Apple IncludeAllNetworks: mikä yhä ohittaa VPN:n

Avaat profiilin MDM-konsolissa, näet IncludeAllNetworks valittuna ja oletat, että jokainen laitteen paketti kulkee nyt tunnelissa. Applen oma skeema ei lupaa sitä. Asetus reitittää liikennettä VPN:n kautta poikkeuksilla, joista osa on valinnaisia kytkimiä ja osa välttämättömiä, jotta järjestelmä ylipäätään toimii. Alla oleva selvitys seuraa tätä dokumenttia profiilista ulospäin, joten ensimmäisenä luet itse asetuksen etkä tallennetta laitteesta, jota kukaan ei ole vielä tunnistanut.

Kaksi näistä poikkeuksista selittää suurimman osan sekaannuksesta, ja molemmat liittyvät matkapuhelinpalveluun.

Aloita hallitusta profiilista, älä tallenteesta

Avaa hallitun VPN-profiilin skeema ja lue ominaisuuden kuvaus ennen kuin luet yhtään pakettilokia. Huomaa, että kuvaus käsittelee reititystä poikkeuksineen, ei täyden tunnelin takeita. Juuri tuo yksi lause ratkaisee, miten tulkitset kaiken myöhemmin näkemäsi.

Kirjaa kolme asiaa konsolissa ollessasi: asetuksen kantavan hyötykuorman tunniste, laitteen hallittu käyttöjärjestelmäversio ja se, mikä VPN-toteutus on todella asennettu. Se, että avain on kuvattu dokumentaatiossa, ei kerro mitään siitä, näyttääkö kolmannen osapuolen asiakasohjelma sitä omassa määrityskäyttöliittymässään.

Lue matkapuhelinpoikkeus kahtena eri tapauksena

Tuetuissa kokoonpanoissa ExcludeCellularServices sulkee pois internetissä reititettävän matkapuhelinpalveluliikenteen, mutta vain kun se on käytössä yhdessä IncludeAllNetworks-asetuksen kanssa. Skeema mainitsee Wi-Fi Callingin, IMS:n ja viesteihin liittyvät palvelut esimerkkeinä tästä kategoriasta. Nämä vuot voivat suunnittelun mukaan poistua tunnelista, eikä mikään profiilin tarkistus kuljeta niitä sen läpi, kun poikkeus on päällä.

Toinen tapaus on erillinen eikä riipu mistään kytkimestä. Jotkin operaattorit toimittavat matkapuhelinpalvelut suoraan oman verkkonsa kautta internetin sijaan, ja Apple dokumentoi tämän kategorian aina tunnelista poissuljetuksi. Se ei ole yllä kuvattu ehdollinen internetissä reititettävä tapaus, joten profiili, joka tyhjentää kaikki poikkeusruudut, ei silti tavoita sitä. Kahden tapauksen pitäminen yhtenä ominaisuutena on kohta, josta useimmat vuotokeskustelut alkavat.

Jos vaatimuksesi on kirjaimellisesti, ettei yksikään paketti koskaan poistu tunnelista, tämä toinen tapaus tekee vaatimuksesta jo mahdottoman matkapuhelinlaitteessa. Sinun on tiedettävä se ennen suunnittelukatsausta, ei sen jälkeen.

Tarkista, mitkä avaimet alustasi todella tarjoaa

Skeema kuvaa myös välttämättömän verkkoyhteys- ja captive-verkkoliikenteen sekä erilliset säätimet muille kategorioille, kuten paikallisverkoille ja laitteiden väliselle viestinnälle. Ne ovat dokumentoituja määrityssuhteita, eivät laitteesi havaintoja. Vahvista jokainen hallitsemasi käyttöjärjestelmäversion mukaan, koska saatavuus muuttuu versioiden välillä ja hiljaa ohitettu profiiliavain näyttää täsmälleen samalta kuin avain, joka tekee tehtävänsä.

Tämän päätöksen vähimmäishyötykuorma näyttää yleensä tältä, kun matkapuhelinlippu on nimenomaisesti asetettu eikä peritty mallipohjasta:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Jos jokin avain puuttuu toimitetusta profiilista, laite palaa kyseisen avaimen oletusarvoon, joka ei välttämättä ole se arvo, jota mallipohjan tekijällä oli mielessään. Vertaa toimitettua hyötykuormaa mallipohjaan sen sijaan, että lukisit vain mallipohjaa.

Selvitä, mikä tuntematon isäntänimi on

Kun epäilyttävä nimi ilmestyy, selvitä, mitä havainto todella edustaa: järjestelmän pyytämä nimi, vastannut resolveri, yhteyden kohde vai työkalun tulostama merkintä. Operaattoriin liittyvä nimi ei yksinään tunnista sen enempää lähdeprosessia kuin sovellettua poikkeustakaan. Sen jahtaaminen ohituksen todisteena on tapa, jolla tukiketju viettää viikon väärällä kerroksella.

Käytä tuettuja diagnostiikkoja ja puhu profiilin omistavan ylläpitäjän kanssa ja vertaa sitten virtausta aiottuun käytäntöön. Juuri tuo vertailu, ei isäntänimi, kertoo, oliko liikenne odotettua.

Ratkaise vaatimus sen sijaan, että heikennät järjestelmää

Älä asenna selittämätöntä juurivarmenteita äläkä poista järjestelmäpalveluja käytöstä vain tehdäksesi tallenteesta hiljaisemman. Tallenteen hiljentäminen poistaa todisteen ja jättää poikkeuksen paikoilleen, mikä on huonompi paikka kuin alkuperäinen kysymys. Jos vaatimustenmukaisuussääntö kieltää kategorian, jonka alusta tarkoituksella sulkee pois, vie tämä ristiriita laitteen ja verkon omistajille skeemaosio kädessäsi.

Lopeta selvitys kirjaamalla, mikä poikkeus selitti liikenteen, mitä käyttöjärjestelmäversiota se koskee ja mikä profiiliarvo sen tuotti. Yhteyskuvake ei voi sovittaa yhteen kahta yhteensopimatonta oletusta siitä, miten pitkälle käyttöjärjestelmän liikennealue ulottuu.