Apple IncludeAllNetworks: कौन-सा ट्रैफ़िक अब भी VPN को बायपास करता है

आप MDM कंसोल में प्रोफ़ाइल खोलते हैं, IncludeAllNetworks को टिक किया हुआ देखते हैं और मान लेते हैं कि उस डिवाइस का हर पैकेट अब सुरंग में जाता है। Apple की अपनी स्कीमा ऐसा वादा नहीं करती। यह सेटिंग ट्रैफ़िक को अपवादों के साथ VPN से गुज़ारती है, जिनमें कुछ वैकल्पिक स्विच हैं और कुछ ऐसे ज़रूरी हैं कि सिस्टम आम तौर पर काम करता रहे। नीचे का विवरण उसी दस्तावेज़ का प्रोफ़ाइल से बाहर की ओर अनुसरण करता है, इसलिए सबसे पहले आप सेटिंग ही पढ़ते हैं, किसी ऐसे डिवाइस का कैप्चर नहीं जिसे अभी किसी ने पहचाना नहीं है।

इन अपवादों में से दो ज़्यादातर उलझन की वजह हैं, और दोनों सेल्युलर सेवा से जुड़े हैं।

कैप्चर से नहीं, प्रबंधित प्रोफ़ाइल से शुरू करें

कोई भी पैकेट लॉग पढ़ने से पहले प्रबंधित VPN प्रोफ़ाइल स्कीमा खोलें और प्रॉपर्टी का विवरण पढ़ें। ध्यान दें कि विवरण अपवादों के साथ रूटिंग के बारे में है, पूरी सुरंग की गारंटी के बारे में नहीं। वही एक वाक्य तय करता है कि आगे जो कुछ आप देखेंगे उसकी व्याख्या कैसे करेंगे।

कंसोल में रहते हुए तीन बातें लिख लें: सेटिंग ले जाने वाला पेलोड पहचानकर्ता, डिवाइस पर प्रबंधित OS संस्करण, और यह कि वास्तव में कौन-सा VPN कार्यान्वयन इंस्टॉल है। किसी कुंजी का दस्तावेज़ में वर्णित होना यह नहीं बताता कि कोई तृतीय-पक्ष क्लाइंट उसे अपने कॉन्फ़िगरेशन इंटरफ़ेस में दिखाता है या नहीं।

सेल्युलर अपवाद को दो अलग मामलों के रूप में पढ़ें

समर्थित कॉन्फ़िगरेशन में, ExcludeCellularServices इंटरनेट से रूट हो सकने वाले सेल्युलर सेवा ट्रैफ़िक को बाहर रखता है, पर केवल तब जब वह IncludeAllNetworks के साथ सक्षम हो। स्कीमा Wi-Fi Calling, IMS और संदेश-संबंधी सेवाओं को उस श्रेणी के उदाहरण के रूप में देती है। ये प्रवाह डिज़ाइन के अनुसार सुरंग से बाहर जा सकते हैं, और जब तक अपवाद चालू है, कोई भी प्रोफ़ाइल समीक्षा उन्हें सुरंग से नहीं गुज़ारेगी।

दूसरा मामला अलग है और किसी स्विच पर निर्भर नहीं करता। कुछ ऑपरेटर सेल्युलर सेवाएँ इंटरनेट के बजाय सीधे अपने नेटवर्क पर देते हैं, और Apple उस श्रेणी को सुरंग से हमेशा बाहर रखी हुई के रूप में दर्ज करता है। यह ऊपर वाला सशर्त इंटरनेट-रूटेबल मामला नहीं है, इसलिए हर अपवाद बॉक्स खाली करने वाली प्रोफ़ाइल भी उसे नहीं पकड़ेगी। दोनों को एक ही विशेषता मानना वहीं से शुरू होता है जहाँ ज़्यादातर लीक बहसें जन्म लेती हैं।

अगर आपकी आवश्यकता शब्दशः यह है कि कोई भी पैकेट कभी सुरंग से बाहर न जाए, तो यह दूसरा मामला सेल्युलर डिवाइस पर उस आवश्यकता को पहले ही असंभव बना देता है। यह डिज़ाइन समीक्षा से पहले जानना ज़रूरी है, बाद में नहीं।

जाँचें कि आपका प्लेटफ़ॉर्म वास्तव में कौन-सी कुंजियाँ उजागर करता है

स्कीमा ज़रूरी नेटवर्क-कनेक्शन और कैप्टिव-नेटवर्क ट्रैफ़िक का भी वर्णन करती है, साथ ही स्थानीय नेटवर्क और डिवाइस संचार जैसी अन्य श्रेणियों के लिए अलग नियंत्रण भी। ये दस्तावेज़ीकृत कॉन्फ़िगरेशन संबंध हैं, आपके डिवाइस के अवलोकन नहीं। हर एक को उस OS संस्करण के सामने पुष्ट करें जिसे आप प्रबंधित करते हैं, क्योंकि उपलब्धता संस्करणों के बीच बदलती है और चुपचाप अनदेखी की गई प्रोफ़ाइल कुंजी बिल्कुल वैसी ही दिखती है जैसी अपना काम करती हुई कुंजी।

इस निर्णय के लिए न्यूनतम पेलोड आम तौर पर ऐसा दिखता है, जिसमें सेल्युलर फ़्लैग टेम्पलेट से विरासत में नहीं बल्कि स्पष्ट रूप से दिया गया है:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

अगर दिए गए प्रोफ़ाइल में कोई कुंजी गायब है, तो डिवाइस उस कुंजी के डिफ़ॉल्ट पर लौट जाता है, जो ज़रूरी नहीं कि वह मान हो जो टेम्पलेट लेखक के मन में था। सिर्फ़ टेम्पलेट पढ़ने के बजाय दिए गए पेलोड की टेम्पलेट से तुलना करें।

तय करें कि अनजान होस्टनाम क्या है

जब कोई संदिग्ध नाम दिखे, तो तय करें कि अवलोकन वास्तव में क्या दर्शाता है: सिस्टम द्वारा माँगा गया नाम, जवाब देने वाला रिज़ॉल्वर, कनेक्शन का गंतव्य, या किसी टूल द्वारा छापा गया लेबल। ऑपरेटर से जुड़ा नाम अकेले न तो स्रोत प्रक्रिया बताता है और न लागू किया गया अपवाद। इसे बायपास के सबूत के रूप में पीछे लगना वही तरीका है जिससे कोई सपोर्ट थ्रेड हफ़्ता भर गलत परत पर बिता देता है।

समर्थित डायग्नोस्टिक्स का उपयोग करें और प्रोफ़ाइल के मालिक एडमिनिस्ट्रेटर से बात करें, फिर प्रवाह की इच्छित नीति से तुलना करें। होस्टनाम नहीं, यही तुलना बताती है कि ट्रैफ़िक अपेक्षित था या नहीं।

सिस्टम को कमज़ोर करने के बजाय आवश्यकता का समाधान करें

सिर्फ़ कैप्चर को शांत करने के लिए बिना समझाया गया रूट सर्टिफ़िकेट इंस्टॉल न करें और न सिस्टम सेवाएँ बंद करें। कैप्चर शांत करने से सबूत हट जाता है और अपवाद अपनी जगह रह जाता है, जो मूल सवाल से बदतर जगह है। अगर कोई अनुपालन नियम ऐसी श्रेणी पर रोक लगाता है जिसे प्लेटफ़ॉर्म जानबूझकर बाहर रखता है, तो वह टकराव स्कीमा का अनुभाग हाथ में लेकर डिवाइस और नेटवर्क के मालिकों के पास ले जाएँ।

विवरण को यह दर्ज करके बंद करें कि किस अपवाद ने ट्रैफ़िक समझाया, वह किस OS संस्करण पर लागू होता है, और किस प्रोफ़ाइल मान ने उसे पैदा किया। ऑपरेटिंग सिस्टम का ट्रैफ़िक दायरा कितनी दूर तक फैला है, इस बारे में दो असंगत धारणाओं को कोई कनेक्शन आइकन नहीं मिला सकता।