Apple IncludeAllNetworks: τι εξακολουθεί να παρακάμπτει το VPN

Ανοίγετε το προφίλ στην κονσόλα MDM, βλέπετε το IncludeAllNetworks τσεκαρισμένο και υποθέτετε ότι κάθε πακέτο από αυτή τη συσκευή μπαίνει πλέον στη σήραγγα. Το ίδιο το σχήμα της Apple δεν το υπόσχεται αυτό. Η ρύθμιση δρομολογεί την κίνηση μέσω VPN με εξαιρέσεις, μερικές προαιρετικοί διακόπτες και άλλες απαραίτητοι για να συνεχίσει να λειτουργεί το σύστημα. Η ανάλυση παρακάτω ακολουθεί αυτό το έγγραφο από το προφίλ προς τα έξω, ώστε το πρώτο που διαβάζετε να είναι η ίδια η ρύθμιση και όχι μια καταγραφή από συσκευή που κανείς δεν έχει ταυτοποιήσει ακόμη.

Δύο από αυτές τις εξαιρέσεις εξηγούν το μεγαλύτερο μέρος της σύγχυσης, και οι δύο αφορούν την υπηρεσία κινητής.

Ξεκινήστε από το διαχειριζόμενο προφίλ, όχι από μια καταγραφή

Ανοίξτε το σχήμα του διαχειριζόμενου προφίλ VPN και διαβάστε την περιγραφή της ιδιότητας πριν διαβάσετε οποιοδήποτε αρχείο καταγραφής πακέτων. Προσέξτε ότι η περιγραφή αφορά δρομολόγηση με εξαιρέσεις, όχι εγγύηση πλήρους σήραγγας. Αυτή η μία πρόταση καθορίζει πώς θα ερμηνεύσετε ό,τι δείτε στη συνέχεια.

Σημειώστε τρία πράγματα όσο είστε στην κονσόλα: το αναγνωριστικό φορτίου που μεταφέρει τη ρύθμιση, την έκδοση του διαχειριζόμενου λειτουργικού συστήματος στη συσκευή και ποια υλοποίηση VPN είναι πραγματικά εγκατεστημένη. Το ότι ένα κλειδί περιγράφεται στην τεκμηρίωση δεν λέει τίποτα για το αν ένας πελάτης τρίτου μέρους το εκθέτει στη δική του διεπαφή ρυθμίσεων.

Διαβάστε την εξαίρεση κινητής ως δύο διαφορετικές περιπτώσεις

Σε υποστηριζόμενες ρυθμίσεις, το ExcludeCellularServices εξαιρεί κίνηση υπηρεσιών κινητής που δρομολογείται μέσω διαδικτύου, αλλά μόνο όταν είναι ενεργό μαζί με το IncludeAllNetworks. Το σχήμα δίνει ως παραδείγματα αυτής της κατηγορίας το Wi-Fi Calling, το IMS και υπηρεσίες που σχετίζονται με μηνύματα. Αυτές οι ροές μπορούν να βγαίνουν από τη σήραγγα εκ σχεδιασμού, και καμία αναθεώρηση προφίλ δεν θα τις δρομολογήσει μέσα της όσο η εξαίρεση είναι ενεργή.

Η δεύτερη περίπτωση είναι ξεχωριστή και δεν εξαρτάται από κανέναν διακόπτη. Ορισμένοι πάροχοι παρέχουν υπηρεσίες κινητής απευθείας μέσω του δικού τους δικτύου αντί μέσω διαδικτύου, και η Apple τεκμηριώνει αυτή την κατηγορία ως πάντα εξαιρούμενη από τη σήραγγα. Δεν είναι η υπό συνθήκη περίπτωση δρομολόγησης μέσω διαδικτύου παραπάνω, οπότε ένα προφίλ που καθαρίζει κάθε πλαίσιο εξαίρεσης και πάλι δεν θα την καταγράψει. Η αντιμετώπιση των δύο ως ένα χαρακτηριστικό είναι το σημείο όπου ξεκινούν οι περισσότερες συζητήσεις για διαρροή.

Αν η απαίτησή σας είναι κυριολεκτικά να μην εγκαταλείπει ποτέ κανένα πακέτο τη σήραγγα, αυτή η δεύτερη περίπτωση καθιστά ήδη την απαίτηση αδύνατη σε συσκευή κινητής. Πρέπει να το γνωρίζετε πριν από την αναθεώρηση σχεδιασμού, όχι μετά.

Ελέγξτε ποια κλειδιά εκθέτει πραγματικά η πλατφόρμα σας

Το σχήμα περιγράφει επίσης απαραίτητη κίνηση σύνδεσης δικτύου και captive δικτύων, καθώς και ξεχωριστά στοιχεία ελέγχου για άλλες κατηγορίες όπως τοπικά δίκτυα και επικοινωνία συσκευών. Πρόκειται για τεκμηριωμένες σχέσεις διαμόρφωσης, όχι παρατηρήσεις της συσκευής σας. Επιβεβαιώστε κάθε μία ως προς την έκδοση λειτουργικού συστήματος που διαχειρίζεστε, γιατί η διαθεσιμότητα αλλάζει μεταξύ εκδόσεων και ένα κλειδί προφίλ που αγνοείται σιωπηλά μοιάζει ακριβώς με κλειδί που κάνει τη δουλειά του.

Ένα ελάχιστο φορτίο για αυτή την απόφαση συνήθως μοιάζει έτσι, με τη σημαία κινητής ρητή αντί κληρονομημένη από πρότυπο:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Αν λείπει ένα κλειδί από το παραδιδόμενο προφίλ, η συσκευή επιστρέφει στην προεπιλεγμένη τιμή αυτού του κλειδιού, που δεν είναι απαραίτητα η τιμή που είχε στο μυαλό του ο συγγραφέας του προτύπου. Συγκρίνετε το παραδιδόμενο φορτίο με το πρότυπο αντί να διαβάζετε μόνο το πρότυπο.

Καθορίστε τι είναι ένα άγνωστο όνομα κεντρικού υπολογιστή

Όταν εμφανίζεται ένα ύποπτο όνομα, εξακριβώστε τι αντιπροσωπεύει πραγματικά η παρατήρηση: ένα όνομα που ζήτησε το σύστημα, τον resolver που απάντησε, έναν προορισμό σύνδεσης ή μια ετικέτα που τύπωσε ένα εργαλείο. Ένα όνομα σχετιζόμενο με πάροχο δεν προσδιορίζει από μόνο του ούτε τη διεργασία προέλευσης ούτε την εξαίρεση που εφαρμόστηκε. Το να το κυνηγάτε ως απόδειξη παράκαμψης είναι το πώς ένα νήμα υποστήριξης ξοδεύει μια εβδομάδα στο λάθος επίπεδο.

Χρησιμοποιήστε υποστηριζόμενα διαγνωστικά και μιλήστε με τον διαχειριστή που κατέχει το προφίλ, και μετά συγκρίνετε τη ροή με την προβλεπόμενη πολιτική. Αυτή η σύγκριση, όχι το όνομα κεντρικού υπολογιστή, σας λέει αν η κίνηση ήταν αναμενόμενη.

Επιλύστε την απαίτηση αντί να αποδυναμώσετε το σύστημα

Μην εγκαθιστάτε ένα ανεξήγητο πιστοποιητικό ρίζας και μην απενεργοποιείτε υπηρεσίες συστήματος μόνο για να κάνετε μια καταγραφή πιο ήσυχη. Το να ησυχάσετε την καταγραφή αφαιρεί την απόδειξη και αφήνει την εξαίρεση στη θέση της, που είναι χειρότερο σημείο από την αρχική ερώτηση. Αν ένας κανόνας συμμόρφωσης απαγορεύει μια κατηγορία που η πλατφόρμα αποκλείει σκόπιμα, πηγαίνετε αυτή τη σύγκρουση στους ιδιοκτήτες συσκευής και δικτύου με το τμήμα του σχήματος στο χέρι.

Κλείστε την ανάλυση καταγράφοντας ποια εξαίρεση εξήγησε την κίνηση, σε ποια έκδοση λειτουργικού συστήματος ισχύει και ποια τιμή προφίλ την προκάλεσε. Ένα εικονίδιο σύνδεσης δεν μπορεί να συμβιβάσει δύο ασύμβατες υποθέσεις για το πόσο εκτείνεται το εύρος κίνησης του λειτουργικού συστήματος.