Apple IncludeAllNetworks: šta i dalje zaobilazi VPN

Otvorite profil u MDM konzoli, vidite označen IncludeAllNetworks i pretpostavite da svaki paket s tog uređaja sada ulazi u tunel. Appleova vlastita šema to ne obećava. Postavka usmjerava saobraćaj kroz VPN uz izuzetke, od kojih su neki opcionalni prekidači, a neki neophodni da bi sistem uopće radio. Prikaz ispod prati taj dokument od profila prema van, pa je prvo što čitate sama postavka, a ne snimak s uređaja koji još niko nije identifikovao.

Dva od tih izuzetaka objašnjavaju većinu zabune, a oba se tiču mobilne usluge.

Počnite od upravljanog profila, a ne od snimka saobraćaja

Otvorite šemu upravljanog VPN profila i pročitajte opis svojstva prije nego što pročitate bilo koji dnevnik paketa. Obratite pažnju da opis govori o usmjeravanju s izuzecima, a ne o garanciji punog tunela. Ta jedna rečenica odlučuje kako ćete tumačiti sve što poslije vidite.

Zapišite tri stvari dok ste u konzoli: identifikator korisnog tereta koji nosi postavku, izdanje upravljanog OS-a na uređaju i koja je VPN implementacija zapravo instalirana. Opis ključa u dokumentaciji ne govori ništa o tome da li ga klijent treće strane prikazuje u svom interfejsu za konfiguraciju.

Čitajte mobilni izuzetak kao dva različita slučaja

U podržanim konfiguracijama ExcludeCellularServices isključuje mobilni saobraćaj usmjeriv kroz internet, ali samo kada je uključen uz IncludeAllNetworks. Šema navodi Wi-Fi Calling, IMS i usluge povezane s porukama kao primjere te kategorije. Ti tokovi mogu napustiti tunel po dizajnu i nijedan pregled profila ih neće provesti kroz njega dok je izuzetak uključen.

Drugi slučaj je odvojen i ne zavisi od nikakvog prekidača. Neki operateri pružaju mobilne usluge direktno preko svoje mreže, a ne preko interneta, i Apple tu kategoriju dokumentuje kao uvijek isključenu iz tunela. To nije uslovni slučaj s internetom iznad, pa ga profil koji je očistio svako polje izuzetka ipak neće obuhvatiti. Tretiranje dvaju slučajeva kao jedne funkcije je mjesto gdje počinje većina rasprava o curenju.

Ako je vaš zahtjev doslovno da nijedan paket nikada ne napusti tunel, ovaj drugi slučaj već čini taj zahtjev nemogućim na mobilnom uređaju. To morate znati prije pregleda dizajna, ne poslije.

Provjerite koje ključeve vaša platforma zaista izlaže

Šema opisuje i neophodan saobraćaj mrežnih veza i captive mreža, plus odvojene kontrole za druge kategorije poput lokalnih mreža i komunikacije uređaja. To su dokumentovani odnosi u konfiguraciji, a ne opažanja vašeg uređaja. Provjerite svaki prema izdanju OS-a koje upravljate, jer dostupnost se mijenja između izdanja, a ključ profila koji se tiho ignoriše izgleda isto kao ključ koji radi svoj posao.

Minimalni korisni teret za ovu odluku obično izgleda ovako, s mobilnom zastavicom izričito postavljenom, a ne naslijeđenom iz šablona:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Ako neki ključ nedostaje u dostavljenom profilu, uređaj se vraća na zadanu vrijednost tog ključa, koja nije nužno vrijednost koju je autor šablona imao na umu. Uporedite dostavljeni teret sa šablonom, umjesto da čitate samo šablon.

Utvrdite šta je nepoznato ime hosta

Kada se pojavi sumnjivo ime, utvrdite šta opažanje zapravo predstavlja: ime koje je sistem zatražio, resolver koji je odgovorio, odredište veze ili oznaku koju je alat ispisao. Ime povezano s operaterom samo po sebi ne identifikuje ni proces izvora ni izuzetak koji je primijenjen. Juriti ga kao dokaz zaobilaženja je način na koji jedna tema podrške provede sedmicu na pogrešnom sloju.

Koristite podržanu dijagnostiku i razgovarajte s administratorom koji posjeduje profil, pa uporedite tok s predviđenom politikom. To poređenje, a ne ime hosta, kaže vam je li saobraćaj bio očekivan.

Riješite zahtjev umjesto da oslabite sistem

Ne instalirajte neobjašnjeni korijenski certifikat i ne isključujte sistemske usluge samo da bi snimak bio tiši. Stišavanje snimka uklanja dokaz i ostavlja izuzetak na mjestu, što je gore od prvobitnog pitanja. Ako pravilo usklađenosti zabranjuje kategoriju koju platforma namjerno isključuje, odnesite taj sukob vlasnicima uređaja i mreže s odjeljkom šeme u ruci.

Završite prikaz tako što ćete zabilježiti koji je izuzetak objasnio saobraćaj, na koje se izdanje OS-a odnosi i koja je vrijednost profila to proizvela. Ikona veze ne može pomiriti dvije nespojive pretpostavke o tome dokle seže obim saobraćaja operativnog sistema.