Apple IncludeAllNetworks: што сè уште го заобиколува VPN-от

Го отворате профилот во конзолата за MDM, гледате означено IncludeAllNetworks и претпоставувате дека секој пакет од тој уред сега влегува во тунелот. Самата шема на Apple не го ветува тоа. Поставката го насочува сообраќајот низ VPN со исклучоци, од кои некои се опционални прекинувачи, а некои се неопходни за системот воопшто да продолжи да работи. Разгледницата подолу го следи тој документ од профилот кон надвор, така што првото нешто што го читате е самата поставка, а не снимка од уред што никој сè уште не го идентификувал.

Два од тие исклучоци го објаснуваат најголемиот дел од забуната, и двата се однесуваат на мобилната услуга.

Започнете од управуваниот профил, а не од снимка на сообраќај

Отворете ја шемата на управуваниот VPN профил и прочитајте го описот на својството пред да прочитате каков било дневник на пакети. Забележете дека описот се однесува на насочување со исклучоци, а не на гаранција за целосен тунел. Токму таа единствена реченица одредува како ќе го толкувате сето она што ќе го видите потоа.

Запишете три работи додека сте во конзолата: идентификаторот на товарот што ја носи поставката, изданието на управуваниот оперативен систем на уредот и која VPN имплементација е всушност инсталирана. Тоа што еден клуч е опишан во документацијата не кажува ништо за тоа дали клиент од трета страна го прикажува во сопствениот интерфејс за конфигурација.

Читајте го мобилниот исклучок како два различни случаи

Во поддржани конфигурации, ExcludeCellularServices го исклучува мобилниот сообраќај што може да се насочи преку интернет, но само кога е вклучен заедно со IncludeAllNetworks. Шемата ги наведува Wi-Fi Calling, IMS и услугите поврзани со пораки како примери за таа категорија. Тие текови можат да го напуштат тунелот по дизајн, и ниту еден преглед на профилот нема да ги спроведе низ него додека исклучокот е вклучен.

Вториот случај е одделен и не зависи од никаков прекинувач. Некои оператори ги даваат мобилните услуги директно преку сопствената мрежа, а не преку интернет, и Apple ја документира таа категорија како секогаш исклучена од тунелот. Тоа не е условниот случај со интернет насочување погоре, па профил што ги исчистил сите полиња за исклучок сепак нема да го фати. Третирањето на двете како една функција е местото каде започнуваат повеќето расправии за истекување.

Ако вашето барање буквално е ниту еден пакет никогаш да не го напушти тунелот, овој втор случај веќе го прави тоа барање невозможно на мобилен уред. Тоа мора да го знаете пред прегледот на дизајнот, не по него.

Проверете кои клучеви вашата платформа навистина ги изложува

Шемата исто така го опишува потребниот сообраќај за мрежно поврзување и captive мрежи, плус одделни контроли за други категории како локални мрежи и комуникација меѓу уреди. Тоа се документирани конфигурациски односи, а не набљудувања на вашиот уред. Потврдете го секој од нив спрема изданието на оперативниот систем што го управувате, бидејќи достапноста се менува меѓу изданијата и клучот на профилот што тивко се игнорира изгледа сосема исто како клуч што ја врши својата работа.

Минималниот товар за оваа одлука обично изгледа вака, со мобилното знаменце експлицитно наместо наследено од шаблон:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Ако некој клуч недостасува во доставениот профил, уредот се враќа на стандардната вредност на тој клуч, која не е нужно вредноста што ја имал на ум авторот на шаблонот. Споредете го доставениот товар со шаблонот наместо да го читате само шаблонот.

Утврдете што е непознато име на домаќин

Кога ќе се појави сомнително име, утврдете што набљудувањето всушност претставува: име што системот го побарал, резолверот што одговорил, одредиште на врска или ознака што ја отпечатил алатка. Името поврзано со оператор само по себе не го идентификува ниту изворниот процес ниту применетиот исклучок. Да се брка како доказ за заобиколување е начинот на кој една тема за поддршка поминува една недела на погрешен слој.

Користете поддржана дијагностика и разговарајте со администраторот што го поседува профилот, потоа споредете го текот со предвидената политика. Токму таа споредба, а не името на домаќинот, ви кажува дали сообраќајот бил очекуван.

Решете го барањето наместо да го ослабувате системот

Не инсталирајте необјаснет коренски сертификат и не исклучувајте системски услуги само за да ја направите снимката потивка. Затишувањето на снимката го отстранува доказот и го остава исклучокот на место, што е полоша завршница од првобитното прашање. Ако правило за усогласеност забранува категорија што платформата намерно ја исклучува, однесете го тој судир кај сопствениците на уредот и мрежата со делот од шемата во рака.

Завршете ја разгледницата со запишување кој исклучок го објаснил сообраќајот, на кое издание на оперативниот систем се однесува и која вредност на профилот го создала. Иконата за врска не може да помири две неспоиви претпоставки за тоа до каде се протега опфатот на сообраќајот на оперативниот систем.