Phạm vi lưu lượng IKEv2 trên iPhone: ai quyết định vùng phủ

Bạn đang tìm công tắc Gửi toàn bộ lưu lượng trên một chiếc iPhone và nó không có ở đó. Trên một hồ sơ IKEv2 gốc, phạm vi định tuyến do hồ sơ được giao quyết định, không phải một nút điều khiển mà người dùng có thể bật tắt, nên việc lục lọi Cài đặt để tìm công tắc còn thiếu chỉ làm mất một buổi chiều. Bước đi đúng là yêu cầu chủ sở hữu hồ sơ cung cấp hợp đồng lưu lượng bằng văn bản, rồi kiểm chứng nó bằng các yêu cầu thật. Hướng dẫn này làm vậy trong năm bước.

Lấy hợp đồng bằng văn bản trước khi bạn nhìn vào điện thoại

Bốn kết quả cần những câu trả lời riêng: liệu duyệt web có nên dùng cổng, liệu chỉ tài nguyên riêng tư mới nên làm vậy, mạng cục bộ và dịch vụ hệ thống nào ở ngoài đường hầm, và điều gì xảy ra khi đường hầm không khả dụng. Đó là những yêu cầu khác nhau và những khóa khác nhau đáp ứng chúng. Một hồ sơ bao phủ mọi thứ và một hồ sơ chỉ bao phủ một mạng con có thể trông giống hệt nhau trên màn hình tóm tắt của thiết bị.

Cũng xác định hồ sơ thuộc về ai. Nếu nó được một dịch vụ quản lý giao xuống, các giá trị sống trong bảng điều khiển đó và việc sửa tay trên điện thoại cùng lắm chỉ là một thay đổi cục bộ tạm thời. Nếu không ai kể được tên chủ sở hữu, hãy coi đó là phát hiện và dừng lại; đoán vùng phủ từ điện thoại sẽ không tạo ra câu trả lời có thể bảo vệ được.

Yêu cầu bốn giá trị quyết định phạm vi

Khóa phủ là IncludeAllNetworks, được Apple ghi nhận là ra mắt trong iOS 14, và chính nó khiến kết nối mang lưu lượng rộng chứ không chỉ tới các địa chỉ mà cổng đẩy ra. Ngoại lệ cục bộ là ExcludeLocalNetworks, có từ iOS 14.2, và giá trị mặc định được ghi nhận trên iOS là 1, khác với mặc định của macOS là 0. Hãy hỏi mỗi khóa mang giá trị nào trong tải thực tế thay vì giả định mặc định nền tảng từ một hướng dẫn viết cho Mac.

Sau đó hỏi về DNS, vì việc trình phân giải nào nhận tên riêng tư và công khai là một phần của cùng hợp đồng và có yêu cầu khả năng tiếp cận riêng. Một đường hầm mang toàn bộ lưu lượng nhưng để tên riêng tư ở một trình phân giải công khai sẽ trông như đường hầm hỏng với mọi người dùng gõ một tên máy ngắn. Hãy kiểm tra trường hợp đó trước, vì nó rẻ nhất để tái tạo và chính nó là thứ người dùng báo cáo là VPN hỏng.

Kiểm tra mức sàn phiên bản trước khi ký duyệt

Mỗi khóa này có một bản phát hành tối thiểu, và một hồ sơ mang khóa mà iOS đã cài không biết không phải là thành công một phần. Các khóa ngoại lệ bổ sung bao phủ thông báo đẩy và dịch vụ di động cũng có mức sàn riêng, nên một tải được lắp cho một đội máy này có thể chỉ áp dụng nửa chừng trên đội máy cũ hơn. Ghi phiên bản iOS đã cài bên cạnh phiên bản tải trong hồ sơ triển khai. Một tải chỉ áp dụng nửa chừng còn tệ hơn một tải từ chối cài đặt, vì thiết bị báo cáo một đường hầm mà bạn không thể lý luận được.

Đừng cài một hồ sơ không rõ nguồn gốc chỉ để làm lộ ra một nút điều khiển mà một ảnh chụp màn hình từ bản phát hành cũ đã hứa. Nếu cấu hình được cung cấp không có khóa, khóa đó không có hiệu lực, bất kể màn hình tóm tắt gợi ý điều gì.

Kiểm chứng bằng lưu lượng, không bằng vị trí công tắc

Sau khi cấp phát, mở tài nguyên riêng tư dự định và một trang công khai thông thường, và xác nhận cả hai đi theo đường mà hợp đồng mô tả. Sau đó chuyển điện thoại sang mạng di động, lặp lại cả hai, và kiểm tra hành vi bạn đã ghi lại cho trường hợp không khả dụng thay vì tự nghĩ ra nó trong lúc kiểm thử. Hãy đưa vào một lần chuyển tiếp được phép từ Wi-Fi sang mạng di động, vì đó là nơi một hồ sơ có phạm vi hẹp thường lộ diện.

Giữ một lần triển khai Always On được quản lý và giám sát ra ngoài phép so sánh này. Kích hoạt tự động và định tuyến rộng trên một hồ sơ cá nhân không chứng minh chính sách được quản lý đó, và điều ngược lại cũng đúng. Hãy thử một cách bố trí mỗi lần trên một thiết bị, vì một chiếc điện thoại mang hai hồ sơ VPN sẽ làm nhiễu mọi kết quả bạn thu thập.

Quay lại một hồ sơ đã biết

Khi hành vi sai, hãy xóa hồ sơ và cài lại tải tốt đã biết gần nhất thay vì sửa khóa trên thiết bị. Sau đó xác nhận vùng phủ trước đó thực sự đã trở lại bằng cách lặp lại đúng hai yêu cầu ấy. Một lần hoàn nguyên khôi phục hồ sơ nhưng không khôi phục định tuyến không phải là hoàn nguyên, và người dùng sẽ phát hiện ra nó, không phải bài kiểm thử.

Lưu trữ cùng nhau phiên bản tải, bốn giá trị và kết quả kiểm chứng, để thay đổi tiếp theo bắt đầu từ một đường cơ sở được ghi lại chứ không phải từ một ảnh chụp màn hình.