Apple IncludeAllNetworks: mis möödub endiselt VPN-ist

Ava profiil MDM-konsoolis, näed IncludeAllNetworks märgitud ja eeldad, et selle seadme iga pakett siseneb nüüd tunnelisse. Apple'i enda skeem ei tõota seda. Säte suunab liikluse VPN-i kaudu eranditega, millest mõned on valikulised lülitid ja mõned vajalikud, et süsteem üldse töötaks. Alljärgnev ülevaade järgib seda dokumenti profiilist väljapoole, nii et esimene asi, mida loed, on säte ise, mitte salvestis seadmest, mida keegi pole veel tuvastanud.

Kaks neist eranditest seletavad suurema osa segadusest ja mõlemad puudutavad mobiilside teenust.

Alusta hallatavast profiilist, mitte liiklussalvestisest

Ava hallatava VPN-profiili skeem ja loe omaduse kirjeldust enne, kui loed ükskõik millist paketilogisid. Pane tähele, et kirjeldus räägib marsruutimisest eranditega, mitte täieliku tunneli garantiist. Just see üks lause otsustab, kuidas tõlgendad kõike, mida hiljem näed.

Kirjuta konsoolis olles üles kolm asja: sätet kandva lasti identifikaator, seadmes olev hallatava operatsioonisüsteemi versioon ja see, milline VPN-i teostus on tegelikult paigaldatud. See, et võti on dokumentatsioonis kirjeldatud, ei ütle midagi selle kohta, kas kolmanda osapoole klient seda oma konfiguratsiooniliideses näitab.

Loe mobiilierandit kahe erineva juhtumina

Toetatud konfiguratsioonides välistab ExcludeCellularServices interneti kaudu marsruuditava mobiilside liikluse, kuid ainult siis, kui see on lubatud koos IncludeAllNetworks-ga. Skeem toob selle kategooria näideteks Wi-Fi Callingi, IMS-i ja sõnumitega seotud teenused. Need vood võivad konstruktsiooni järgi tunnelist väljuda ja ükski profiili ülevaatus ei suuna neid sellest läbi, kuni erand on sees.

Teine juhtum on eraldi ega sõltu ühestki lülitist. Mõned operaatorid pakuvad mobiilside teenuseid otse oma võrgu kaudu, mitte interneti kaudu, ja Apple dokumenteerib selle kategooria alati tunnelist välistatuna. See ei ole ülalpool kirjeldatud tingimuslik interneti kaudu marsruuditav juhtum, seega profiil, mis tühjendab iga erandikasti, ei taba seda ikkagi. Kahe juhtumi käsitlemine ühe funktsioonina on koht, kust algab enamik lekkearutelusid.

Kui sinu nõue on sõna otseses mõttes, et ükski pakett ei lahku kunagi tunnelist, teeb see teine juhtum selle nõude mobiilseadmes juba võimatuks. Seda tuleb teada enne disainiülevaatust, mitte pärast.

Kontrolli, milliseid võtmeid sinu platvorm tegelikult pakub

Skeem kirjeldab ka vajalikku võrguühenduse ja captive-võrgu liiklust ning eraldi juhtelemente teistele kategooriatele, nagu kohalikud võrgud ja seadmetevaheline side. Need on dokumenteeritud konfiguratsiooniseosed, mitte sinu seadme vaatlused. Kinnita igaüks hallatava operatsioonisüsteemi versiooni vastu, sest saadavus muutub versioonide vahel ja vaikselt eiratav profiilivõti näeb täpselt samasugune välja nagu võti, mis oma tööd teeb.

Selle otsuse minimaalne last näeb tavaliselt välja nii, kus mobiililipuke on selgesõnaline, mitte mallist päritud:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Kui mõni võti on tarnitud profiilist puudu, langeb seade selle võtme vaikeväärtusele, mis ei pruugi olla väärtus, mida mallilooja silmas pidas. Võrdle tarnitud lasti malliga, mitte ära loe ainult malli.

Tehke kindlaks, mis on tundmatu hostinimi

Kui ilmub kahtlane nimi, tee kindlaks, mida vaatlus tegelikult esindab: nime, mida süsteem küsis, vastanud resolverit, ühenduse sihtkohta või tööriista trükitud silti. Operaatoriga seotud nimi ei tuvasta iseenesest ei algset protsessi ega rakendatud erandit. Selle tagaajamine möödapääsu tõendina on viis, kuidas tugilõim veedab nädala valel kihil.

Kasuta toetatud diagnostikat ja räägi profiili omanikust administraatoriga, seejärel võrdle voogu kavandatud poliitikaga. Just see võrdlus, mitte hostinimi, ütleb, kas liiklus oli oodatud.

Lahenda nõue, mitte ära nõrgenda süsteemi

Ära paigalda seletamata juursertifikaati ega lülita süsteemiteenuseid välja ainult selleks, et salvestis oleks vaiksem. Salvestise vaigistamine eemaldab tõendi ja jätab erandi paigale, mis on halvem koht kui algne küsimus. Kui vastavusreegel keelab kategooria, mille platvorm teadlikult välistab, vii see vastuolu seadme ja võrgu omanikeni skeemiosa käes.

Lõpeta ülevaade, kirjutades üles, milline erand liiklust seletas, millisele operatsioonisüsteemi versioonile see kehtib ja milline profiili väärtus selle tekitas. Ühenduse ikoon ei suuda lepitada kahte kokkusobimatut eeldust selle kohta, kui kaugele operatsioonisüsteemi liikluse ulatus küünib.