IKEv2-trafikomfattning på iPhone: vem äger täckningsbeslutet

Du letar efter en Skicka all trafik-brytare på en iPhone och den finns inte. På en inbyggd IKEv2-profil avgörs routingomfånget av profilen som levererades, inte av en kontroll som användaren kan vippa, så letandet genom Inställningar efter den saknade brytaren slösar bort en eftermiddag. Rätt drag är att be profilägaren om trafikavtalet skriftligt och sedan verifiera det med riktiga förfrågningar. Den här körboken gör det i fem steg.

Skaffa avtalet skriftligt innan du tittar på telefonen

Fyra utfall behöver var sitt svar: om webbsurfning ska använda gatewayen, om bara privata resurser ska göra det, vilka lokala nätverk och systemtjänster som stannar utanför tunneln, och vad som händer medan tunneln är otillgänglig. Det är olika krav och olika nycklar uppfyller dem. En profil som täcker allt och en profil som täcker ett enda subnät kan se identiska ut på enhetens översiktsskärm.

Fastställ också vem som äger profilen. Om den levererades av en hanteringstjänst lever värdena i den konsolen, och en handredigering på telefonen är i bästa fall en tillfällig lokal ändring. Om ingen kan namnge ägaren, behandla det som fyndet och sluta; att gissa täckningen från telefonen ger inget svar som går att försvara.

Be om de fyra värden som avgör omfånget

Täckningsnyckeln är IncludeAllNetworks, som Apple dokumenterar infördes i iOS 14, och det är den som får anslutningen att bära trafik brett i stället för bara till adresserna som gatewayen skjuter ut. Det lokala undantaget är ExcludeLocalNetworks, tillgängligt från iOS 14.2, och dess dokumenterade iOS-standardvärde är 1, vilket skiljer sig från macOS-standarden på 0. Fråga vilket värde varje nyckel bär i den faktiska nyttolasten i stället för att anta en plattformsstandard från en Mac-orienterad guide.

Fråga sedan om DNS, eftersom vilken resolver som tar emot privata och offentliga namn är en del av samma avtal och har sitt eget nåbarhetskrav. En tunnel som bär all trafik men lämnar privata namn hos en offentlig resolver kommer att se ut som en trasig tunnel för varje användare som skriver ett kort värdnamn. Testa det fallet först, eftersom det är billigast att återskapa och det är det användarna rapporterar som en trasig VPN.

Kontrollera versionsgolvet innan du signerar

Var och en av dessa nycklar har en minsta utgåva, och en profil som bär en nyckel som den installerade iOS-versionen inte känner till är inte en delvis framgång. Ytterligare undantagsnycklar som täcker push-aviseringar och mobiltjänster har också sina egna golv, så en nyttolast sammansatt för en flotta kan bli halvt tillämpad på en äldre. Notera den installerade iOS-versionen bredvid nyttolastversionen i distributionsloggen. En nyttolast som bara tillämpas halvt är sämre än en som vägrar installeras, eftersom enheten rapporterar en tunnel du inte kan resonera om.

Installera inte en oidentifierad profil bara för att avslöja en kontroll som en skärmbild från en äldre utgåva lovade. Om konfigurationen som levererats inte innehåller en nyckel är nyckeln inte i kraft, vad översiktsskärmen än antyder.

Verifiera med trafik, inte med en brytarposition

Efter klargörandet öppnar du den avsedda privata resursen och en vanlig offentlig sida, och bekräftar att båda tar vägen som avtalet beskriver. Sätt sedan telefonen på mobilnät, upprepa båda, och kontrollera beteendet du dokumenterade för det otillgängliga fallet i stället för att hitta på det under testet. Ta med en tillåten övergång från Wi-Fi till mobilnät, eftersom det är där en profil med smalt omfång brukar visa sig.

Håll en övervakad hanterad Always On-distribution utanför den här jämförelsen. Automatisk aktivering och bred routing på en personlig profil bevisar inte den hanterade policyn, och det omvända är också sant. Testa ett arrangemang i taget på en enhet, eftersom en telefon med två VPN-profiler kommer att förvirra varje resultat du samlar in.

Rulla tillbaka till en känd profil

När beteendet är fel, ta bort profilen och installera om den senast kända fungerande nyttolasten i stället för att redigera nycklar på enheten. Bekräfta sedan att den tidigare täckningen verkligen är tillbaka genom att upprepa samma två förfrågningar. En återställning som återställer profilen men inte routingen är ingen återställning, och det är en användare som upptäcker det, inte testet.

Arkivera nyttolastversionen, de fyra värdena och verifieringsresultatet tillsammans, så att nästa ändring börjar från en dokumenterad baslinje och inte från en skärmbild.