Apple IncludeAllNetworks: што ўсё яшчэ абыходзіць VPN

Вы адкрываеце профіль у кансолі MDM, бачыце адзначаны IncludeAllNetworks і мяркуеце, што кожны пакет з гэтай прылады цяпер трапляе ў тунель. Уласная схема Apple гэтага не абяцае. Налада накіроўвае трафік праз VPN з выключэннямі: некаторыя з іх неабавязковыя пераключальнікі, а некаторыя патрэбныя, каб сістэма наогул працавала. Разбор ніжэй ідзе па гэтым дакуменце ад профілю вонкі, таму першае, што вы чытаеце, — сама налада, а не запіс з прылады, якую яшчэ ніхто не ідэнтыфікаваў.

Дзве з гэтых выключэнняў адказныя за большасць блытаніны, і абедзве датычаць сотавай сувязі.

Пачынайце з кіраванага профілю, а не з запісу трафіку

Адкрыйце схему кіраванага профілю VPN і прачытайце апісанне ўласцівасці, перш чым чытаць любы журнал пакетаў. Звярніце ўвагу, што апісанне тычыцца маршрутызацыі з выключэннямі, а не гарантыі поўнага тунеля. Менавіта гэтае адзінае сказ вызначае, як вы будзеце тлумачыць усё ўбачанае потым.

Запішыце тры рэчы, пакуль знаходзіцеся ў кансолі: ідэнтыфікатар карыснай нагрузкі, якая нясе наладу, выпуск кіраванай АС на прыладзе і тое, якая рэалізацыя VPN фактычна ўсталяваная. Апісанне ключа ў дакументацыі нічога не кажа пра тое, ці паказвае яго старонні кліент у сваім інтэрфейсе налад.

Чытайце сатовае выключэнне як два розныя выпадкі

У падтрымліваных канфігурацыях ExcludeCellularServices выключае трафік сотавых паслуг, маршрутызуемы праз інтэрнэт, але толькі калі ён уключаны разам з IncludeAllNetworks. Схема прыводзіць Wi-Fi Calling, IMS і паслугі, звязаныя з паведамленнямі, як прыклады гэтай катэгорыі. Гэтыя патокі могуць пакідаць тунель па задуме, і ніякі агляд профілю не накіруе іх праз яго, пакуль выключэнне ўключана.

Другі выпадак асобны і не залежыць ні ад якога пераключальніка. Некаторыя аператары падаюць сотавыя паслугі напрамую праз сваю сетку, а не праз інтэрнэт, і Apple дакументуе гэтую катэгорыю як заўсёды выключаную з тунеля. Гэта не ўмоўны выпадак маршрутызацыі праз інтэрнэт вышэй, таму профіль, які ачысціў усе клеткі выключэнняў, усё роўна яго не зловіць. Разгляд двух выпадкаў як адной функцыі — менавіта тое, з чаго пачынаецца большасць спрэчак пра ўцечку.

Калі ваша патрабаванне літаральна такое, што ніводны пакет ніколі не пакідае тунель, гэты другі выпадак ужо робіць такое патрабаванне немагчымым на сотавай прыладзе. Гэта трэба ведаць да агляду дызайну, а не пасля.

Праверце, якія ключы ваша платформа фактычна паказвае

Схема таксама апісвае неабходны трафік сеткавых злучэнняў і трафік captive-сетак, а таксама асобныя сродкі кіравання для іншых катэгорый, такіх як лакальныя сеткі і сувязь паміж прыладамі. Гэта дакументаваныя суадносіны налад, а не назіранні вашай прылады. Пацвердзіце кожную супраць таго выпуску АС, якім вы кіруеце, бо даступнасць змяняецца паміж выпускамі, а ключ профілю, які моўчкі ігнаруецца, выглядае сапраўды гэтак жа, як ключ, які выконвае сваю працу.

Мінімальная нагрузка для гэтага рашэння звычайна выглядае так, прычым сотавы сцяжок зададзены яўна, а не атрыманы ў спадчыну ад шаблона:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Калі якога-небудзь ключа няма ў пастаўленым профілі, прылада вяртаецца да значэння па змаўчанні для гэтага ключа, якое не абавязкова тое, што меў на ўвазе аўтар шаблона. Параўнайце пастаўленую нагрузку з шаблонам, а не чытайце толькі шаблон.

Высветліце, чым з@’яўляецца незнаёмае імя хоста

Калі з@’яўляецца падазронае імя, вызначце, што насамрэч уяўляе назіранне: імя, запытанае сістэмай, рэзалютар, які адказаў, прызначэнне злучэння або метку, якую надрукавала ўтыліта. Імя, звязанае з аператарам, само па сабе не вызначае ні працэс-крыніцу, ні выключэнне, якое прымянілася. Пагоня за ім як за доказам абыходу — гэта тое, як тэма падтрымкі праводзіць тыдзень не на тым узроўні.

Выкарыстоўвайце падтрымліваемую дыягностыку і пагаварыце з адміністратарам, які валодае профілем, а затым параўнайце паток з меркаванай палітыкай. Менавіта гэтае параўнанне, а не імя хоста, кажа вам, ці быў трафік чаканым.

Вырашыце патрабаванне, а не аслабляйце сістэму

Не ўсталёўвайце невытлумачаны карнявы сертыфікат і не адключайце сістэмныя службы толькі каб запіс стаў цішэйшым. Зацішэнне запісу прыбірае доказы і пакідае выключэнне на месцы, а гэта горшае месца, чым зыходнае пытанне. Калі правіла адпаведнасці забараняе катэгорыю, якую платформа наўмысна выключае, прыходзьце з гэтым канфліктам да ўладальнікаў прылад і сеткі, трымаючы ў руках раздзел схемы.

Завяршыце разбор запісам таго, якое выключэнне патлумачыла трафік, да якога выпуску АС яно датычыцца і якое значэнне профілю яго стварыла. Значок злучэння не можа прымірыць два несумяшчальныя меркаванні пра тое, наколькі шырокі ахоп трафіку аперацыйнай сістэмы.