Apple IncludeAllNetworks: ما الذي لا يزال يتجاوز شبكة VPN

تفتح الملف الشخصي في وحدة تحكم MDM، فترى IncludeAllNetworks محددًا، وتفترض أن كل حزمة من ذلك الجهاز تدخل النفق الآن. مخطط Apple نفسه لا يعد بذلك. يعيد الإعداد توجيه حركة المرور عبر شبكة VPN مع استثناءات، بعضها مفاتيح اختيارية وبعضها ضروري لاستمرار عمل النظام أصلًا. يسير الشرح التالي مع ذلك المستند من الملف الشخصي نحو الخارج، بحيث يكون أول ما تقرأه هو الإعداد نفسه لا التقاطًا من جهاز لم يتعرف عليه أحد بعد.

استثناءان من تلك الاستثناءات يفسران معظم الالتباس، وكلاهما يتصل بالخدمة الخلوية.

ابدأ من الملف الشخصي المُدار، لا من التقاط الحزم

افتح مخطط ملف VPN الشخصي المُدار واقرأ وصف الخاصية قبل أن تقرأ أي سجل حزم. لاحظ أن الوصف يتحدث عن التوجيه مع الاستثناءات، لا عن ضمان نفق كامل. تلك الجملة الواحدة تحدد كيف تفسر كل ما تراه بعدها.

دوّن ثلاثة أشياء وأنت في وحدة التحكم: معرّف الحمولة الذي يحمل الإعداد، وإصدار نظام التشغيل المُدار على الجهاز، وأي تطبيق VPN مثبت فعليًا. وصف مفتاح ما في الوثائق لا يقول شيئًا عن مدى إظهار عميل تابع لجهة خارجية له في واجهة إعداده.

اقرأ استثناء الخدمة الخلوية كحالتين مختلفتين

في الإعدادات المدعومة، يستثني ExcludeCellularServices حركة خدمات خلوية قابلة للتوجيه عبر الإنترنت، ولكن فقط عندما يكون مفعّلًا إلى جانب IncludeAllNetworks. يورد المخطط خدمات Wi-Fi Calling وIMS والخدمات المرتبطة بالرسائل كأمثلة على تلك الفئة. يمكن لهذه التدفقات أن تغادر النفق بحكم التصميم، ولن تعيدها أي مراجعة للملف الشخصي عبره ما دام الاستثناء مفعّلًا.

الحالة الثانية منفصلة ولا تعتمد على أي مفتاح. بعض المشغلين يقدمون الخدمات الخلوية مباشرة عبر شبكتهم بدلًا من الإنترنت، وتوثق Apple تلك الفئة بأنها مستثناة دائمًا من النفق. وهي ليست الحالة الشرطية القابلة للتوجيه عبر الإنترنت أعلاه، لذا فملف شخصي يفرغ كل مربع استثناء لن يلتقطها مع ذلك. اعتبار الحالتين ميزة واحدة هو منشأ معظم الجدل حول أي تسرب.

إذا كان شرطك حرفيًا ألا تغادر أي حزمة النفق أبدًا، فالحالة الثانية تجعل هذا الشرط مستحيلًا أصلًا على جهاز خلوي. عليك معرفة ذلك قبل مراجعة التصميم لا بعدها.

تحقق من المفاتيح التي يعرضها نظامك فعلًا

يصف المخطط أيضًا حركة اتصال الشبكة الضرورية وحركة الشبكات الأسرية، إضافة إلى عناصر تحكم منفصلة لفئات أخرى مثل الشبكات المحلية والتواصل بين الأجهزة. هذه علاقات إعداد موثقة، وليست أرصادًا لجهازك. أكد كل واحدة مقابل إصدار نظام التشغيل الذي تديره، لأن التوفر يتغير بين الإصدارات، ولأن مفتاحًا يُتجاهل بصمت يبدو تمامًا كمفتاح يؤدي عمله.

غالبًا ما تبدو الحمولة الدنيا لهذا القرار هكذا، مع جعل علم الخدمة الخلوية صريحًا بدلًا من توريثه من قالب:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

إذا كان مفتاح ما مفقودًا من الملف الشخصي المسلَّم، يرجع الجهاز إلى القيمة الافتراضية لذلك المفتاح، وهي ليست بالضرورة القيمة التي كان مؤلف القالب يفكر فيها. قارن الحمولة المسلَّمة بالقالب بدلًا من قراءة القالب وحده.

حدد ماهية اسم مضيف غير مألوف

عندما يظهر اسم مريب، حدد ما يمثله الرصد فعلًا: اسم طلبته النظام، أم الخادم المجيب، أم وجهة اتصال، أم تسمية طبعتها أداة. الاسم المرتبط بمشغل لا يحدد بذاته العملية المنشئة ولا الاستثناء الذي طُبق. ملاحقته كدليل على تجاوز هو كيف يقضي خيط دعم أسبوعًا في الطبقة الخطأ.

استخدم أدوات التشخيص المدعومة وتحدث إلى المسؤول الذي يملك الملف الشخصي، ثم قارن التدفق بالسياسة المقصودة. تلك المقارنة، لا اسم المضيف، تخبرك هل كانت الحركة متوقعة.

حل المطلب بدلًا من إضعاف النظام

لا تثبت شهادة جذر غير مفسرة ولا تعطل خدمات النظام فقط لجعل الالتقاط أهدأ. تهدئة الالتقاط تزيل الدليل وتُبقي الاستثناء في مكانه، وهي نهاية أسوأ من السؤال الأصلي. إذا كانت قاعدة امتثال تحظر فئة يستثنيها النظام عمدًا، فاذهب بذلك التعارض إلى مالكي الأجهزة والشبكة وبيدك قسم المخطط.

أنهِ الشرح بتسجيل أي استثناء فسر الحركة، وإصدار نظام التشغيل الذي ينطبق عليه، وقيمة الملف الشخصي التي أنتجته. لا تستطيع أيقونة اتصال أن توفق بين افتراضين متعارضين حول مدى امتداد نطاق حركة نظام التشغيل.