Apple IncludeAllNetworks: kas joprojām apiet VPN

Jūs atverat profilu MDM konsolē, redzat atzīmētu IncludeAllNetworks un pieņemat, ka katrs šīs ierīces pakete tagad nonāk tunelī. Apple paša shēma to nesola. Iestatījums maršrutē datplūsmu caur VPN ar izņēmumiem: daži no tiem ir izvēles slēdži, bet citi ir nepieciešami, lai sistēma vispār turpinātu darboties. Tālāk sniegtais skaidrojums seko šim dokumentam no profila uz āru, tāpēc pirmais, ko lasāt, ir pats iestatījums, nevis ieraksts no ierīces, kuru vēl neviens nav identificējis.

Divi no šiem izņēmumiem izskaidro lielāko daļu neskaidrības, un abi attiecas uz mobilo sakaru pakalpojumu.

Sāciet ar pārvaldīto profilu, nevis ar ierakstu

Atveriet pārvaldītā VPN profila shēmu un izlasiet rekvizīta aprakstu pirms jebkura pakešu žurnāla lasīšanas. Ņemiet vērā, ka apraksts attiecas uz maršrutēšanu ar izņēmumiem, nevis uz pilnīga tuneļa garantiju. Tieši šis viens teikums nosaka, kā interpretēsiet visu, ko redzēsiet pēc tam.

Kamēr esat konsolē, pierakstiet trīs lietas: kravnesības identifikatoru, kas nes iestatījumu, pārvaldīto OS versiju ierīcē un to, kura VPN implementācija faktiski ir instalēta. Tas, ka atslēga ir aprakstīta dokumentācijā, neko nepasaka par to, vai trešās puses klients to parāda savā konfigurācijas saskarnē.

Lasiet mobilo sakaru izņēmumu kā divus dažādus gadījumus

Atbalstītās konfigurācijās ExcludeCellularServices izslēdz mobilo sakaru pakalpojumu datplūsmu, ko var maršrutēt caur internetu, bet tikai tad, kad tas ir iespējots kopā ar IncludeAllNetworks. Shēma kā šīs kategorijas piemērus min Wi-Fi Calling, IMS un ar ziņojumiem saistītus pakalpojumus. Šīs plūsmas pēc projekta var atstāt tuneli, un neviena profila pārskatīšana tās caur to neizlaidīs, kamēr izņēmums ir ieslēgts.

Otrais gadījums ir atsevišķs un nav atkarīgs no neviena slēdža. Daži operatori mobilo sakaru pakalpojumus nodrošina tieši savā tīklā, nevis internetā, un Apple šo kategoriju dokumentē kā vienmēr izslēgtu no tuneļa. Tas nav iepriekš aprakstītais nosacītais interneta maršrutēšanas gadījums, tāpēc profils, kurā notīrītas visas izņēmumu rūtiņas, to joprojām neuztvers. Abu uzskatīšana par vienu funkciju ir vieta, kur sākas lielākā daļa strīdu par noplūdi.

Ja jūsu prasība burtiski ir tāda, ka neviena pakete nekad neiziet no tuneļa, šis otrais gadījums jau padara šo prasību neiespējamu mobilajā ierīcē. Tas jāzina pirms dizaina pārskatīšanas, nevis pēc tās.

Pārbaudiet, kuras atslēgas jūsu platforma faktiski atklāj

Shēma apraksta arī nepieciešamo tīkla savienojuma un captive tīklu datplūsmu, kā arī atsevišķas vadības ierīces citām kategorijām, piemēram, vietējiem tīkliem un ierīču savstarpējai saziņai. Tie ir dokumentēti konfigurācijas sakari, nevis jūsu ierīces novērojumi. Apstipriniet katru pret pārvaldīto OS versiju, jo pieejamība mainās starp versijām un klusi ignorēta profila atslēga izskatās tieši tāpat kā atslēga, kas dara savu darbu.

Minimālā šī lēmuma kravnesība parasti izskatās šādi, ar mobilo sakaru karodziņu skaidri norādītu, nevis mantotu no veidnes:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Ja piegādātajā profilā trūkst kādas atslēgas, ierīce atgriežas pie šīs atslēgas noklusējuma vērtības, kas ne vienmēr ir tā vērtība, ko veidnes autors bija domājis. Salīdziniet piegādāto kravnesību ar veidni, nevis lasiet tikai veidni.

Noskaidrojiet, kas ir nepazīstams resursdatora nosaukums

Kad parādās aizdomīgs nosaukums, noskaidrojiet, ko novērojums patiešām attēlo: sistēmas pieprasītu nosaukumu, atbildējušo atrisinātāju, savienojuma galamērķi vai rīka izdrukātu etiķeti. Ar operatoru saistīts nosaukums pats par sevi neidentificē ne izcelsmes procesu, ne piemēroto izņēmumu. Tā vajāšana kā apiešanas pierādījums ir veids, kā atbalsta temats pavada nedēļu nepareizajā slānī.

Izmantojiet atbalstītu diagnostiku un runājiet ar administratoru, kuram pieder profils, pēc tam salīdziniet plūsmu ar paredzēto politiku. Tieši šis salīdzinājums, nevis resursdatora nosaukums, pasaka, vai datplūsma bija gaidīta.

Atrisiniet prasību, nevis vājiniet sistēmu

Neinstalējiet neizskaidrotu saknes sertifikātu un neizslēdziet sistēmas pakalpojumus tikai tāpēc, lai ieraksts būtu klusāks. Ieraksta nomierināšana noņem pierādījumus un atstāj izņēmumu vietā, kas ir sliktāks iznākums nekā sākotnējais jautājums. Ja atbilstības noteikums aizliedz kategoriju, kuru platforma apzināti izslēdz, nogādājiet šo konfliktu ierīces un tīkla īpašniekiem ar shēmas sadaļu rokās.

Noslēdziet skaidrojumu, pierakstot, kurš izņēmums izskaidroja datplūsmu, kurai OS versijai tas attiecas un kura profila vērtība to radīja. Savienojuma ikona nevar saskaņot divus nesavienojamus pieņēmumus par to, cik tālu sniedzas operētājsistēmas datplūsmas apjoms.