Apple IncludeAllNetworks: Was die VPN weiterhin umgeht

Sie öffnen das Profil in der MDM-Konsole, sehen IncludeAllNetworks aktiviert und nehmen an, dass jedes Paket dieses Geräts jetzt in den Tunnel gelangt. Apples eigenes Schema verspricht das nicht. Die Einstellung leitet Datenverkehr mit Ausnahmen durch die VPN, von denen einige optionale Schalter und andere erforderlich sind, damit das System überhaupt weiterläuft. Die folgende Erläuterung folgt diesem Dokument vom Profil nach außen, sodass Sie zuerst die Einstellung selbst lesen und nicht eine Aufzeichnung von einem Gerät, das noch niemand identifiziert hat.

Zwei dieser Ausnahmen erklären den größten Teil der Verwirrung, und beide betreffen den Mobilfunkdienst.

Beginnen Sie im verwalteten Profil, nicht in einer Aufzeichnung

Öffnen Sie das Schema des verwalteten VPN-Profils und lesen Sie die Eigenschaftsbeschreibung, bevor Sie irgendein Paketprotokoll lesen. Beachten Sie, dass die Beschreibung Routing mit Ausnahmen betrifft und keine Garantie eines vollständigen Tunnels. Genau dieser eine Satz entscheidet, wie Sie alles interpretieren, was Sie danach sehen.

Notieren Sie drei Dinge, während Sie in der Konsole sind: die Payload-Kennung, die die Einstellung trägt, die verwaltete Betriebssystemversion auf dem Gerät und welche VPN-Implementierung tatsächlich installiert ist. Dass ein Schlüssel in der Dokumentation beschrieben wird, sagt nichts darüber aus, ob ein Client eines Drittanbieters ihn in seiner eigenen Konfigurationsoberfläche anzeigt.

Lesen Sie die Mobilfunk-Ausnahme als zwei verschiedene Fälle

In unterstützten Konfigurationen schließt ExcludeCellularServices internetroutbaren Mobilfunkdienst-Verkehr aus, aber nur, wenn es zusammen mit IncludeAllNetworks aktiviert ist. Das Schema nennt Wi-Fi Calling, IMS und nachrichtenbezogene Dienste als Beispiele dieser Kategorie. Diese Flüsse dürfen den Tunnel konstruktionsbedingt verlassen, und keine noch so gründliche Profilprüfung leitet sie hindurch, solange die Ausnahme aktiv ist.

Der zweite Fall ist getrennt und hängt von keinem Schalter ab. Manche Netzbetreiber liefern Mobilfunkdienste direkt über ihr eigenes Netz statt über das Internet, und Apple dokumentiert diese Kategorie als immer vom Tunnel ausgenommen. Das ist nicht der bedingte internetroutbare Fall oben, daher erfasst auch ein Profil, das jedes Ausnahmefeld leert, ihn nicht. Die beiden als ein Merkmal zu behandeln, ist der Punkt, an dem die meisten Diskussionen über ein Leck beginnen.

Wenn Ihre Anforderung wörtlich lautet, dass kein Paket den Tunnel jemals verlässt, macht dieser zweite Fall diese Anforderung auf einem Mobilfunkgerät bereits unmöglich. Das müssen Sie vor der Designprüfung wissen, nicht danach.

Prüfen Sie, welche Schlüssel Ihre Plattform tatsächlich bereitstellt

Das Schema beschreibt außerdem notwendigen Netzwerkverbindungs- und Captive-Netzwerk-Verkehr sowie separate Steuerungen für andere Kategorien wie lokale Netzwerke und Gerätekommunikation. Das sind dokumentierte Konfigurationsbeziehungen, keine Beobachtungen Ihres Geräts. Bestätigen Sie jede einzelne gegen die von Ihnen verwaltete Betriebssystemversion, denn die Verfügbarkeit ändert sich zwischen Versionen, und ein stillschweigend ignorierter Profilschlüssel sieht genauso aus wie einer, der seine Aufgabe erfüllt.

Eine minimale Payload für diese Entscheidung sieht meist so aus, mit ausdrücklich gesetztem Mobilfunk-Flag statt aus einer Vorlage geerbt:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Fehlt ein Schlüssel im ausgelieferten Profil, fällt das Gerät auf den Standardwert dieses Schlüssels zurück, der nicht unbedingt der Wert ist, den der Vorlagenautor im Sinn hatte. Vergleichen Sie die ausgelieferte Payload mit der Vorlage, statt nur die Vorlage zu lesen.

Klären Sie, was ein unbekannter Hostname ist

Wenn ein verdächtiger Name auftaucht, stellen Sie fest, was die Beobachtung tatsächlich darstellt: einen vom System angeforderten Namen, den antwortenden Resolver, ein Verbindungsziel oder eine von einem Werkzeug ausgegebene Bezeichnung. Ein betreiberbezogener Name allein identifiziert weder den Ursprungsprozess noch die angewandte Ausnahme. Ihn als Beweis einer Umgehung zu verfolgen, ist der Weg, auf dem ein Support-Thread eine Woche auf der falschen Ebene verbringt.

Nutzen Sie unterstützte Diagnose und sprechen Sie mit dem Administrator, dem das Profil gehört, und vergleichen Sie dann den Fluss mit der beabsichtigten Richtlinie. Dieser Vergleich, nicht der Hostname, sagt Ihnen, ob der Verkehr erwartet war.

Lösen Sie die Anforderung, statt das System zu schwächen

Installieren Sie kein unerklärtes Stammzertifikat und deaktivieren Sie keine Systemdienste, nur um eine Aufzeichnung ruhiger zu machen. Das Beruhigen der Aufzeichnung entfernt den Beweis und lässt die Ausnahme bestehen, was ein schlechterer Ort ist als die ursprüngliche Frage. Wenn eine Compliance-Regel eine Kategorie verbietet, die die Plattform bewusst ausnimmt, tragen Sie diesen Konflikt mit dem Schemaabschnitt in der Hand zu den Geräte- und Netzwerkverantwortlichen.

Schließen Sie die Erläuterung ab, indem Sie festhalten, welche Ausnahme den Verkehr erklärte, für welche Betriebssystemversion sie gilt und welcher Profilwert ihn verursachte. Ein Verbindungssymbol kann zwei unvereinbare Annahmen darüber, wie weit die Reichweite des Betriebssystem-Datenverkehrs reicht, nicht versöhnen.