Apple IncludeAllNetworks: какво все още заобикаля VPN

Отваряте профила в конзолата за MDM, виждате отметнат IncludeAllNetworks и приемате, че всеки пакет от това устройство вече влиза в тунела. Собствената схема на Apple не обещава това. Настройката насочва трафика през VPN с изключения — някои от тях незадължителни превключватели, а други необходими, за да работи системата изобщо. Разборът по-долу следва този документ навън от профила, така че първото, което четете, е самата настройка, а не снимка от устройство, което никой още не е идентифицирал.

Две от тези изключения обясняват по-голямата част от объркването и двете са свързани с клетъчната услуга.

Започнете от управлявания профил, а не от снимка на трафика

Отворете схемата на управлявания VPN профил и прочетете описанието на свойството, преди да четете какъвто и да е журнал на пакети. Обърнете внимание, че описанието се отнася за маршрутизиране с изключения, а не за гаранция за пълен тунел. Именно това изречение решава как ще тълкувате всичко, което видите после.

Запишете три неща, докато сте в конзолата: идентификатора на полезния товар, който носи настройката, изданието на управляваната ОС на устройството и коя VPN реализация е действително инсталирана. Описанието на ключ в документацията не казва нищо за това дали клиент на трета страна го показва в собствения си интерфейс за конфигурация.

Четете клетъчното изключване като два различни случая

В поддържани конфигурации ExcludeCellularServices изключва клетъчен трафик, маршрутизируем през интернет, но само когато е включен заедно с IncludeAllNetworks. Схемата дава Wi-Fi Calling, IMS и услуги, свързани със съобщения, като примери за тази категория. Тези потоци могат да напускат тунела по дизайн и никакъв преглед на профила няма да ги пренасочи през него, докато изключването е включено.

Вторият случай е отделен и не зависи от никакъв превключвател. Някои оператори предоставят клетъчни услуги директно през собствената си мрежа, а не през интернет, и Apple документира тази категория като винаги изключена от тунела. Това не е условният случай с интернет маршрутизация по-горе, затова профил, който е изчистил всяка кутия за изключване, пак няма да го обхване. Третирането на двете като една функция е мястото, от което започват повечето спорове за изтичане.

Ако изискването ви е буквално нито един пакет никога да не напуска тунела, този втори случай вече прави изискването невъзможно на клетъчно устройство. Трябва да знаете това преди прегледа на дизайна, не след него.

Проверете кои ключове вашата платформа наистина показва

Схемата описва също необходимия трафик за мрежови връзки и captive мрежи, плюс отделни контроли за други категории като локални мрежи и комуникация между устройства. Това са документирани връзки в конфигурацията, а не наблюдения на вашето устройство. Потвърдете всяка от тях спрямо изданието на ОС, което управлявате, защото наличието се променя между изданията и ключ, който бива тихо игнориран, изглежда точно като ключ, който си върши работата.

Минималният полезен товар за това решение обикновено изглежда така, с клетъчния флаг изрично зададен, а не наследен от шаблон:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Ако някой ключ липсва в доставения профил, устройството се връща към стойността по подразбиране за този ключ, която не е непременно стойността, която авторът на шаблона е имал предвид. Сравнете доставения полезен товар с шаблона, вместо да четете само шаблона.

Установете какво е непознато име на хост

Когато се появи подозрително име, установете какво всъщност представлява наблюдението: име, което системата е поискала, резолверът, който е отговорил, дестинация на връзка или етикет, който инструмент е отпечатал. Име, свързано с оператор, само по себе си не идентифицира нито процеса източник, нито приложеното изключение. Да го преследвате като доказателство за заобикаляне е начинът, по който една тема за поддръжка прекарва седмица на грешния слой.

Използвайте поддържана диагностика и говорете с администратора, който притежава профила, след което сравнете потока с предвидената политика. Това сравнение, а не името на хоста, ви казва дали трафикът е бил очакван.

Решете изискването, вместо да отслабвате системата

Не инсталирайте необяснен коренов сертификат и не изключвайте системни услуги само за да направите снимката по-тиха. Заглушаването на снимката премахва доказателствата и оставя изключението на мястото му, което е по-лоша позиция от първоначалния въпрос. Ако правило за съответствие забранява категория, която платформата съзнателно изключва, отнесете този конфликт до собствениците на устройството и мрежата със секцията от схемата в ръка.

Завършете разбора, като запишете кое изключение обяснява трафика, за кое издание на ОС се отнася и коя стойност в профила го е причинила. Икона за връзка не може да примири две несъвместими допускания за това докъде се простира обхватът на трафика на операционната система.