Apple IncludeAllNetworks: que aínda evita a VPN

Abre o perfil na consola MDM, ve IncludeAllNetworks marcado e dá por feito que cada paquete dese dispositivo entra xa no túnel. O propio esquema de Apple non promete iso. O axuste encamiña o tráfico pola VPN con exclusións: algunhas son interruptores opcionais e outras son necesarias para que o sistema siga funcionando. O percorrido seguinte segue ese documento desde o perfil cara a fóra, así que o primeiro que le é o propio axuste e non unha captura dun dispositivo que ninguén identificou aínda.

Dúas desas exclusións explican a maior parte da confusión, e ambas teñen que ver co servizo móbil.

Comeza polo perfil xestionado, non por unha captura

Abre o esquema do perfil de VPN xestionado e le a descrición da propiedade antes de ler calquera rexistro de paquetes. Fíxate en que a descrición trata do encamiñamento con exclusións, non dunha garantía de túnel completo. Esa única frase decide como interpretarás todo o que vexas despois.

Anota tres cousas mentres estás na consola: o identificador de carga que leva o axuste, a versión xestionada do sistema operativo no dispositivo e que implementación de VPN está realmente instalada. Que unha clave apareza descrita na documentación non di nada sobre se un cliente de terceiros a expón na súa propia interface de configuración.

Le a exclusión móbil como dous casos distintos

En configuracións compatibles, ExcludeCellularServices exclúe o tráfico de servizos móbiles encamiñable por internet, pero só cando está activado xunto a IncludeAllNetworks. O esquema pon Wi-Fi Calling, IMS e os servizos relacionados coa mensaxería como exemplos desa categoría. Eses fluxos poden saír do túnel por deseño, e ningunha revisión do perfil os fará pasar por el mentres a exclusión estea activa.

O segundo caso é distinto e non depende de ningún interruptor. Algúns operadores entregan os servizos móbiles directamente pola súa propia rede en lugar de por internet, e Apple documenta esa categoría como sempre excluída do túnel. Non é o caso condicional encamiñable por internet de arriba, así que un perfil que baleire todas as caixas de exclusión tampouco o capturará. Tratar os dous como unha soa función é onde comezan a maioría das discusións sobre unha fuga.

Se o teu requisito é literalmente que ningún paquete saia nunca do túnel, este segundo caso xa fai imposible ese requisito nun dispositivo móbil. Necesitas sabelo antes da revisión de deseño, non despois.

Comproba que claves expón realmente a túa plataforma

O esquema tamén describe o tráfico necesario de conexión de rede e de redes captive, ademais de controis separados para outras categorías como redes locais e comunicación entre dispositivos. Son relacións de configuración documentadas, non observacións do teu dispositivo. Confirma cada unha contra a versión do sistema operativo que xestionas, porque a dispoñibilidade cambia entre versións e unha clave de perfil ignorada en silencio parece exactamente igual que unha que fai o seu traballo.

Unha carga mínima para esta decisión adoita parecerse a isto, co indicador móbil explícito en lugar de herdado dun modelo:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Se falta unha clave no perfil entregado, o dispositivo volve ao valor predeterminado desa clave, que non é necesariamente o valor que o autor do modelo tiña en mente. Compara a carga entregada co modelo en lugar de ler só o modelo.

Determina que é un nome de host descoñecido

Cando aparece un nome sospeitoso, establece que representa realmente a observación: un nome que pediu o sistema, o resolvedor que respondeu, un destino de conexión ou unha etiqueta impresa por unha ferramenta. Un nome relacionado co operador non identifica por si só nin o proceso de orixe nin a excepción aplicada. Perseguilo como proba dunha evasión é como un fío de soporte pasa unha semana na capa equivocada.

Usa diagnósticos compatibles e fala co administrador que posúe o perfil, e despois compara o fluxo coa política prevista. Esa comparación, non o nome de host, diche se o tráfico era esperado.

Resolve o requisito en lugar de debilitar o sistema

Non instales un certificado raíz sen explicación nin desactives servizos do sistema só para que unha captura quede máis silenciosa. Silenciar a captura elimina a proba e deixa a exclusión no seu sitio, que é un lugar peor que a pregunta orixinal. Se unha norma de cumprimento prohibe unha categoría que a plataforma exclúe deliberadamente, leva ese conflito aos responsables do dispositivo e da rede coa sección do esquema na man.

Pecha o percorrido anotando que excepción explicaba o tráfico, a que versión do sistema operativo se aplica e que valor do perfil o produciu. Unha icona de conexión non pode conciliar dúas suposicións incompatibles sobre ata onde chega o alcance do tráfico do sistema operativo.