Apple IncludeAllNetworks: hva som fortsatt omgår VPN-en

Du åpner profilen i MDM-konsollen, ser IncludeAllNetworks merket og antar at hver pakke fra den enheten nå går inn i tunnelen. Apples eget skjema lover ikke det. Innstillingen ruter trafikk gjennom VPN-en med unntak, hvorav noen er valgfrie brytere og andre er nødvendige for at systemet i det hele tatt skal fortsette å virke. Gjennomgangen nedenfor følger dokumentet ut fra profilen, så det første du leser er selve innstillingen og ikke en opptak fra en enhet som ingen har identifisert ennå.

To av disse unntakene forklarer det meste av forvirringen, og begge handler om mobiltjenesten.

Start i den administrerte profilen, ikke i et opptak

Åpne skjemaet for den administrerte VPN-profilen og les egenskapsbeskrivelsen før du leser en eneste pakkelogg. Legg merke til at beskrivelsen handler om ruting med unntak, ikke om en garanti for full tunnel. Nettopp den ene setningen avgjør hvordan du tolker alt du ser etterpå.

Skriv ned tre ting mens du er i konsollen: nyttelastens id som bærer innstillingen, den administrerte OS-versjonen på enheten og hvilken VPN-implementasjon som faktisk er installert. At en nøkkel er beskrevet i dokumentasjonen, sier ingenting om hvorvidt en tredjepartsklient viser den i sitt eget konfigurasjonsgrensesnitt.

Les mobilunntaket som to forskjellige tilfeller

I støttede konfigurasjoner utelukker ExcludeCellularServices internett-rutbar mobiltjenestetrafikk, men bare når den er slått på sammen med IncludeAllNetworks. Skjemaet nevner Wi-Fi Calling, IMS og meldingsrelaterte tjenester som eksempler på den kategorien. Disse strømmene kan forlate tunnelen etter design, og ingen gjennomgang av profilen vil sende dem gjennom den så lenge unntaket er på.

Det andre tilfellet er atskilt og avhenger ikke av noen bryter. Noen operatører leverer mobiltjenester direkte over sitt eget nettverk i stedet for over internett, og Apple dokumenterer den kategorien som alltid utelukket fra tunnelen. Det er ikke det betingede internett-rutbare tilfellet ovenfor, så en profil som tømmer hver unntaksboks fanger det likevel ikke. Å behandle de to som én funksjon er der de fleste diskusjoner om lekkasje begynner.

Hvis kravet ditt bokstavelig talt er at ingen pakke noen gang forlater tunnelen, gjør dette andre tilfellet allerede kravet umulig på en mobilenhet. Det må du vite før designgjennomgangen, ikke etterpå.

Kontroller hvilke nøkler plattformen din faktisk eksponerer

Skjemaet beskriver også nødvendig nettverksforbindelses- og captive-nettverkstrafikk, i tillegg til separate kontroller for andre kategorier som lokale nettverk og enhetskommunikasjon. Dette er dokumenterte konfigurasjonsrelasjoner, ikke observasjoner av enheten din. Bekreft hver enkelt mot OS-versjonen du administrerer, fordi tilgjengeligheten endres mellom versjoner, og en profilnøkkel som stille ignoreres ser nøyaktig ut som en nøkkel som gjør jobben sin.

En minimal nyttelast for denne beslutningen ser vanligvis slik ut, med mobilflagget eksplisitt i stedet for arvet fra en mal:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Hvis en nøkkel mangler i den leverte profilen, faller enheten tilbake til standardverdien for den nøkkelen, som ikke nødvendigvis er verdien malforfatteren hadde i tankene. Sammenlign den leverte nyttelasten med malen i stedet for å lese bare malen.

Finn ut hva et ukjent vertsnavn er

Når et mistenkelig navn dukker opp, må du fastslå hva observasjonen egentlig representerer: et navn systemet ba om, resolvøren som svarte, en tilkoblingsdestinasjon eller en etikett et verktøy skrev ut. Et operatørrelatert navn alene identifiserer verken kilde-prosessen eller unntaket som ble brukt. Å jage det som bevis på en omgåelse er hvordan en støttetråd bruker en uke på feil lag.

Bruk støttet diagnostikk og snakk med administratoren som eier profilen, og sammenlign deretter flyten med den tiltenkte policyen. Den sammenligningen, ikke vertsnavnet, forteller deg om trafikken var forventet.

Løs kravet i stedet for å svekke systemet

Ikke installer et uforklart rotsertifikat og ikke slå av systemtjenester bare for å gjøre et opptak stillere. Å dempe opptaket fjerner beviset og lar unntaket bli stående, som er et verre sted å ende enn det opprinnelige spørsmålet. Hvis en samsvarsregel forbyr en kategori som plattformen bevisst utelukker, ta den konflikten til eierne av enheten og nettverket med skjemaavsnittet i hånden.

Avslutt gjennomgangen med å notere hvilket unntak som forklarte trafikken, hvilken OS-versjon det gjelder, og hvilken profilverdi som frembrakte den. Et tilkoblingsikon kan ikke forene to uforenlige antakelser om hvor langt operativsystemets trafikkomfang strekker seg.