Apple IncludeAllNetworks: 여전히 VPN을 우회하는 것은 무엇인가

MDM 콘솔에서 프로파일을 열고 IncludeAllNetworks 이 선택된 것을 보면 그 기기의 모든 패킷이 이제 터널로 들어간다고 가정하게 됩니다. Apple 자체 스키마는 그것을 약속하지 않습니다. 이 설정은 예외를 두고 트래픽을 VPN으로 보내며, 예외 중 일부는 선택 스위치이고 일부는 시스템이 계속 동작하기 위해 반드시 필요합니다. 아래 설명은 그 문서를 프로파일에서 바깥으로 따라가므로, 가장 먼저 읽는 것은 설정 자체이지 아직 아무도 식별하지 못한 기기의 캡처가 아닙니다.

이 예외 중 둘이 혼란의 대부분을 설명하며, 둘 다 셀룰러 서비스와 관련됩니다.

캡처가 아니라 관리 프로파일에서 시작하십시오

어떤 패킷 로그를 읽기 전에 관리 VPN 프로파일 스키마를 열고 속성 설명을 읽으십시오. 설명이 예외가 있는 라우팅에 관한 것이지 완전한 터널 보장에 관한 것이 아님을 주목하십시오. 바로 그 한 문장이 이후에 보는 모든 것을 어떻게 해석할지 결정합니다.

콘솔에 있는 동안 세 가지를 적어 두십시오. 설정을 담은 페이로드 식별자, 기기의 관리 OS 릴리스, 그리고 실제로 설치된 VPN 구현이 무엇인지입니다. 어떤 키가 문서에 기술되어 있다는 사실은 타사 클라이언트가 그것을 자체 구성 UI에 노출하는지에 대해 아무것도 말해 주지 않습니다.

셀룰러 예외를 두 가지 다른 사례로 읽으십시오

지원되는 구성에서 ExcludeCellularServices 은 인터넷으로 라우팅 가능한 셀룰러 서비스 트래픽을 제외하지만, IncludeAllNetworks 와 함께 활성화된 경우에만 그렇습니다. 스키마는 그 범주에 대한 예로 Wi-Fi Calling, IMS, 메시지 관련 서비스를 듭니다. 그 흐름은 설계상 터널을 벗어날 수 있으며, 예외가 켜져 있는 동안에는 어떤 프로파일 검토도 그것을 터널로 통과시키지 못합니다.

두 번째 사례는 별개이며 어떤 스위치에도 의존하지 않습니다. 일부 통신사는 셀룰러 서비스를 인터넷이 아니라 자사 네트워크를 통해 직접 제공하며, Apple은 그 범주를 항상 터널에서 제외되는 것으로 문서화합니다. 이것은 위의 조건부 인터넷 라우팅 사례가 아니므로, 모든 예외 상자를 비운 프로파일도 그것을 잡지 못합니다. 둘을 하나의 기능으로 취급하는 것이 유출 논쟁이 시작되는 지점입니다.

요구 사항이 문자 그대로 어떤 패킷도 결코 터널을 떠나지 않아야 한다는 것이라면, 이 두 번째 사례만으로도 셀룰러 기기에서는 그 요구가 이미 불가능합니다. 설계 검토 전에 알아야 하며, 그 후에 알면 늦습니다.

플랫폼이 실제로 노출하는 키를 확인하십시오

스키마는 또한 필요한 네트워크 연결과 캡티브 네트워크 트래픽, 그리고 로컬 네트워크와 기기 간 통신 같은 다른 범주를 위한 별도 제어를 설명합니다. 이것들은 문서화된 구성 관계이지 기기에 대한 관측이 아닙니다. 관리하는 OS 릴리스에 대해 하나씩 확인하십시오. 릴리스마다 사용 가능 여부가 달라지고, 조용히 무시되는 프로파일 키는 제 역할을 하는 키와 똑같아 보이기 때문입니다.

이 결정을 위한 최소 페이로드는 보통 다음과 같으며, 셀룰러 플래그를 템플릿에서 물려받지 않고 명시합니다.

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

전달된 프로파일에 키가 빠져 있으면 기기는 그 키의 기본값으로 돌아가며, 그 값이 템플릿 작성자가 염두에 둔 값과 같다는 보장은 없습니다. 템플릿만 읽지 말고 전달된 페이로드를 템플릿과 비교하십시오.

낯선 호스트 이름이 무엇인지 밝히십시오

의심스러운 이름이 나타나면 그 관측이 실제로 무엇을 나타내는지 확정하십시오. 시스템이 요청한 이름인지, 응답한 리졸버인지, 연결 대상인지, 도구가 출력한 레이블인지입니다. 통신사와 관련된 이름만으로는 출발 프로세스도 적용된 예외도 식별하지 못합니다. 그것을 우회의 증거로 쫓는 것이 지원 스레드가 일주일을 잘못된 계층에서 보내는 방식입니다.

지원되는 진단을 사용하고 프로파일을 소유한 관리자와 이야기한 다음, 흐름을 의도한 정책과 비교하십시오. 호스트 이름이 아니라 그 비교가 트래픽이 예상된 것인지 알려 줍니다.

시스템을 약화시키지 말고 요구 사항을 해결하십시오

캡처를 조용하게 만들기 위해 설명되지 않은 루트 인증서를 설치하거나 시스템 서비스를 끄지 마십시오. 캡처를 조용하게 하면 증거가 사라지고 예외는 그대로 남으며, 그것은 원래 질문보다 나쁜 종착점입니다. 규정 준수 규칙이 플랫폼이 의도적으로 제외하는 범주를 금지한다면, 스키마 절을 손에 들고 그 충돌을 기기와 네트워크 소유자에게 가져가십시오.

어떤 예외가 트래픽을 설명했는지, 그것이 어느 OS 릴리스에 적용되는지, 어떤 프로파일 값이 그것을 낳았는지 기록하여 설명을 마무리하십시오. 운영 체제의 트래픽 범위가 어디까지 미치는지에 대한 두 개의 양립할 수 없는 가정을 연결 아이콘은 조정할 수 없습니다.