Apple IncludeAllNetworks: wat de VPN nog steeds omzeilt

U opent het profiel in de MDM-console, ziet IncludeAllNetworks aangevinkt en neemt aan dat elk pakket van dat apparaat nu de tunnel in gaat. Apple’s eigen schema belooft dat niet. De instelling leidt verkeer met uitsluitingen door de VPN, waarvan sommige optionele schakelaars zijn en andere nodig zijn om het systeem überhaupt te laten blijven werken. De uitleg hieronder volgt dat document vanaf het profiel naar buiten, zodat u eerst de instelling zelf leest en niet een opname van een apparaat dat nog niemand heeft geïdentificeerd.

Twee van die uitsluitingen verklaren het grootste deel van de verwarring, en beide gaan over de mobiele dienst.

Begin in het beheerde profiel, niet in een opname

Open het schema van het beheerde VPN-profiel en lees de eigenschapsbeschrijving voordat u welk pakketlog dan ook leest. Merk op dat de beschrijving over routering met uitsluitingen gaat, niet over een garantie van een volledige tunnel. Juist die ene zin bepaalt hoe u alles interpreteert wat u daarna ziet.

Noteer drie dingen terwijl u in de console bent: de payload-identificatie die de instelling draagt, de beheerde OS-versie op het apparaat en welke VPN-implementatie werkelijk is geïnstalleerd. Dat een sleutel in de documentatie wordt beschreven, zegt niets over de vraag of een client van derden hem in zijn eigen configuratie-interface toont.

Lees de mobiele uitsluiting als twee verschillende gevallen

In ondersteunde configuraties sluit ExcludeCellularServices mobiel verkeer dat via internet routeerbaar is uit, maar alleen wanneer het samen met IncludeAllNetworks is ingeschakeld. Het schema noemt Wi-Fi Calling, IMS en berichtgerelateerde diensten als voorbeelden van die categorie. Die stromen kunnen de tunnel naar ontwerp verlaten, en geen enkele profielbeoordeling leidt ze erdoorheen zolang de uitsluiting aan staat.

Het tweede geval staat apart en hangt van geen enkele schakelaar af. Sommige providers leveren mobiele diensten rechtstreeks over hun eigen netwerk in plaats van via internet, en Apple documenteert die categorie als altijd uitgesloten van de tunnel. Dat is niet het voorwaardelijke, via internet routeerbare geval hierboven, dus een profiel dat elk uitsluitingsvak leegt, vangt het nog steeds niet. De twee als één functie behandelen is waar de meeste discussies over een lek beginnen.

Als uw eis letterlijk is dat geen enkel pakket ooit de tunnel verlaat, maakt dit tweede geval die eis op een mobiel apparaat al onmogelijk. Dat moet u weten vóór de ontwerpbeoordeling, niet erna.

Controleer welke sleutels uw platform werkelijk beschikbaar stelt

Het schema beschrijft ook noodzakelijk netwerkverbindings- en captive-netwerkverkeer, plus afzonderlijke bedieningselementen voor andere categorieën zoals lokale netwerken en apparaatcommunicatie. Dat zijn gedocumenteerde configuratieverbanden, geen waarnemingen van uw apparaat. Bevestig elk ervan tegen de OS-versie die u beheert, want beschikbaarheid verandert tussen versies en een stil genegeerde profielsleutel ziet er precies zo uit als een sleutel die zijn werk doet.

Een minimale payload voor deze beslissing ziet er meestal zo uit, met de mobiele vlag expliciet in plaats van geërfd uit een sjabloon:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Als een sleutel ontbreekt in het geleverde profiel, valt het apparaat terug op de standaardwaarde van die sleutel, die niet noodzakelijk de waarde is die de sjabloonauteur voor ogen had. Vergelijk de geleverde payload met het sjabloon in plaats van alleen het sjabloon te lezen.

Stel vast wat een onbekende hostnaam is

Wanneer een verdachte naam opduikt, stel dan vast wat de waarneming werkelijk vertegenwoordigt: een naam die het systeem heeft opgevraagd, de resolver die antwoordde, een verbindingsbestemming of een label dat een hulpmiddel heeft afgedrukt. Een provider-gerelateerde naam identificeert op zichzelf noch het oorspronkelijke proces noch de toegepaste uitzondering. Erachteraan jagen als bewijs van een omzeiling is hoe een supportthread een week op de verkeerde laag doorbrengt.

Gebruik ondersteunde diagnostiek en praat met de beheerder die het profiel bezit, en vergelijk daarna de stroom met het bedoelde beleid. Die vergelijking, niet de hostnaam, vertelt u of het verkeer verwacht was.

Los de eis op in plaats van het systeem te verzwakken

Installeer geen onverklaard rootcertificaat en schakel geen systeemdiensten uit alleen om een opname stiller te maken. Het stiller maken van de opname verwijdert het bewijs en laat de uitsluiting staan, wat een slechtere plek is dan de oorspronkelijke vraag. Als een compliance-regel een categorie verbiedt die het platform bewust uitsluit, breng dat conflict naar de eigenaren van het apparaat en het netwerk met het schemagedeelte in de hand.

Sluit de uitleg af door te noteren welke uitzondering het verkeer verklaarde, voor welke OS-versie die geldt en welke profielwaarde het veroorzaakte. Een verbindingspictogram kan twee onverenigbare aannames over hoe ver de verkeersomvang van het besturingssysteem reikt niet verzoenen.