Apple IncludeAllNetworks: wat steeds die VPN omseil

Jy maak die profiel in die MDM-konsole oop, sien IncludeAllNetworks is gemerk, en aanvaar dat elke pakkie van daardie toestel nou in die tonnel ingaan. Apple se eie skema belowe dit nie. Die instelling stuur verkeer deur die VPN met uitsonderings, sommige daarvan is opsionele skakelaars en sommige is nodig sodat die stelsel hoegenaamd kan bly werk. Die uiteensetting hieronder volg daardie dokument van die profiel af uitwaarts, so die eerste ding wat jy lees is die instelling self, nie ’n opname van ’n toestel wat nog niemand geïdentifiseer het nie.

Twee van daardie uitsonderings veroorsaak die meeste verwarring, en albei het met selfoondiens te doen.

Begin in die bestuurde profiel, nie in ’n opname nie

Maak die skema vir die bestuurde VPN-profiel oop en lees die eienskapbeskrywing voordat jy enige pakkie-log lees. Let daarop dat die beskrywing oor routering met uitsonderings gaan, nie oor ’n waarborg van ’n volle tonnel nie. Daardie enkele sin bepaal hoe jy alles interpreteer wat jy daarna sien.

Skryf drie dinge neer terwyl jy in die konsole is: die loonvrag-identifiseerder wat die instelling dra, die bestuurde bedryfstelselweergawe op die toestel, en watter VPN-implementering werklik geïnstalleer is. Die feit dat ’n sleutel in dokumentasie beskryf word, sê niks oor of ’n derdeparty-kliënt dit in sy eie konfigurasie-koppelvlak blootstel nie.

Lees die selfoon-uitsondering as twee verskillende gevalle

In ondersteunde konfigurasies sluit ExcludeCellularServices internet-routeerbare selfoondiensverkeer uit, maar slegs wanneer dit saam met IncludeAllNetworks geaktiveer is. Die skema gee Wi-Fi Calling, IMS en dienste verwant aan boodskappe as voorbeelde van daardie kategorie. Daardie vloei kan volgens ontwerp die tonnel verlaat, en geen hoeveelheid profielhersiening sal hulle daardeur stuur terwyl die uitsondering aan is nie.

Die tweede geval is apart en hang van geen skakelaar af nie. Sommige netwerkoperateurs lewer selfoondienste direk oor hul eie netwerk eerder as oor die internet, en Apple dokumenteer daardie kategorie as altyd uitgesluit van die tonnel. Dit is nie die voorwaardelike internet-routeerbare geval hierbo nie, so ’n profiel wat elke uitsonderingsblokkie skoonmaak, sal dit steeds nie vasvang nie. Om die twee as een kenmerk te behandel, is waar die meeste argumente oor ’n lek begin.

As jou vereiste letterlik is dat geen pakkie ooit die tonnel mag verlaat nie, maak hierdie tweede geval daardie vereiste reeds onmoontlik op ’n selfoontoestel. Jy moet dit voor die ontwerphersiening weet, nie daarna nie.

Kontroleer watter sleutels jou platform werklik blootstel

Die skema beskryf ook noodsaaklike netwerkverbinding- en captive-netwerkverkeer, plus aparte beheermaatreëls vir ander kategorieë soos plaaslike netwerke en toestelkommunikasie. Dit is gedokumenteerde konfigurasieverhoudings, nie waarnemings van jou toestel nie. Bevestig elkeen teen die bedryfstelselweergawe wat jy bestuur, want beskikbaarheid verander tussen weergawes en ’n profielsleutel wat stilweg geïgnoreer word, lyk presies soos een wat sy werk doen.

’n Minimale loonvrag vir hierdie besluit lyk gewoonlik so, met die selfoonvlag eksplisiet eerder as geërf uit ’n sjabloon:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

As ’n sleutel in die afgelewerde profiel ontbreek, val die toestel terug op daardie sleutel se verstekwaarde, wat nie noodwendig die waarde is wat die sjabloonskrywer in gedagte gehad het nie. Vergelyk die afgelewerde loonvrag met die sjabloon eerder as om net die sjabloon te lees.

Bepaal wat ’n onbekende gasheernaam is

Wanneer ’n verdagte naam opduik, stel vas wat die waarneming werklik verteenwoordig: ’n naam wat die stelsel aangevra het, die oplosser wat geantwoord het, ’n verbindingsbestemming, of ’n etiket wat ’n instrument gedruk het. ’n Naam wat met ’n operateur verband hou, identifiseer op sigself nóg die oorsprongproses nóg die uitsondering wat gegeld het. Om dit as bewys van ’n omseiling na te jaag, is hoe ’n ondersteuningsdraad ’n week op die verkeerde laag deurbring.

Gebruik ondersteunde diagnostiek en praat met die administrateur wat die profiel besit, en vergelyk dan die vloei met die beoogde beleid. Daardie vergelyking, nie die gasheernaam nie, sê vir jou of die verkeer verwag was.

Los die vereiste op eerder as om die stelsel te verswak

Moenie ’n onverklaarde wortelsertifikaat installeer of stelseldienste afskakel net om ’n opname stiller te maak nie. Om die opname stil te maak, verwyder die bewyse en laat die uitsondering in plek, wat ’n slegter plek is om te eindig as die oorspronklike vraag. As ’n nakomingsreël ’n kategorie verbied wat die platform doelbewus uitsluit, neem daardie konflik na die toestel- en netwerkeienaars met die skema-afdeling in die hand.

Sluit die uiteensetting af deur aan te teken watter uitsondering die verkeer verklaar het, die bedryfstelselweergawe waarop dit van toepassing is, en die profielwaarde wat dit veroorsaak het. ’n Verbindingsikoon kan nie twee onversoenbare aannames oor hoe ver die bedryfstelsel se verkeersomvang strek, versoen nie.