Обсяг трафіку IKEv2 на iPhone: чиє рішення про покриття

Ви шукаєте на iPhone перемикач «Надсилати весь трафік», і його там немає. У рідному профілі IKEv2 обсяг маршрутизації визначає доставлений профіль, а не елемент керування, який користувач може перемкнути, тому пошук зниклого перемикача в Налаштуваннях марнує півдня. Правильний крок — попросити у власника профілю договір про трафік у письмовій формі, а потім перевірити його реальними запитами. Цей посібник робить це за п'ять кроків.

Отримайте договір письмово, перш ніж дивитися на телефон

Чотири результати потребують окремих відповідей: чи має перегляд інтернету використовувати шлюз, чи мають це робити лише приватні ресурси, які локальні мережі та системні служби залишаються поза тунелем і що відбувається, поки тунель недоступний. Це різні вимоги, і їх задовольняють різні ключі. Профіль, що покриває все, і профіль, що покриває одну підмережу, можуть виглядати однаково на екрані зведення пристрою.

Також встановіть, кому належить профіль. Якщо його доставила служба керування, значення живуть у тій консолі, а ручна правка на телефоні в найкращому разі є тимчасовою локальною зміною. Якщо ніхто не може назвати власника, вважайте це знахідкою і зупиніться; здогади про покриття з телефона не дадуть відповіді, яку можна захистити.

Запросіть чотири значення, що визначають обсяг

Ключ покриття — IncludeAllNetworks, який Apple документує як введений у iOS 14, і саме він змушує з'єднання нести трафік широко, а не лише до адрес, які виштовхує шлюз. Локальний виняток — ExcludeLocalNetworks, доступний з iOS 14.2, і його документоване значення за замовчуванням в iOS — 1, що відрізняється від значення за замовчуванням у macOS, яке дорівнює 0. Питайте, яке значення несе кожен ключ у фактичному корисному навантаженні, замість того щоб припускати платформне значення за замовчуванням із посібника, орієнтованого на Mac.

Потім запитайте про DNS, бо те, який розв'язувач отримує приватні та публічні імена, є частиною того самого договору і має власну вимогу доступності. Тунель, який несе весь трафік, але залишає приватні імена в публічного розв'язувача, виглядатиме як зламаний тунель для кожного користувача, який введе коротке ім'я хоста. Перевірте цей випадок першим, бо його найдешевше відтворити, і саме його користувачі повідомляють як зламаний VPN.

Перевірте нижню межу версії, перш ніж підписувати

Кожен із цих ключів має мінімальний випуск, і профіль із ключем, якого встановлена iOS не знає, не є частковим успіхом. Додаткові ключі винятків для push-повідомлень і стільникових служб також мають свої межі, тому корисне навантаження, зібране для одного парку, може застосуватися наполовину на старішому. Запишіть встановлену версію iOS поруч із версією корисного навантаження в журналі розгортання. Корисне навантаження, що застосовується наполовину, гірше за те, що відмовляється встановлюватися, бо пристрій повідомляє про тунель, щодо якого не можна міркувати.

Не встановлюйте невідомий профіль лише для того, щоб виявити елемент керування, який обіцяв знімок екрана зі старішого випуску. Якщо надана конфігурація не містить ключа, ключ не діє, хоч би що натякав екран зведення.

Перевіряйте трафіком, а не положенням перемикача

Після підготовки відкрийте призначений приватний ресурс і звичайну публічну сторінку та підтвердьте, що обидва йдуть шляхом, описаним у договорі. Потім переведіть телефон на стільникову мережу, повторіть обидва та перевірте поведінку, яку ви задокументували для недоступного випадку, замість того щоб вигадувати її під час тесту. Додайте один дозволений перехід із Wi-Fi на стільникову мережу, бо саме там профіль із вузьким обсягом зазвичай себе показує.

Тримайте контрольоване кероване розгортання Always On поза цим порівнянням. Автоматична активація та широка маршрутизація на особистому профілі не підтверджують цю керовану політику, і зворотне теж правда. Тестуйте одне налаштування за раз на одному пристрої, бо телефон із двома профілями VPN заплутає кожен зібраний результат.

Поверніться до відомого профілю

Коли поведінка неправильна, видаліть профіль і перевстановіть останнє відоме добре корисне навантаження замість редагування ключів на пристрої. Потім підтвердьте, що попереднє покриття справді повернулося, повторивши ті самі два запити. Відкат, який відновлює профіль, але не маршрутизацію, не є відкатом, і його виявить користувач, а не тест.

Зберігайте версію корисного навантаження, чотири значення та результат перевірки разом, щоб наступна зміна починалася з задокументованої базової лінії, а не зі знімка екрана.