Обим IKEv2 саобраћаја на iPhone-у: чија је одлука о покривености

Тражите прекидач Пошаљи сав саобраћај на iPhone-у и он не постоји. Код изворног IKEv2 профила обим рутирања одређује достављени профил, а не контрола коју корисник може преврнути, па тражење несталог прекидача по Подешавањима троши поподне. Исправан потез је да од власника профила затражите уговор о саобраћају у писаној форми, а затим да га проверите стварним захтевима. Овај приручник то чини у пет корака.

Прибавите уговор у писаној форми пре него што погледате телефон

Четири исхода траже одвојене одговоре: да ли прегледање интернета треба да користи пролаз, да ли то треба да чине само приватни ресурси, које локалне мреже и системске услуге остају изван тунела и шта се дешава док је тунел недоступан. То су различити захтеви и задовољавају их различити кључеви. Профил који покрива све и профил који покрива једну подмрежу могу на екрану сажетка уређаја изгледати идентично.

Утврдите и чији је профил. Ако га је доставила услуга управљања, вредности живе у тој конзоли, а ручна измена на телефону је у најбољем случају привремена локална промена. Ако нико не може да наведе власника, сматрајте то налазом и зауставите се; нагађање о покривености са телефона неће дати одговор који се може бранити.

Затражите четири вредности које одређују обим

Кључ покривености је IncludeAllNetworks, који Apple документује као уведен у iOS 14, и он чини да веза носи саобраћај широко, а не само ка адресама које пролаз гура. Локални изузетак је ExcludeLocalNetworks, доступан од iOS 14.2, а његова документована подразумевана вредност у iOS је 1, што се разликује од подразумеване вредности macOS која је 0. Питајте коју вредност носи сваки кључ у стварном носивом терету, уместо да претпоставите платформску подразумевану вредност из приручника намењеног Mac-у.

Затим питајте о DNS-у, јер који resolver прима приватна и јавна имена део је истог уговора и има сопствени захтев за доступност. Тунел који носи сав саобраћај али оставља приватна имена код јавног resolver-а изгледаће као покварен тунел сваком кориснику који укуца кратко име хоста. Тестирајте тај случај први, јер га је најјефтиније репродуковати и управо га корисници пријављују као покварен VPN.

Проверите минималну верзију пре него што потпишете

Сваки од ових кључева има минимално издање, а профил који носи кључ који инсталирани iOS не познаје није делимичан успех. Додатни кључеви изузетака који покривају push обавештења и мобилне услуге такође имају своје минимуме, па се носиви терет састављен за једну флоту може делимично применити на старијој. Запишите инсталирану верзију iOS-а поред верзије носивог терета у запис о распоређивању. Носиви терет који се примењује делимично гори је од оног који одбија инсталацију, јер уређај пријављује тунел о којем не можете закључивати.

Не инсталирајте неидентификовани профил само да бисте открили контролу коју је обећавао снимак екрана са старијег издања. Ако достављена конфигурација не укључује кључ, кључ није на снази, шта год екран сажетка сугерисао.

Проверавајте саобраћајем, а не положајем прекидача

Након провизионисања отворите предвиђени приватни ресурс и обичну јавну страницу и потврдите да обоје иду путем који уговор описује. Затим ставите телефон на мобилну мрежу, поновите обоје и проверите понашање које сте документовали за недоступни случај уместо да га измишљате током теста. Укључите један дозвољени прелаз са Wi-Fi на мобилну мрежу, јер се ту профил уског обима обично покаже.

Држите надгледано управљано Always On распоређивање изван овог поређења. Аутоматска активација и широко рутирање на личном профилу не успостављају ту управљану политику, а и обрнуто је тачно. Тестирајте један распоред по један на једном уређају, јер телефон са два VPN профила ће побркати сваки резултат који прикупите.

Вратите се на познати профил

Када је понашање погрешно, уклоните профил и поново инсталирајте последњи познати исправни носиви терет уместо да уређујете кључеве на уређају. Затим потврдите да се претходна покривеност заиста вратила понављањем иста два захтева. Враћање које обнавља профил али не и рутирање није враћање и откриће га корисник, а не тест.

Одложите верзију носивог терета, четири вредности и резултат провере заједно, да следећа промена почне са документованом основном линијом уместо са снимком екрана.