Apple IncludeAllNetworks: apa yang masih melewati VPN

Anda membuka profil di konsol MDM, melihat IncludeAllNetworks tercentang, dan menganggap setiap paket dari perangkat itu kini masuk ke terowongan. Skema Apple sendiri tidak menjanjikan itu. Pengaturan ini merutekan lalu lintas melalui VPN dengan pengecualian, sebagian merupakan sakelar opsional dan sebagian lagi wajib agar sistem tetap berjalan. Uraian berikut mengikuti dokumen itu dari profil ke luar, jadi hal pertama yang Anda baca adalah pengaturannya sendiri, bukan tangkapan dari perangkat yang belum diidentifikasi siapa pun.

Dua dari pengecualian itu menjelaskan sebagian besar kebingungan, dan keduanya menyangkut layanan seluler.

Mulailah dari profil terkelola, bukan dari tangkapan

Buka skema profil VPN terkelola dan baca deskripsi propertinya sebelum membaca log paket apa pun. Perhatikan bahwa deskripsinya membahas perutean dengan pengecualian, bukan jaminan terowongan penuh. Satu kalimat itulah yang menentukan cara Anda menafsirkan semua yang Anda lihat sesudahnya.

Catat tiga hal selagi Anda di konsol: pengenal muatan yang membawa pengaturan, versi sistem operasi terkelola di perangkat, dan implementasi VPN mana yang benar-benar terpasang. Sebuah kunci dijelaskan dalam dokumentasi tidak mengatakan apa pun tentang apakah klien pihak ketiga menampilkannya di antarmuka konfigurasinya sendiri.

Bacalah pengecualian seluler sebagai dua kasus berbeda

Dalam konfigurasi yang didukung, ExcludeCellularServices mengecualikan lalu lintas layanan seluler yang dapat dirutekan melalui internet, tetapi hanya jika diaktifkan bersama IncludeAllNetworks. Skema memberi contoh Wi-Fi Calling, IMS, dan layanan terkait pesan untuk kategori itu. Aliran tersebut dapat keluar dari terowongan menurut desain, dan tidak ada peninjauan profil yang akan mengarahkannya melewatinya selama pengecualian aktif.

Kasus kedua terpisah dan tidak bergantung pada sakelar apa pun. Sebagian operator memberikan layanan seluler langsung melalui jaringan mereka sendiri alih-alih melalui internet, dan Apple mendokumentasikan kategori itu sebagai selalu dikecualikan dari terowongan. Ini bukan kasus bersyarat yang dapat dirutekan melalui internet di atas, jadi profil yang mengosongkan setiap kotak pengecualian tetap tidak akan menangkapnya. Memperlakukan keduanya sebagai satu fitur adalah titik awal sebagian besar perdebatan tentang kebocoran.

Jika persyaratan Anda secara harfiah adalah tidak ada paket yang pernah keluar dari terowongan, kasus kedua ini sudah membuat persyaratan itu mustahil pada perangkat seluler. Anda perlu mengetahuinya sebelum tinjauan desain, bukan sesudahnya.

Periksa kunci mana yang sebenarnya diekspos platform Anda

Skema juga menjelaskan lalu lintas koneksi jaringan dan jaringan captive yang diperlukan, ditambah kontrol terpisah untuk kategori lain seperti jaringan lokal dan komunikasi antarperangkat. Itu hubungan konfigurasi yang didokumentasikan, bukan pengamatan perangkat Anda. Konfirmasikan masing-masing terhadap versi sistem operasi yang Anda kelola, karena ketersediaan berubah antarrilis dan kunci profil yang diabaikan diam-diam tampak persis seperti kunci yang menjalankan tugasnya.

Muatan minimal untuk keputusan ini biasanya tampak seperti ini, dengan tanda seluler dinyatakan eksplisit alih-alih diwarisi dari templat:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Jika ada kunci yang hilang dari profil yang dikirim, perangkat kembali ke nilai default kunci itu, yang belum tentu nilai yang dimaksudkan penulis templat. Bandingkan muatan yang dikirim dengan templat alih-alih hanya membaca templatnya.

Tentukan apa itu nama host yang tidak dikenal

Ketika nama mencurigakan muncul, tetapkan apa yang sebenarnya diwakili pengamatan itu: nama yang diminta sistem, resolver yang menjawab, tujuan koneksi, atau label yang dicetak alat. Nama terkait operator dengan sendirinya tidak mengidentifikasi proses asal maupun pengecualian yang berlaku. Memburunya sebagai bukti bypass adalah cara sebuah utas dukungan menghabiskan sepekan di lapisan yang salah.

Gunakan diagnostik yang didukung dan bicaralah dengan administrator yang memiliki profil, lalu bandingkan alirannya dengan kebijakan yang dimaksud. Perbandingan itulah, bukan nama host, yang memberi tahu Anda apakah lalu lintas itu diharapkan.

Selesaikan persyaratannya alih-alih melemahkan sistem

Jangan pasang sertifikat akar yang tidak dijelaskan atau matikan layanan sistem hanya agar tangkapan lebih senyap. Menenangkan tangkapan menghapus bukti dan membiarkan pengecualian tetap di tempatnya, yang merupakan akhir yang lebih buruk daripada pertanyaan semula. Jika aturan kepatuhan melarang kategori yang sengaja dikecualikan platform, bawalah konflik itu kepada pemilik perangkat dan jaringan dengan bagian skema di tangan.

Tutup uraian dengan mencatat pengecualian mana yang menjelaskan lalu lintas itu, versi sistem operasi mana yang berlaku, dan nilai profil mana yang menghasilkannya. Ikon koneksi tidak dapat mendamaikan dua asumsi yang tidak cocok tentang seberapa jauh cakupan lalu lintas sistem operasi.