Apple IncludeAllNetworks: VPNден дагы эмне өтүп кетет

MDM консолунда профилди ачасыз, IncludeAllNetworks белгиленгенин көрөсүз жана ошол түзмөктүн ар бир пакети эми туннелге кирет деп ойлойсуз. Apple'дын өз схемасы муну убада кылбайт. Бул жөндөө трафикти өзгөчөлүктөр менен VPN аркылуу багыттайт: айрымдары милдеттүү эмес которгучтар, ал эми айрымдары системанын жалпы иштеши үчүн зарыл. Төмөнкү талдоо ошол документти профилден сыртка карай ээрчийт, ошондуктан биринчи окуганыңыз жөндөөнүн өзү, эч ким аныктай элек түзмөктүн жазуусу эмес.

Ошол өзгөчөлүктөрдүн экөө чаташкандыктын көбүн түшүндүрөт жана экөө тең уюлдук кызматка тиешелүү.

Жазуудан эмес, башкарылуучу профилден баштаңыз

Каалаган пакет журналын окуудан мурун башкарылуучу VPN профилинин схемасын ачып, касиеттин сүрөттөмөсүн окуңуз. Сүрөттөмө өзгөчөлүктөр менен маршруттоо жөнүндө экенин, толук туннелдин кепилдиги жөнүндө эмес экенин белгилеңиз. Ушул бир сүйлөм кийин көргөн бардык нерсени кантип чечмелей турганыңызды аныктайт.

Консолдо турганда үч нерсени жазып алыңыз: жөндөөнү алып жүргөн жүктөм идентификатору, түзмөктөгү башкарылуучу ОС версиясы жана чындыгында кайсы VPN ишке ашырылышы орнотулганы. Ачкычтын документте сүрөттөлүшү үчүнчү тараптын кардары аны өзүнүн конфигурация интерфейсинде көрсөтөбү-жокпу жөнүндө эч нерсе айтпайт.

Уюлдук өзгөчөлүктү эки башка учур катары окуңуз

Колдоого алынган конфигурацияларда ExcludeCellularServices интернет аркылуу маршрутталуучу уюлдук кызмат трафигин чыгарат, бирок IncludeAllNetworks менен бирге күйгүзүлгөндө гана. Схема Wi-Fi Calling, IMS жана билдирүүлөргө байланыштуу кызматтарды ушул категориянын мисалдары катары келтирет. Бул агымдар долбоор боюнча туннелден чыга алат жана өзгөчөлүк күйүп турганда эч бир профиль кароо аларды андан өткөрбөйт.

Экинчи учур өзүнчө жана эч кандай которгучка көз каранды эмес. Айрым операторлор уюлдук кызматтарды интернет аркылуу эмес, түз өз тармагы аркылуу сунуштайт, жана Apple бул категорияны туннелден дайыма чыгарылган деп документтейт. Бул жогорку шарттуу интернет-маршрутталуучу учур эмес, ошондуктан бардык өзгөчөлүк кутучаларын тазалаган профиль да аны кармай албайт. Экөөнү бир функция деп кароо — агымдар жөнүндөгү талаштардын көбү башталган жер.

Эгер талабыңыз сөзмө-сөз эч бир пакет эч качан туннелден чыкпашы керек дегенди билдирсе, бул экинчи учур уюлдук түзмөктө ал талапты эбак эле мүмкүн эмес кылат. Муну долбоордук кароодон мурун билүү керек, кийин эмес.

Платформаңыз чындыгында кайсы ачкычтарды ачарын текшериңиз

Схема ошондой эле зарыл тармактык туташуу жана captive тармактарынын трафигин, ошондой эле жергиликтүү тармактар жана түзмөктөр аралык байланыш сыяктуу башка категориялар үчүн өзүнчө башкаруу элементтерин сүрөттөйт. Булар документтелген конфигурациялык байланыштар, түзмөгүңүздүн байкоолору эмес. Ар бирин башкарган ОС версиясына каршы ырастаңыз, анткени жеткиликтүүлүк версиялар арасында өзгөрөт жана үнсүз этибарга алынбаган профиль ачкычы өз ишин аткарган ачкычка так окшош көрүнөт.

Бул чечим үчүн минималдуу жүктөм адатта мындай көрүнөт, уюлдук желекче үлгүдөн мураска алынбай, ачык көрсөтүлөт:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Эгер жеткирилген профилде кандайдыр бир ачкыч жок болсо, түзмөк ошол ачкычтын демейки маанисине кайтат, ал үлгү автору ойлогон маани болушу милдеттүү эмес. Үлгүнү гана окуунун ордуна жеткирилген жүктөмдү үлгү менен салыштырыңыз.

Тааныш эмес хост аты эмне экенин аныктаңыз

Шектүү ат пайда болгондо, байкоонун чындыгында эмнени билдирерин аныктаңыз: система сураган ат, жооп берген чечүүчү, туташуунун багыты же курал басып чыгарган белги. Операторго байланыштуу ат өз алдынча баштапкы процессти да, колдонулган өзгөчөлүктү да аныктабайт. Аны айланып өтүүнүн далили катары кууп жүрүү — колдоо темасынын бир жумасын туура эмес катмарда өткөрүү жолу.

Колдоого алынган диагностиканы колдонуңуз жана профилге ээ администратор менен сүйлөшүңүз, анан агымды көздөлгөн саясат менен салыштырыңыз. Трафиктин күтүлгөнүн хост аты эмес, ушул салыштыруу айтат.

Системаны алсыратуунун ордуна талапты чечиңиз

Жазууну тынч кылуу үчүн гана түшүндүрүлбөгөн тамыр сертификатын орнотпоңуз жана системалык кызматтарды өчүрбөңүз. Жазууну тынчтандыруу далилди алып салат жана өзгөчөлүктү ордунда калтырат, бул баштапкы суроодон да жаман жер. Эгер шайкештик эрежеси платформа атайын чыгарган категорияга тыюу салса, ошол карама-каршылыкты схема бөлүмүн колуңузга алып, түзмөк жана тармак ээлерине алып барыңыз.

Кайсы өзгөчөлүк трафикти түшүндүргөнүн, ал кайсы ОС версиясына тиешелүү экенин жана аны кайсы профиль мааниси жаратканын жазып, талдоону бүткөрүңүз. Туташуу белгиси операциялык системанын трафик аймагы канчалык кенен экени тууралуу эки шайкеш келбеген божомолду элдештире албайт.