Saklaw ng trapiko ng IKEv2 sa iPhone: sino ang may desisyon sa saklaw

Naghahanap ka ng switch na Ipadala ang lahat ng trapiko sa iPhone at wala ito. Sa native na IKEv2 profile, ang saklaw ng routing ay pinagpapasyahan ng profile na inihatid, hindi ng kontrol na maaaring iikot ng user, kaya ang paghahanap sa Settings para sa nawawalang switch ay nagsasayang ng isang hapon. Ang tamang hakbang ay hilingin sa may-ari ng profile ang kontrata ng trapiko sa pamamagitan ng sulat, pagkatapos ay i-verify ito gamit ang totoong mga kahilingan. Ginagawa ito ng gabay na ito sa limang hakbang.

Kunin ang kontrata sa sulat bago mo tingnan ang telepono

Apat na resulta ang nangangailangan ng hiwalay na sagot: kung ang pag-browse sa internet ay dapat gumamit ng gateway, kung ang mga pribadong mapagkukunan lamang ang dapat gumawa nito, aling mga lokal na network at serbisyo ng system ang nananatili sa labas ng tunnel, at ano ang nangyayari habang hindi available ang tunnel. Magkaibang pangangailangan ang mga ito at magkaibang susi ang tumutugon sa mga ito. Ang profile na sumasaklaw sa lahat at ang profile na sumasaklaw sa isang subnet ay maaaring magmukhang pareho sa screen ng buod ng device.

Itatag din kung kanino ang profile. Kung inihatid ito ng isang serbisyo ng pamamahala, ang mga halaga ay nakatira sa console na iyon at ang manu-manong pag-edit sa telepono ay sa pinakamainam ay isang pansamantalang lokal na pagbabago. Kung walang makapangalan sa may-ari, ituring iyon na ang natuklasan at huminto; ang paghula sa saklaw mula sa telepono ay hindi magbubunga ng sagot na maipagtatanggol.

Hilingin ang apat na halaga na nagpapasya sa saklaw

Ang susi ng saklaw ay IncludeAllNetworks, na dokumentado ng Apple na ipinakilala sa iOS 14, at ito ang dahilan kung bakit malawak na nagdadala ng trapiko ang koneksyon at hindi lamang patungo sa mga address na itinutulak ng gateway. Ang lokal na pagbubukod ay ExcludeLocalNetworks, available mula iOS 14.2, at ang dokumentadong default nito sa iOS ay 1, na kaiba sa default ng macOS na 0. Itanong kung anong halaga ang dala ng bawat susi sa aktwal na payload sa halip na ipagpalagay ang default ng platform mula sa gabay na nakatuon sa Mac.

Pagkatapos ay itanong tungkol sa DNS, dahil kung aling resolver ang tumatanggap ng pribado at pampublikong pangalan ay bahagi ng parehong kontrata at may sariling pangangailangan sa maabot. Ang tunnel na nagdadala ng lahat ng trapiko ngunit iniiwan ang mga pribadong pangalan sa isang pampublikong resolver ay magmumukhang sirang tunnel sa bawat user na nagta-type ng maikling hostname. Subukan ang kaso na iyon muna, dahil ito ang pinakamurang kopyahin at ito ang iniuulat ng mga user bilang sirang VPN.

Suriin ang pinakamababang bersyon bago pumirma

Bawat isa sa mga susing ito ay may pinakamababang release, at ang profile na nagdadala ng susi na hindi kilala ng naka-install na iOS ay hindi bahagyang tagumpay. Ang mga karagdagang susi ng pagbubukod na sumasaklaw sa mga push notification at cellular service ay mayroon ding sariling mga limitasyon, kaya ang payload na binuo para sa isang fleet ay maaaring mailapat nang kalahati sa mas lumang isa. Itala ang naka-install na bersyon ng iOS sa tabi ng bersyon ng payload sa talaan ng deployment. Ang payload na kalahating nalalapat ay mas masama kaysa sa tumatangging mai-install, dahil ang device ay nag-uulat ng tunnel na hindi mo kayang bigyang-katuwiran.

Huwag i-install ang hindi kilalang profile para lamang ihayag ang kontrol na ipinangako ng screenshot mula sa lumang release. Kung ang ibinigay na configuration ay walang susi, ang susi ay walang bisa, anuman ang ipinahihiwatig ng screen ng buod.

I-verify gamit ang trapiko, hindi gamit ang posisyon ng switch

Pagkatapos ng provisioning, buksan ang nilalayong pribadong mapagkukunan at isang ordinaryong pampublikong pahina, at kumpirmahin na pareho silang dumadaan sa rutang inilalarawan ng kontrata. Pagkatapos ay ilagay ang telepono sa cellular, ulitin ang pareho, at suriin ang pag-uugaling naidokumento mo para sa kaso ng hindi available sa halip na imbentuhin ito sa panahon ng pagsubok. Isama ang isang pinapayagang paglipat mula Wi-Fi patungo sa cellular, dahil doon karaniwang nagpapakita ang profile na may makitid na saklaw.

Panatilihing labas ng paghahambing na ito ang pinangangasiwaang managed na deployment ng Always On. Ang awtomatikong pag-activate at malawak na routing sa isang personal na profile ay hindi nagpapatunay sa managed na patakarang iyon, at ang kabaligtaran ay totoo rin. Subukan ang isang kaayusan sa isang pagkakataon sa isang device, dahil ang teleponong may dalawang profile ng VPN ay gaguluhin ang bawat resultang nakolekta mo.

Bumalik sa kilalang profile

Kapag mali ang pag-uugali, alisin ang profile at muling i-install ang huling kilalang mabuting payload sa halip na i-edit ang mga susi sa device. Pagkatapos ay kumpirmahin na tunay na bumalik ang dating saklaw sa pamamagitan ng pag-uulit ng parehong dalawang kahilingan. Ang rollback na nagbabalik ng profile ngunit hindi ng routing ay hindi rollback, at isang user ang makakatuklas nito, hindi ang pagsubok.

I-archive nang sama-sama ang bersyon ng payload, apat na halaga at resulta ng verification, upang ang susunod na pagbabago ay magsimula sa dokumentadong baseline at hindi sa screenshot.