOS 0. Pýtajte sa, akú hodnotu nesie každý kľúč v skutočnom užitočnom zaťažení, namiesto predpokladu predvolenej hodnoty platformy z príručky orientovanej na Mac.

Potom sa pýtajte na DNS, pretože to, ktorý resolver dostáva súkromné a verejné mená, je súčasťou tej istej zmluvy a má vlastnú požiadavku dosiahnuteľnosti. Tunel, ktorý nesie všetku prevádzku, ale necháva súkromné mená pri verejnom resolveri, bude každému používateľovi, ktorý napíše krátke meno hostiteľa, pripadať ako pokazený tunel. Otestujte tento prípad ako prvý, pretože sa najľahšie reprodukuje a práve ten používatelia hlásia ako pokazený VPN.

Pred podpisom skontrolujte minimálnu verziu

Každý z týchto kľúčov má minimálne vydanie a profil nesúci kľúč, ktorý nainštalovaný iOS nepozná, nie je čiastočný úspech. Dodatočné kľúče výnimiek pokrývajúce push oznámenia a mobilné služby majú tiež svoje minimá, takže užitočné zaťaženie zostavené pre jednu flotilu sa môže na staršej uplatniť len čiastočne. Zapíšte nainštalovanú verziu iOS vedľa verzie užitočného zaťaženia do záznamu o nasadení. Užitočné zaťaženie, ktoré sa uplatní len čiastočne, je horšie než to, ktoré odmietne inštaláciu, pretože zariadenie hlási tunel, o ktorom nemôžete uvažovať.

Neinštalujte neidentifikovaný profil len preto, aby ste odhalili ovládací prvok, ktorý sľuboval snímka obrazovky zo staršieho vydania. Ak dodaná konfigurácia kľúč neobsahuje, kľúč neplatí, nech súhrnná obrazovka naznačuje čokoľvek.

Overujte prevádzkou, nie polohou prepínača

Po zriadení otvorte zamýšľaný súkromný zdroj a bežnú verejnú stránku a potvrďte, že oba idú cestou, ktorú zmluva opisuje. Potom prepnite telefón na mobilnú sieť, zopakujte oboje a skontrolujte správanie, ktoré ste zdokumentovali pre nedostupný prípad, namiesto toho, aby ste si ho počas testu vymýšľali. Zahrňte jeden povolený prechod z Wi-Fi na mobilnú sieť, pretože práve tam sa profil s úzkym rozsahom zvyčajne ukáže.

Nechajte spravované nasadenie Always On pod dohľadom mimo tohto porovnania. Automatická aktivácia a široké smerovanie na osobnom profile túto spravovanú politiku nepotvrdzujú a opak je tiež pravda. Testujte jedno usporiadanie po druhom na jednom zariadení, pretože telefón s dvoma profilmi VPN skreslí každý výsledok, ktorý zhromaždíte.

Vráťte sa k známemu profilu

Keď je správanie nesprávne, odoberte profil a preinštalujte posledné známe dobré užitočné zaťaženie, namiesto úpravy kľúčov v zariadení. Potom potvrďte, že predchádzajúce pokrytie sa skutočne vrátilo, zopakovaním tých istých dvoch požiadaviek. Vrátenie, ktoré obnoví profil, ale nie smerovanie, nie je vrátenie, a objaví ho používateľ, nie test.

Uložte verziu užitočného zaťaženia, štyri hodnoty a výsledok overenia spolu, aby ďalšia zmena začínala z zdokumentovanej základnej línie a nie zo snímky obrazovky.