Apple IncludeAllNetworks: apa yang masih memintas VPN

Anda membuka profil dalam konsol MDM, melihat IncludeAllNetworks ditanda, dan menganggap setiap paket daripada peranti itu kini masuk ke terowong. Skema Apple sendiri tidak menjanjikan itu. Tetapan ini menghalakan trafik melalui VPN dengan pengecualian, sebahagiannya suis pilihan dan sebahagian lagi wajib supaya sistem terus berfungsi. Huraian di bawah mengikut dokumen itu dari profil ke luar, jadi perkara pertama yang anda baca ialah tetapan itu sendiri, bukan tangkapan daripada peranti yang belum dikenal pasti oleh sesiapa.

Dua daripada pengecualian itu menjelaskan sebahagian besar kekeliruan, dan kedua-duanya berkaitan perkhidmatan selular.

Mulakan dalam profil terurus, bukan dalam tangkapan

Buka skema profil VPN terurus dan baca keterangan sifat sebelum membaca sebarang log paket. Perhatikan bahawa keterangan itu mengenai penghalaan dengan pengecualian, bukan jaminan terowong penuh. Ayat tunggal itulah yang menentukan cara anda mentafsir segala yang anda lihat selepasnya.

Catat tiga perkara semasa anda berada dalam konsol: pengecam muatan yang membawa tetapan, versi sistem pengendalian terurus pada peranti, dan pelaksanaan VPN yang benar-benar dipasang. Sesuatu kunci diterangkan dalam dokumentasi tidak mengatakan apa-apa tentang sama ada klien pihak ketiga memaparkannya dalam antara muka konfigurasinya sendiri.

Baca pengecualian selular sebagai dua kes berbeza

Dalam konfigurasi yang disokong, ExcludeCellularServices mengecualikan trafik perkhidmatan selular yang boleh dihalakan melalui internet, tetapi hanya apabila ia didayakan bersama IncludeAllNetworks. Skema memberi Wi-Fi Calling, IMS dan perkhidmatan berkaitan pemesejan sebagai contoh kategori itu. Aliran tersebut boleh keluar dari terowong mengikut reka bentuk, dan tiada semakan profil akan menghalakannya melaluinya selagi pengecualian itu dihidupkan.

Kes kedua berasingan dan tidak bergantung pada mana-mana suis. Sesetengah pengendali menyampaikan perkhidmatan selular terus melalui rangkaian mereka sendiri dan bukan melalui internet, dan Apple mendokumenkan kategori itu sebagai sentiasa dikecualikan daripada terowong. Ini bukan kes bersyarat yang boleh dihalakan melalui internet di atas, jadi profil yang mengosongkan setiap kotak pengecualian tetap tidak akan menangkapnya. Menganggap kedua-duanya sebagai satu ciri ialah titik permulaan kebanyakan perdebatan tentang kebocoran.

Jika keperluan anda secara literal ialah tiada paket yang pernah keluar dari terowong, kes kedua ini sudah menjadikan keperluan itu mustahil pada peranti selular. Anda perlu tahu perkara itu sebelum semakan reka bentuk, bukan selepasnya.

Semak kunci mana yang sebenarnya didedahkan oleh platform anda

Skema juga menerangkan trafik sambungan rangkaian dan rangkaian captive yang diperlukan, di samping kawalan berasingan untuk kategori lain seperti rangkaian tempatan dan komunikasi antara peranti. Itu hubungan konfigurasi yang didokumenkan, bukan pemerhatian peranti anda. Sahkan setiap satu terhadap versi sistem pengendalian yang anda uruskan, kerana ketersediaan berubah antara versi dan kunci profil yang diabaikan secara senyap kelihatan sama seperti kunci yang menjalankan tugasnya.

Muatan minimum untuk keputusan ini biasanya kelihatan seperti ini, dengan bendera selular dinyatakan secara eksplisit dan bukan diwarisi daripada templat:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Jika sesuatu kunci tiada dalam profil yang dihantar, peranti kembali kepada nilai lalai kunci itu, yang belum tentu nilai yang dimaksudkan oleh pengarang templat. Bandingkan muatan yang dihantar dengan templat dan bukan hanya membaca templat.

Tentukan apakah nama hos yang tidak dikenali

Apabila nama mencurigakan muncul, tentukan apa yang sebenarnya diwakili oleh pemerhatian itu: nama yang diminta oleh sistem, penyelesai yang menjawab, destinasi sambungan, atau label yang dicetak oleh alat. Nama berkaitan pengendali dengan sendirinya tidak mengenal pasti proses asal mahupun pengecualian yang digunakan. Memburunya sebagai bukti pemintasan ialah cara satu benang sokongan menghabiskan seminggu pada lapisan yang salah.

Gunakan diagnostik yang disokong dan berbincang dengan pentadbir yang memiliki profil itu, kemudian bandingkan aliran dengan dasar yang dimaksudkan. Perbandingan itulah, bukan nama hos, yang memberitahu anda sama ada trafik itu dijangka.

Selesaikan keperluan dan bukan melemahkan sistem

Jangan pasang sijil akar tanpa penjelasan atau matikan perkhidmatan sistem semata-mata untuk menjadikan tangkapan lebih senyap. Menenangkan tangkapan menghapuskan bukti dan membiarkan pengecualian kekal di tempatnya, yang merupakan pengakhiran lebih buruk daripada soalan asal. Jika peraturan pematuhan melarang kategori yang sengaja dikecualikan oleh platform, bawa konflik itu kepada pemilik peranti dan rangkaian dengan bahagian skema di tangan.

Tutup huraian dengan merekodkan pengecualian mana yang menjelaskan trafik itu, versi sistem pengendalian yang berkaitan, dan nilai profil yang menghasilkannya. Ikon sambungan tidak dapat mendamaikan dua andaian tidak serasi tentang sejauh mana skop trafik sistem pengendalian.