Apple IncludeAllNetworks: kio ankoraŭ preterpasas la VPN

Vi malfermas la profilon en la MDM-konzolo, vidas IncludeAllNetworks markita, kaj supozas, ke ĉiu paketo el tiu aparato nun eniras la tunelon. La propra skemo de Apple ne promesas tion. La agordo direktas trafikon tra la VPN kun esceptoj, kelkaj el ili laŭvolaj ŝaltiloj kaj kelkaj necesaj por ke la sistemo entute daŭre funkciu. La sekva priskribo sekvas tiun dokumenton ekde la profilo eksteren, do la unua afero, kiun vi legas, estas la agordo mem, ne kaptaĵo de aparato, kiun ankoraŭ neniu identigis.

Du el tiuj esceptoj kaŭzas la plej grandan parton de la konfuzo, kaj ambaŭ rilatas al la poŝtelefona servo.

Komencu en la administrata profilo, ne en kaptaĵo

Malfermu la skemon de la administrata VPN-profilo kaj legu la priskribon de la eco antaŭ ol legi ajnan pakan protokolon. Rimarku, ke la priskribo temas pri direktado kun esceptoj, ne pri garantio de plena tunelo. Ĝuste tiu unu frazo decidas, kiel vi interpretos ĉion, kion vi vidos poste.

Notu tri aferojn dum vi estas en la konzolo: la identigilon de la ŝarĝo, kiu portas la agordon, la administrata versio de la operaciumo sur la aparato, kaj kiun VPN-realigon oni efektive instalas. Tio, ke ŝlosilo estas priskribita en dokumentaro, diras nenion pri tio, ĉu kliento de tria partio montras ĝin en sia propra agorda fasado.

Legu la poŝtelefonan escepton kiel du malsamajn kazojn

En subtenataj agordoj, ExcludeCellularServices ekskludas poŝtelefonan servan trafikon direktigeblan tra la interreto, sed nur kiam ĝi estas ŝaltita kune kun IncludeAllNetworks. La skemo donas Wi-Fi Calling, IMS kaj mesaĝ-rilatajn servojn kiel ekzemplojn de tiu kategorio. Tiuj fluoj povas laŭplane forlasi la tunelon, kaj neniu profila revizio pasigos ilin tra ĝi dum la escepto estas ŝaltita.

La dua kazo estas aparta kaj dependas de neniu ŝaltilo. Iuj operatoroj liveras poŝtelefonajn servojn rekte tra sia propra reto anstataŭ tra la interreto, kaj Apple dokumentas tiun kategorion kiel ĉiam ekskluditan el la tunelo. Ĝi ne estas la supra kondiĉa interrete direktigebla kazo, do profilo, kiu malplenigas ĉiun esceptan markobutonon, ankoraŭ ne kaptos ĝin. Trakti la du kiel unu trajton estas kie komenciĝas la plej multaj disputoj pri liko.

Se via postulo laŭvorte estas, ke neniu paketo iam forlasu la tunelon, tiu dua kazo jam faras tiun postulon neebla sur poŝtelefona aparato. Vi devas scii tion antaŭ la dezajna revizio, ne poste.

Kontrolu, kiujn ŝlosilojn via platformo efektive montras

La skemo ankaŭ priskribas necesan retkonektan kaj captive-retan trafikon, plus apartajn regilojn por aliaj kategorioj kiel lokaj retoj kaj aparata komunikado. Tiuj estas dokumentitaj agordaj rilatoj, ne observoj de via aparato. Konfirmu ĉiun el ili kontraŭ la operaciuma versio, kiun vi administras, ĉar disponebleco ŝanĝiĝas inter versioj kaj profila ŝlosilo, kiu estas silente ignorata, aspektas ĝuste kiel ŝlosilo, kiu faras sian laboron.

Minimuma ŝarĝo por ĉi tiu decido kutime aspektas tiel, kun la poŝtelefona flago eksplicita anstataŭ heredita el ŝablono:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Se ŝlosilo mankas en la liverita profilo, la aparato revenas al la defaŭlta valoro de tiu ŝlosilo, kiu ne nepre estas la valoro, kiun la aŭtoro de la ŝablono imagis. Komparu la liveritan ŝarĝon kun la ŝablono anstataŭ legi nur la ŝablonon.

Klarigu, kio estas nekonata gastiganto-nomo

Kiam aperas suspektinda nomo, klarigu, kion la observo efektive reprezentas: nomon, kiun la sistemo petis, la solvilon, kiu respondis, celon de konekto, aŭ etikedon, kiun printis ilo. Nom rilata al operatoro mem ne identigas nek la originan procezon nek la aplikitan escepton. Postkuri ĝin kiel pruvon de preterpaso estas la maniero, kiel subtena fadeno pasigas semajnon en la malĝusta tavolo.

Uzu subtenatajn diagnozojn kaj parolu kun la administranto, kiu posedas la profilon, poste komparu la fluon kun la celita politiko. Tiu komparo, ne la gastiganto-nomo, diras al vi, ĉu la trafiko estis atendita.

Solvu la postulon anstataŭ malfortigi la sistemon

Ne instalu neklarigitan radikan atestilon kaj ne malŝaltu sistemajn servojn nur por igi kaptaĵon pli kvieta. Kvietigi la kaptaĵon forigas la pruvon kaj lasas la escepton en loko, kio estas pli malbona fino ol la origina demando. Se konforma regulo malpermesas kategorion, kiun la platformo intence ekskludas, konduku tiun konflikton al la posedantoj de la aparato kaj la reto kun la skema sekcio en la mano.

Fermu la priskribon per noto, kiu escepto klarigis la trafikon, por kiu operaciuma versio ĝi validas, kaj kiu profila valoro produktis ĝin. Konekta ikono ne povas akordigi du malkongruajn supozojn pri tio, kiom malproksimen etendiĝas la trafika amplekso de la operaciumo.