Apple IncludeAllNetworks: kas vis dar apeina VPN

Atidarote profilį MDM konsolėje, matote pažymėtą IncludeAllNetworks ir darote prielaidą, kad kiekvienas to įrenginio paketas dabar patenka į tunelį. Pati Apple schema to nežada. Nustatymas nukreipia srautą per VPN su išimtimis: kai kurios jų yra pasirenkami jungikliai, o kitos būtinos, kad sistema apskritai veiktų. Toliau pateikta apžvalga seka tą dokumentą nuo profilio į išorę, todėl pirmiausia skaitote patį nustatymą, o ne įrašą iš įrenginio, kurio dar niekas neatpažino.

Dvi iš tų išimčių paaiškina didžiąją dalį painiavos, ir abi susijusios su mobiliuoju ryšiu.

Pradėkite nuo valdomo profilio, o ne nuo įrašo

Atidarykite valdomo VPN profilio schemą ir perskaitykite savybės aprašymą prieš skaitydami bet kokį paketų žurnalą. Atkreipkite dėmesį, kad aprašymas kalba apie maršrutizavimą su išimtimis, o ne apie visiško tunelio garantiją. Būtent tas vienas sakinys nulemia, kaip interpretuosite viską, ką matysite vėliau.

Kol esate konsolėje, užsirašykite tris dalykus: naudingosios apkrovos, kuri neša nustatymą, identifikatorių, valdomą OS versiją įrenginyje ir tai, kuri VPN implementacija iš tikrųjų įdiegta. Tai, kad raktas aprašytas dokumentacijoje, nieko nesako apie tai, ar trečiosios šalies klientas jį rodo savo konfigūracijos sąsajoje.

Skaitykite mobiliojo ryšio išimtį kaip du skirtingus atvejus

Palaikomose konfigūracijose ExcludeCellularServices neįtraukia mobiliojo ryšio paslaugų srauto, kurį galima maršrutizuoti internetu, bet tik tada, kai jis įjungtas kartu su IncludeAllNetworks. Schema pateikia Wi-Fi Calling, IMS ir su pranešimais susijusias paslaugas kaip tos kategorijos pavyzdžius. Tie srautai gali išeiti iš tunelio pagal projektą, ir jokia profilio peržiūra nepraves jų pro jį, kol išimtis įjungta.

Antrasis atvejis yra atskiras ir nepriklauso nuo jokio jungiklio. Kai kurie operatoriai mobiliojo ryšio paslaugas teikia tiesiogiai per savo tinklą, o ne per internetą, ir Apple dokumentuoja šią kategoriją kaip visada iš tunelio išskirtą. Tai nėra aukščiau aprašytas sąlyginis internetu maršrutizuojamas atvejis, todėl profilis, kuriame išvalyti visi išimčių langeliai, vis tiek jo neužfiksuos. Abiejų traktavimas kaip vienos funkcijos yra vieta, nuo kurios prasideda dauguma ginčų dėl nuotėkio.

Jei jūsų reikalavimas pažodžiui yra toks, kad nė vienas paketas niekada neišeitų iš tunelio, šis antrasis atvejis jau daro tą reikalavimą neįmanomą mobiliajame įrenginyje. Tai reikia žinoti prieš dizaino peržiūrą, o ne po jos.

Patikrinkite, kokius raktus jūsų platforma iš tikrųjų atskleidžia

Schema taip pat aprašo būtiną tinklo ryšio ir captive tinklų srautą bei atskirus valdiklius kitoms kategorijoms, tokioms kaip vietiniai tinklai ir įrenginių komunikacija. Tai dokumentuoti konfigūracijos ryšiai, o ne jūsų įrenginio stebėjimai. Patvirtinkite kiekvieną pagal jūsų valdomą OS versiją, nes prieinamumas kinta tarp versijų, o tyliai ignoruojamas profilio raktas atrodo lygiai taip pat kaip raktas, kuris atlieka savo darbą.

Minimali šio sprendimo naudingoji apkrova paprastai atrodo taip, su aiškiai nustatyta mobiliojo ryšio vėliavėle, o ne paveldėta iš šablono:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Jei pristatytame profilyje trūksta kurio nors rakto, įrenginys grįžta prie to rakto numatytosios reikšmės, kuri nebūtinai yra ta reikšmė, kurią šablono autorius turėjo omenyje. Palyginkite pristatytą apkrovą su šablonu, o ne skaitykite vien šabloną.

Išsiaiškinkite, kas yra nepažįstamas prieglobos vardas

Kai pasirodo įtartinas vardas, nustatykite, ką stebėjimas iš tikrųjų reiškia: sistemos paprašytą vardą, atsakiusį sprendėją, prisijungimo tikslą ar įrankio atspausdintą žymą. Su operatoriumi susijęs vardas pats savaime nenurodo nei šaltinio proceso, nei pritaikytos išimties. Jo persekiojimas kaip apėjimo įrodymo yra būdas, kuriuo palaikymo gija praleidžia savaitę netinkamame sluoksnyje.

Naudokite palaikomą diagnostiką ir pasikalbėkite su administratoriumi, kuriam priklauso profilis, tada palyginkite srautą su numatyta politika. Būtent šis palyginimas, o ne prieglobos vardas, pasako, ar srautas buvo laukiamas.

Išspręskite reikalavimą, o ne silpninkite sistemą

Neinstaliuokite nepaaiškinto šakninio sertifikato ir neišjunkite sistemos paslaugų vien tam, kad įrašas būtų tylesnis. Įrašo nutildymas pašalina įrodymus ir palieka išimtį vietoje, o tai yra blogesnė pabaiga nei pradinis klausimas. Jei atitikties taisyklė draudžia kategoriją, kurią platforma sąmoningai išskiria, nuneškite tą konfliktą įrenginio ir tinklo savininkams su schemos skyriumi rankoje.

Užbaikite apžvalgą užrašydami, kuri išimtis paaiškino srautą, kuriai OS versijai ji taikoma ir kuri profilio reikšmė ją sukūrė. Ryšio piktograma negali sutaikyti dviejų nesuderinamų prielaidų apie tai, kiek toli siekia operacinės sistemos srauto apimtis.