Apple IncludeAllNetworks: mi kerüli még mindig a VPN-t

Megnyitja a profilt az MDM-konzolon, látja, hogy az IncludeAllNetworks be van jelölve, és feltételezi, hogy az eszköz minden csomagja most belép az alagútba. Az Apple saját sémája ezt nem ígéri. A beállítás kivételekkel irányítja a forgalmat a VPN-en; némelyik kivétel opcionális kapcsoló, mások szükségesek ahhoz, hogy a rendszer egyáltalán működjön. Az alábbi áttekintés ezt a dokumentumot követi a profilból kifelé, így először magát a beállítást olvassa, nem egy olyan eszköz rögzítését, amelyet még senki nem azonosított.

E kivételek közül kettő okozza a zavar nagy részét, és mindkettő a mobil szolgáltatáshoz kapcsolódik.

A kezelt profilból induljon ki, ne egy rögzítésből

Nyissa meg a kezelt VPN-profil sémáját, és olvassa el a tulajdonság leírását, mielőtt bármilyen csomagnaplót olvasna. Vegye észre, hogy a leírás kivételekkel történő útválasztásról szól, nem teljes alagút garanciájáról. Ez az egyetlen mondat dönti el, hogyan értelmezi mindazt, amit utána lát.

Jegyezzen fel három dolgot, amíg a konzolon van: a beállítást hordozó hasznos teher azonosítóját, az eszközön lévő kezelt operációsrendszer-verziót, és azt, hogy valójában melyik VPN-megvalósítás van telepítve. Az, hogy egy kulcs szerepel a dokumentációban, semmit sem mond arról, hogy egy harmadik féltől származó kliens megjeleníti-e a saját konfigurációs felületén.

A mobil kivételt két külön esetként olvassa

Támogatott konfigurációkban a ExcludeCellularServices kizárja az interneten át irányítható mobil szolgáltatási forgalmat, de csak akkor, ha az IncludeAllNetworks mellett van engedélyezve. A séma a Wi-Fi Calling, az IMS és az üzenetkezeléssel kapcsolatos szolgáltatásokat hozza példaként erre a kategóriára. Ezek az adatfolyamok tervezés szerint elhagyhatják az alagutat, és a profil semmilyen átvizsgálása nem vezeti át őket rajta, amíg a kivétel be van kapcsolva.

A második eset különálló, és semmilyen kapcsolótól nem függ. Egyes szolgáltatók a mobil szolgáltatásokat közvetlenül a saját hálózatukon keresztül nyújtják, nem az interneten át, és az Apple ezt a kategóriát mindig kizártként dokumentálja az alagútból. Ez nem a fenti feltételes, interneten át irányítható eset, ezért egy olyan profil, amely minden kivételjelölőt kitisztít, akkor sem fogja el. A kettő egyetlen funkcióként kezelése az a pont, ahol a legtöbb szivárgásvita elkezdődik.

Ha a követelménye szó szerint az, hogy egyetlen csomag se hagyja el soha az alagutat, ez a második eset már lehetetlenné teszi ezt a követelményt egy mobil eszközön. Ezt a tervezési átvizsgálás előtt kell tudnia, nem utána.

Ellenőrizze, mely kulcsokat teszi elérhetővé a platformja

A séma leírja a szükséges hálózati kapcsolat és a captive hálózatok forgalmát is, valamint külön vezérlőket más kategóriákhoz, például a helyi hálózatokhoz és az eszközkommunikációhoz. Ezek dokumentált konfigurációs kapcsolatok, nem az eszköze megfigyelései. Erősítse meg mindegyiket a kezelt operációsrendszer-verzióhoz képest, mert az elérhetőség verziók között változik, és a csendben figyelmen kívül hagyott profilkulcs pontosan úgy néz ki, mint egy, amely a dolgát végzi.

E döntés minimális hasznos terhe általában így néz ki, a mobil jelzővel kifejezetten megadva, nem sablonból örökölve:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Ha egy kulcs hiányzik a szállított profilból, az eszköz visszaesik annak a kulcsnak az alapértelmezett értékére, amely nem feltétlenül az az érték, amelyet a sablon szerzője szem előtt tartott. Hasonlítsa össze a szállított terhet a sablonnal, ahelyett hogy csak a sablont olvasná.

Derítse ki, mi egy ismeretlen gazdagépnév

Amikor gyanús név bukkan fel, állapítsa meg, mit is képvisel valójában a megfigyelés: a rendszer által kért nevet, a válaszoló feloldót, egy kapcsolat célját vagy egy eszköz által kinyomtatott címkét. Egy szolgáltatóhoz köthető név önmagában sem a forrásfolyamatot, sem az alkalmazott kivételt nem azonosítja. Megkerülés bizonyítékaként hajszolni azt az út, ahogy egy támogatási szál egy hetet a rossz rétegen tölt.

Használjon támogatott diagnosztikát, és beszéljen a profilt birtokló rendszergazdával, majd hasonlítsa össze az adatfolyamot a szándékolt szabályzattal. Ez az összehasonlítás, nem a gazdagépnév mondja meg, hogy a forgalom várható volt-e.

Oldja meg a követelményt, ne gyengítse a rendszert

Ne telepítsen megmagyarázatlan gyökértanúsítványt, és ne kapcsoljon ki rendszerszolgáltatásokat csak azért, hogy egy rögzítés halkabb legyen. A rögzítés elcsendesítése eltávolítja a bizonyítékot, és a kivételt a helyén hagyja, ami rosszabb végpont, mint az eredeti kérdés. Ha egy megfelelőségi szabály tilt egy kategóriát, amelyet a platform szándékosan kizár, vigye ezt a konfliktust az eszköz és a hálózat tulajdonosaihoz a séma szakaszával a kezében.

Zárja le az áttekintést annak rögzítésével, melyik kivétel magyarázta a forgalmat, melyik operációsrendszer-verzióra vonatkozik, és melyik profilérték hozta létre. Egy kapcsolatikon nem tud összeegyeztetni két összeegyeztethetetlen feltevést arról, milyen messzire terjed az operációs rendszer forgalmi hatóköre.