Apple IncludeAllNetworks: što i dalje zaobilazi VPN

Otvorite profil u MDM konzoli, vidite označen IncludeAllNetworks i pretpostavite da svaki paket s tog uređaja sada ulazi u tunel. Appleova vlastita shema to ne obećava. Postavka usmjerava promet kroz VPN s izuzecima, od kojih su neki neobavezni prekidači, a neki nužni da bi sustav uopće radio. Pregled u nastavku slijedi taj dokument od profila prema van, pa je prvo što čitate sama postavka, a ne snimka s uređaja koji još nitko nije identificirao.

Dva od tih izuzetaka objašnjavaju većinu zabune, a oba se tiču mobilne usluge.

Počnite od upravljanog profila, a ne od snimke prometa

Otvorite shemu upravljanog VPN profila i pročitajte opis svojstva prije nego što pročitate bilo koji dnevnik paketa. Primijetite da opis govori o usmjeravanju s izuzecima, a ne o jamstvu punog tunela. Upravo ta jedna rečenica odlučuje kako ćete tumačiti sve što poslije vidite.

Zapišite tri stvari dok ste u konzoli: identifikator tereta koji nosi postavku, izdanje upravljanog operacijskog sustava na uređaju i koja je VPN implementacija zapravo instalirana. Opis ključa u dokumentaciji ne govori ništa o tome prikazuje li ga klijent treće strane u svom sučelju za konfiguraciju.

Čitajte mobilni izuzetak kao dva različita slučaja

U podržanim konfiguracijama ExcludeCellularServices isključuje mobilni promet usmjeriv kroz internet, ali samo kada je uključen uz IncludeAllNetworks. Shema navodi Wi-Fi Calling, IMS i usluge povezane s porukama kao primjere te kategorije. Ti tokovi mogu napustiti tunel po dizajnu i nijedan pregled profila neće ih provesti kroz njega dok je izuzetak uključen.

Drugi je slučaj odvojen i ne ovisi ni o kakvom prekidaču. Neki operateri pružaju mobilne usluge izravno preko svoje mreže, a ne preko interneta, i Apple tu kategoriju dokumentira kao uvijek isključenu iz tunela. To nije uvjetni slučaj s internetom gore, pa ga profil koji je očistio svako polje izuzetka ipak neće obuhvatiti. Tretiranje dvaju slučajeva kao jedne značajke mjesto je na kojem počinje većina rasprava o curenju.

Ako je vaš zahtjev doslovno da nijedan paket nikada ne napusti tunel, ovaj drugi slučaj već čini taj zahtjev nemogućim na mobilnom uređaju. To morate znati prije pregleda dizajna, ne poslije.

Provjerite koje ključeve vaša platforma stvarno izlaže

Shema opisuje i nužan promet mrežnih veza i captive mreža, uz odvojene kontrole za druge kategorije poput lokalnih mreža i komunikacije uređaja. To su dokumentirani odnosi u konfiguraciji, a ne opažanja vašeg uređaja. Potvrdite svaki prema izdanju operacijskog sustava kojim upravljate, jer dostupnost se mijenja između izdanja, a ključ profila koji se tiho ignorira izgleda jednako kao ključ koji obavlja svoj posao.

Minimalni teret za ovu odluku obično izgleda ovako, s mobilnom zastavicom izričito postavljenom, a ne naslijeđenom iz predloška:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Ako neki ključ nedostaje u dostavljenom profilu, uređaj se vraća na zadanu vrijednost tog ključa, koja nije nužno vrijednost koju je autor predloška imao na umu. Usporedite dostavljeni teret s predloškom umjesto da čitate samo predložak.

Utvrdite što je nepoznato ime hosta

Kada se pojavi sumnjivo ime, utvrdite što opažanje zapravo predstavlja: ime koje je sustav zatražio, razrješivač koji je odgovorio, odredište veze ili oznaku koju je alat ispisao. Ime povezano s operaterom samo po sebi ne identificira ni proces izvora ni primijenjeni izuzetak. Juriti ga kao dokaz zaobilaženja način je na koji jedna tema podrške provede tjedan na pogrešnom sloju.

Koristite podržanu dijagnostiku i razgovarajte s administratorom koji posjeduje profil, pa usporedite tok s predviđenom politikom. Ta usporedba, a ne ime hosta, kaže vam je li promet bio očekivan.

Riješite zahtjev umjesto da oslabite sustav

Ne instalirajte neobjašnjeni korijenski certifikat i ne isključujte sistemske usluge samo da bi snimka bila tiša. Stišavanje snimke uklanja dokaz i ostavlja izuzetak na mjestu, što je gore od početnog pitanja. Ako pravilo usklađenosti zabranjuje kategoriju koju platforma namjerno isključuje, odnesite taj sukob vlasnicima uređaja i mreže s odjeljkom sheme u ruci.

Završite pregled tako što ćete zabilježiti koji je izuzetak objasnio promet, na koje se izdanje operacijskog sustava odnosi i koja je vrijednost profila to proizvela. Ikona veze ne može pomiriti dvije nespojive pretpostavke o tome dokle seže doseg prometa operacijskog sustava.