Apple IncludeAllNetworks: چه چیزی هنوز از VPN عبور می‌کند

پروفایل را در کنسول MDM باز می‌کنید، IncludeAllNetworks را تیک‌خورده می‌بینید و فرض می‌کنید هر بسته‌ای از آن دستگاه اکنون وارد تونل می‌شود. طرح‌واره خود Apple چنین چیزی را وعده نمی‌دهد. این تنظیم ترافیک را با استثناها از VPN عبور می‌دهد؛ برخی از آن‌ها کلیدهای اختیاری‌اند و برخی برای اینکه سیستم اصلاً کار کند ضروری‌اند. شرح زیر این سند را از پروفایل به بیرون دنبال می‌کند، پس نخستین چیزی که می‌خوانید خود تنظیم است، نه ضبطی از دستگاهی که هنوز هیچ‌کس شناسایی‌اش نکرده است.

دو مورد از این استثناها بیشتر سردرگمی را توضیح می‌دهند و هر دو به سرویس سلولی مربوط‌اند.

از پروفایل مدیریت‌شده شروع کنید، نه از یک ضبط

طرح‌واره پروفایل VPN مدیریت‌شده را باز کنید و پیش از خواندن هر گزارش بسته، توصیف ویژگی را بخوانید. توجه کنید که توصیف درباره مسیریابی با استثناهاست، نه تضمین یک تونل کامل. همان یک جمله تعیین می‌کند که هر چیزی را که بعداً می‌بینید چگونه تفسیر کنید.

وقتی در کنسول هستید سه چیز را یادداشت کنید: شناسه بارِ حامل تنظیم، نسخه سیستم‌عامل مدیریت‌شده روی دستگاه، و اینکه کدام پیاده‌سازی VPN واقعاً نصب است. اینکه کلیدی در مستندات توصیف شده باشد هیچ چیز درباره اینکه یک کلاینت شخص ثالث آن را در رابط پیکربندی خود نشان می‌دهد یا نه نمی‌گوید.

استثنای سلولی را دو حالت جداگانه بخوانید

در پیکربندی‌های پشتیبانی‌شده، ExcludeCellularServices ترافیک سرویس سلولی قابل مسیریابی از اینترنت را کنار می‌گذارد، اما تنها زمانی که در کنار IncludeAllNetworks فعال باشد. طرح‌واره Wi-Fi Calling، IMS و سرویس‌های مرتبط با پیام‌رسانی را نمونه‌های این دسته می‌داند. این جریان‌ها طبق طراحی می‌توانند از تونل خارج شوند و هیچ بازبینی پروفایلی آن‌ها را تا زمانی که استثنا روشن است از آن عبور نمی‌دهد.

حالت دوم جداست و به هیچ کلیدی وابسته نیست. برخی اپراتورها خدمات سلولی را مستقیماً از شبکه خود و نه از اینترنت ارائه می‌دهند و Apple این دسته را همیشه از تونل مستثنی می‌داند. این همان حالت شرطی قابل مسیریابی از اینترنت در بالا نیست، پس پروفایلی که همه کادرهای استثنا را خالی کند هم آن را نمی‌گیرد. یکی دانستن این دو، جایی است که بیشتر بحث‌ها درباره نشت آغاز می‌شود.

اگر الزام شما به‌طور تحت‌اللفظی این است که هیچ بسته‌ای هرگز از تونل خارج نشود، همین حالت دوم آن الزام را روی یک دستگاه سلولی ناممکن می‌کند. باید این را پیش از بازبینی طراحی بدانید، نه بعد از آن.

بررسی کنید پلتفرم شما واقعاً کدام کلیدها را ارائه می‌دهد

طرح‌واره همچنین ترافیک ضروری اتصال شبکه و شبکه‌های captive، به‌علاوه کنترل‌های جداگانه برای دسته‌های دیگر مانند شبکه‌های محلی و ارتباط دستگاه را توصیف می‌کند. این‌ها روابط پیکربندی مستند هستند، نه مشاهده‌های دستگاه شما. هرکدام را با نسخه سیستم‌عاملی که مدیریت می‌کنید تأیید کنید، چون دسترس‌پذیری میان نسخه‌ها تغییر می‌کند و کلید پروفایلی که بی‌صدا نادیده گرفته می‌شود دقیقاً مانند کلیدی است که کارش را انجام می‌دهد.

حداقل بار برای این تصمیم معمولاً چنین است، با پرچم سلولی صریح به‌جای ارث‌بری از یک الگو:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

اگر کلیدی در پروفایل تحویل‌شده غایب باشد، دستگاه به مقدار پیش‌فرض آن کلید برمی‌گردد که لزوماً مقداری نیست که نویسنده الگو در ذهن داشته است. بار تحویل‌شده را با الگو مقایسه کنید، نه اینکه فقط الگو را بخوانید.

مشخص کنید یک نام میزبان ناآشنا چیست

وقتی نام مشکوکی ظاهر می‌شود، روشن کنید که مشاهده واقعاً چه چیزی را نشان می‌دهد: نامی که سیستم درخواست کرده، resolverی که پاسخ داده، مقصد یک اتصال، یا برچسبی که ابزاری چاپ کرده است. نامی مرتبط با اپراتور به‌تنهایی نه فرایند مبدأ را مشخص می‌کند و نه استثنای اعمال‌شده را. دنبال کردن آن به‌عنوان مدرک دور زدن، راهی است که یک رشته پشتیبانی یک هفته را در لایه اشتباه می‌گذراند.

از تشخیص‌های پشتیبانی‌شده استفاده کنید و با مدیر مالک پروفایل صحبت کنید، سپس جریان را با سیاست موردنظر مقایسه کنید. همین مقایسه، نه نام میزبان، به شما می‌گوید ترافیک مورد انتظار بوده یا نه.

الزام را حل کنید، نه اینکه سیستم را ضعیف کنید

گواهی ریشه توضیح‌داده‌نشده نصب نکنید و سرویس‌های سیستم را فقط برای آرام‌تر کردن یک ضبط خاموش نکنید. آرام کردن ضبط مدرک را حذف می‌کند و استثنا را سر جایش می‌گذارد، که پایان بدتری از پرسش اصلی است. اگر قاعده‌ای انطباقی دسته‌ای را ممنوع می‌کند که پلتفرم عمداً مستثنی می‌کند، آن تعارض را با بخش طرح‌واره در دست به مالکان دستگاه و شبکه ببرید.

شرح را با ثبت این‌که کدام استثنا ترافیک را توضیح داد، به کدام نسخه سیستم‌عامل مربوط است و کدام مقدار پروفایل آن را ایجاد کرد ببندید. یک نماد اتصال نمی‌تواند دو فرض ناسازگار درباره اینکه دامنه ترافیک سیستم‌عامل تا کجا گسترده است را آشتی دهد.