Apple IncludeAllNetworks: què encara evadeix la VPN

Obres el perfil a la consola MDM, veus IncludeAllNetworks marcat i assumeixes que cada paquet d’aquell dispositiu ja entra al túnel. L’esquema d’Apple no promet això. El paràmetre encamina el trànsit per la VPN amb exclusions: algunes són interruptors opcionals i altres són necessàries perquè el sistema continuï funcionant. El recorregut següent segueix aquest document des del perfil cap enfora, de manera que el primer que llegeixes és el paràmetre mateix, no una captura d’un dispositiu que ningú ha identificat encara.

Dues d’aquestes exclusions expliquen la major part de la confusió, i totes dues afecten el servei mòbil.

Comença pel perfil gestionat, no per una captura

Obre l’esquema del perfil de VPN gestionat i llegeix la descripció de la propietat abans de llegir cap registre de paquets. Fixa’t que la descripció tracta d’encaminament amb exclusions, no d’una garantia de túnel complet. Aquesta sola frase decideix com interpretaràs tot el que vegis després.

Anota tres coses mentre ets a la consola: l’identificador de càrrega que porta el paràmetre, la versió gestionada del sistema operatiu al dispositiu i quina implementació de VPN hi ha instal·lada realment. Que una clau estigui descrita a la documentació no diu res sobre si un client de tercers la mostra a la seva pròpia interfície de configuració.

Llegeix l’exclusió mòbil com dos casos diferents

En configuracions compatibles, ExcludeCellularServices exclou el trànsit de serveis mòbils encaminable per internet, però només quan s’activa al costat de IncludeAllNetworks. L’esquema posa Wi-Fi Calling, IMS i els serveis relacionats amb missatgeria com a exemples d’aquesta categoria. Aquests fluxos poden sortir del túnel per disseny, i cap revisió del perfil no els farà passar-hi mentre l’exclusió estigui activa.

El segon cas és diferent i no depèn de cap interruptor. Alguns operadors lliuren els serveis mòbils directament per la seva pròpia xarxa en lloc d’internet, i Apple documenta aquesta categoria com a sempre exclosa del túnel. No és el cas condicional encaminable per internet d’abans, així que un perfil que buidi totes les caselles d’exclusió tampoc no el capturarà. Tractar els dos casos com una sola funció és on comencen la majoria de discussions sobre una fuita.

Si el teu requisit és literalment que cap paquet surti mai del túnel, aquest segon cas ja fa impossible aquest requisit en un dispositiu mòbil. Cal saber-ho abans de la revisió de disseny, no després.

Comprova quines claus exposa realment la teva plataforma

L’esquema també descriu el trànsit necessari de connexió de xarxa i de xarxes captive, a més de controls separats per a altres categories com xarxes locals i comunicació entre dispositius. Són relacions de configuració documentades, no observacions del teu dispositiu. Confirma cada una contra la versió del sistema operatiu que gestiones, perquè la disponibilitat canvia entre versions i una clau de perfil ignorada en silenci sembla exactament igual que una que fa la seva feina.

Una càrrega mínima per a aquesta decisió sol semblar així, amb el senyal mòbil explícit en lloc d’heretat d’una plantilla:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Si falta una clau al perfil lliurat, el dispositiu torna al valor per defecte d’aquella clau, que no és necessàriament el valor que l’autor de la plantilla tenia al cap. Compara la càrrega lliurada amb la plantilla en lloc de llegir només la plantilla.

Esbrina què és un nom d’amfitrió desconegut

Quan apareix un nom sospitós, estableix què representa realment l’observació: un nom que el sistema ha demanat, el resolutor que ha respost, una destinació de connexió o una etiqueta impresa per una eina. Un nom relacionat amb l’operador no identifica per si sol ni el procés d’origen ni l’excepció aplicada. Perseguir-lo com a prova d’una evasió és com un fil de suport passa una setmana a la capa equivocada.

Fes servir diagnòstics compatibles i parla amb l’administrador que posseeix el perfil, i després compara el flux amb la política prevista. Aquesta comparació, no el nom d’amfitrió, et diu si el trànsit era esperat.

Resol el requisit en lloc d’afeblir el sistema

No instal·lis un certificat arrel sense explicació ni desactivis serveis del sistema només per fer una captura més silenciosa. Silenciar la captura elimina l’evidència i deixa l’exclusió al seu lloc, que és un lloc pitjor que la pregunta original. Si una norma de compliment prohibeix una categoria que la plataforma exclou deliberadament, porta aquest conflicte als responsables del dispositiu i de la xarxa amb la secció de l’esquema a la mà.

Tanca el recorregut anotant quina excepció explicava el trànsit, a quina versió del sistema operatiu s’aplica i quin valor del perfil la va produir. Una icona de connexió no pot conciliar dues suposicions incompatibles sobre fins on arriba l’abast del trànsit del sistema operatiu.