Apple IncludeAllNetworks: hvad der stadig omgår VPN

Du åbner profilen i MDM-konsollen, ser IncludeAllNetworks markeret og antager, at hver pakke fra den enhed nu går ind i tunnelen. Apples eget skema garanterer ikke det. Indstillingen ruter trafik gennem VPN med undtagelser, hvoraf nogle er valgfrie kontakter og andre er nødvendige, for at systemet overhovedet kan fortsætte med at virke. Gennemgangen nedenfor følger dokumentet ud fra profilen, så det første, du læser, er selve indstillingen og ikke en optagelse fra en enhed, som ingen har identificeret endnu.

To af disse undtagelser forklarer det meste af forvirringen, og begge handler om mobiltjenesten.

Begynd i den administrerede profil, ikke i en optagelse

Åbn skemaet for den administrerede VPN-profil, og læs egenskabsbeskrivelsen, før du læser en pakkelog. Bemærk, at beskrivelsen handler om routing med undtagelser, ikke om en garanti for fuld tunnel. Den ene sætning afgør, hvordan du fortolker alt, hvad du ser bagefter.

Skriv tre ting ned, mens du er i konsollen: nyttelastens id, der bærer indstillingen, den administrerede OS-version på enheden, og hvilken VPN-implementering der faktisk er installeret. At en nøgle er beskrevet i dokumentationen, siger intet om, hvorvidt en tredjepartsklient viser den i sin egen konfigurationsflade.

Læs den mobile undtagelse som to forskellige tilfælde

I understøttede konfigurationer udelukker ExcludeCellularServices internetholdbar mobiltjenestetrafik, men kun når den er aktiveret sammen med IncludeAllNetworks. Skemaet angiver Wi-Fi Calling, IMS og tjenester relateret til beskeder som eksempler på den kategori. Disse flows kan forlade tunnelen efter design, og ingen gennemgang af profilen vil sende dem gennem den, så længe undtagelsen er slået til.

Det andet tilfælde er adskilt og afhænger ikke af nogen kontakt. Nogle operatører leverer mobiltjenester direkte over deres eget netværk i stedet for over internettet, og Apple dokumenterer den kategori som altid udelukket fra tunnelen. Det er ikke det betingede internetholdbare tilfælde ovenfor, så en profil, der rydder hver undtagelsesboks, fanger det stadig ikke. At behandle de to som én funktion er, hvor de fleste diskussioner om en lækage starter.

Hvis dit krav bogstaveligt talt er, at ingen pakke nogensinde forlader tunnelen, gør dette andet tilfælde allerede kravet umuligt på en mobilenhed. Det skal du vide før designgennemgangen, ikke efter.

Kontroller, hvilke nøgler din platform faktisk eksponerer

Skemaet beskriver også nødvendig netværksforbindelses- og captive-netværkstrafik samt separate kontroller for andre kategorier som lokale netværk og enhedskommunikation. Det er dokumenterede konfigurationsrelationer, ikke observationer af din enhed. Bekræft hver enkelt mod den OS-version, du administrerer, fordi tilgængeligheden ændrer sig mellem versioner, og en profilnøgle, der stille ignoreres, ser præcis ud som en nøgle, der gør sit arbejde.

En minimal nyttelast til denne beslutning ser normalt sådan ud, med mobilflaget eksplicit i stedet for nedarvet fra en skabelon:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Hvis en nøgle mangler i den leverede profil, falder enheden tilbage til den nøgles standardværdi, som ikke nødvendigvis er den værdi, skabelonforfatteren havde i tankerne. Sammenlign den leverede nyttelast med skabelonen i stedet for kun at læse skabelonen.

Find ud af, hvad et ukendt værtsnavn er

Når et mistænkeligt navn dukker op, skal du fastslå, hvad observationen egentlig repræsenterer: et navn, systemet anmodede om, den resolver, der svarede, en forbindelsesdestination eller en etiket, et værktøj udskrev. Et operatørrelateret navn identificerer ikke i sig selv hverken den oprindelige proces eller den undtagelse, der gjaldt. At jage det som bevis på en omgåelse er, hvordan en supporttråd bruger en uge på det forkerte lag.

Brug understøttet diagnostik, og tal med administratoren, der ejer profilen, og sammenlign derefter flowet med den tilsigtede politik. Den sammenligning, ikke værtsnavnet, fortæller dig, om trafikken var forventet.

Løs kravet i stedet for at svække systemet

Installer ikke et uforklaret rodcertifikat, og slå ikke systemtjenester fra bare for at gøre en optagelse mere stille. At dæmpe optagelsen fjerner beviset og lader undtagelsen blive stående, hvilket er et værre sted at ende end det oprindelige spørgsmål. Hvis en compliance-regel forbyder en kategori, som platformen bevidst udelukker, skal du tage den konflikt til enhedens og netværkets ejere med skemaafsnittet i hånden.

Afslut gennemgangen ved at notere, hvilken undtagelse der forklarede trafikken, hvilken OS-version den gælder, og hvilken profilværdi der frembragte den. Et forbindelsesikon kan ikke forene to uforenelige antagelser om, hvor langt operativsystemets trafikomfang rækker.