Apple IncludeAllNetworks: co stále obchází VPN

Otevřete profil v konzoli MDM, uvidíte zaškrtnuté IncludeAllNetworks a předpokládáte, že každý paket z tohoto zařízení už vstupuje do tunelu. Vlastní schéma Applu to neslibuje. Nastavení směruje provoz přes VPN s výjimkami, z nichž některé jsou volitelné přepínače a jiné jsou nutné, aby systém vůbec fungoval. Následující rozbor sleduje tento dokument od profilu směrem ven, takže první, co čtete, je samotné nastavení, nikoli záznam ze zařízení, které ještě nikdo neidentifikoval.

Dvě z těchto výjimek vysvětlují většinu zmatku a obě se týkají mobilní služby.

Začněte ve spravovaném profilu, ne v záznamu provozu

Otevřete schéma spravovaného profilu VPN a přečtěte si popis vlastnosti dřív, než přečtete jakýkoli protokol paketů. Všimněte si, že popis se týká směrování s výjimkami, nikoli záruky plného tunelu. Právě tato jediná věta určuje, jak budete vykládat vše, co potom uvidíte.

Zapište si tři věci, dokud jste v konzoli: identifikátor datové zátěže, která nastavení nese, verzi spravovaného operačního systému na zařízení a kterou implementaci VPN má zařízení skutečně nainstalovanou. To, že je klíč popsaný v dokumentaci, nic neříká o tom, zda ho klient třetí strany zpřístupňuje ve svém vlastním konfiguračním rozhraní.

Čtěte mobilní výjimku jako dva různé případy

V podporovaných konfiguracích ExcludeCellularServices vylučuje mobilní provoz směrovatelný přes internet, ale jen tehdy, když je zapnutý vedle IncludeAllNetworks. Schéma uvádí Wi-Fi Calling, IMS a služby související se zprávami jako příklady této kategorie. Tyto toky mohou tunel opouštět záměrně a žádná revize profilu je jím neprovede, dokud je výjimka zapnutá.

Druhý případ je samostatný a nezávisí na žádném přepínači. Někteří operátoři poskytují mobilní služby přímo přes svou síť, nikoli přes internet, a Apple tuto kategorii dokumentuje jako vždy vyloučenou z tunelu. Nejde o podmíněný případ směrovatelný přes internet výše, takže profil, který vyčistil všechna zaškrtávací políčka výjimek, ho přesto nezachytí. Považovat oba případy za jednu funkci je místo, kde začíná většina sporů o únik.

Pokud váš požadavek doslova zní, že žádný paket nikdy neopustí tunel, tento druhý případ už takový požadavek na mobilním zařízení znemožňuje. Musíte to vědět před revizí návrhu, ne po ní.

Ověřte, které klíče vaše platforma skutečně zpřístupňuje

Schéma také popisuje nezbytný provoz síťového připojení a captive sítí a samostatné ovládací prvky pro další kategorie, jako jsou lokální sítě a komunikace zařízení. Jsou to dokumentované vztahy v konfiguraci, nikoli pozorování vašeho zařízení. Potvrďte každý z nich proti verzi operačního systému, kterou spravujete, protože dostupnost se mezi verzemi mění a klíč profilu, který je tiše ignorován, vypadá úplně stejně jako klíč, který dělá svou práci.

Minimální datová zátěž pro toto rozhodnutí obvykle vypadá takto, s mobilním příznakem výslovně nastaveným, ne zděděným ze šablony:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Pokud v dodaném profilu některý klíč chybí, zařízení se vrátí k výchozí hodnotě tohoto klíče, která nemusí být hodnota, kterou měl autor šablony na mysli. Porovnejte dodanou zátěž se šablonou, místo abyste četli jen šablonu.

Zjistěte, co je neznámé jméno hostitele

Když se objeví podezřelé jméno, zjistěte, co pozorování vlastně představuje: jméno, které systém vyžádal, resolver, který odpověděl, cíl spojení, nebo popisek vytištěný nástrojem. Jméno spojené s operátorem samo o sobě neidentifikuje ani zdrojový proces, ani uplatněnou výjimku. Honit ho jako důkaz obcházení je způsob, jakým vlákno podpory stráví týden na špatné vrstvě.

Používejte podporovanou diagnostiku a mluvte se správcem, který profil vlastní, a potom porovnejte tok se zamýšlenou politikou. Právě toto srovnání, ne jméno hostitele, vám řekne, zda byl provoz očekávaný.

Vyřešte požadavek, místo abyste oslabovali systém

Neinstalujte nevysvětlený kořenový certifikát a nevypínejte systémové služby jen proto, aby byl záznam tišší. Ztišení záznamu odstraní důkaz a ponechá výjimku na místě, což je horší místo než původní otázka. Pokud pravidlo shody zakazuje kategorii, kterou platforma záměrně vylučuje, přineste tento konflikt vlastníkům zařízení a sítě s oddílem schématu v ruce.

Rozbor uzavřete záznamem o tom, která výjimka provoz vysvětlila, na kterou verzi operačního systému se vztahuje a která hodnota profilu to způsobila. Ikona připojení nedokáže sladit dva neslučitelné předpoklady o tom, kam až dosahuje rozsah provozu operačního systému.