Apple IncludeAllNetworks: kva som framleis omgår VPN-en

Du opnar profilen i MDM-konsollen, ser IncludeAllNetworks merkt og tek for gitt at kvar pakke frå den eininga no går inn i tunnelen. Apples eige skjema lovar ikkje det. Innstillinga ruter trafikk gjennom VPN-en med unntak, der nokre er valfrie brytarar og andre er naudsynte for at systemet i det heile skal halde fram med å verke. Gjennomgangen nedanfor følgjer dokumentet ut frå profilen, så det første du les er sjølve innstillinga og ikkje eit opptak frå ei eining som ingen har identifisert enno.

To av desse unntaka forklarer det meste av forvirringa, og begge gjeld mobiltente.

Start i den styrte profilen, ikkje i eit opptak

Opne skjemaet for den styrte VPN-profilen og les skildringa av eigenskapen før du les nokon pakkelogg. Legg merke til at skildringa handlar om ruting med unntak, ikkje om garanti for full tunnel. Nettopp den eine setninga avgjer korleis du tolkar alt du ser etterpå.

Skriv ned tre ting medan du er i konsollen: id-en til nyttelasta som ber innstillinga, styrt OS-versjon på eininga og kva VPN-implementasjon som faktisk er installert. At ein nøkkel er skildra i dokumentasjonen, seier ingenting om ein tredjepartsklient viser han i sitt eige konfigurasjonsgrensesnitt.

Les mobilunntaket som to ulike tilfelle

I støtta konfigurasjonar utelukkar ExcludeCellularServices internett-rutbar mobiltentefrafikk, men berre når han er slått på saman med IncludeAllNetworks. Skjemaet nemner Wi-Fi Calling, IMS og meldingsrelaterte tenester som døme på den kategorien. Desse straumane kan forlate tunnelen etter design, og ingen gjennomgang av profilen vil senda dei gjennom han så lenge unntaket er på.

Det andre tilfellet er skilt ut og er ikkje avhengig av nokon brytar. Nokre operatørar leverer mobiltenter direkte over sitt eige nettverk i staden for over internett, og Apple dokumenterer den kategorien som alltid utelukka frå tunnelen. Det er ikkje det vilkårsbaserte internett-rutbare tilfellet ovanfor, så ein profil som tømmer kvar unntaksboks fangar det likevel ikkje. Å handsame dei to som éin funksjon er der dei fleste diskusjonar om lekkasje byrjar.

Viss kravet ditt bokstaveleg tala er at ingen pakke nokon gong forlèt tunnelen, gjer dette andre tilfellet allereie kravet umogleg på ei mobiltenteining. Det må du vita før designgjennomgangen, ikkje etterpå.

Kontroller kva nøklar plattforma di faktisk eksponerer

Skjemaet skildrar òg naudsynt nettverkssamband- og captive-nettverkstrafikk, i tillegg til separate kontrollar for andre kategoriar som lokale nettverk og einingkommunikasjon. Dette er dokumenterte konfigurasjonsrelasjonar, ikkje observasjonar av eininga di. Stadfest kvar einskild mot OS-versjonen du styrer, fordi tilgjengelegheita endrar seg mellom versjonar, og ein profilnøkkel som stille blir ignorert ser nøyaktig ut som ein nøkkel som gjer jobben sin.

Ei minimal nyttelast for denne avgjerda ser vanlegvis slik ut, med mobilflagget eksplisitt i staden for arva frå ein mal:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Viss ein nøkkel manglar i den leverte profilen, fell eininga tilbake til standardverdien for den nøkkelen, som ikkje nødvendigvis er verdien malforfattaren hadde i tankane. Samanlikn den leverte nyttelasta med malen i staden for å lese berre malen.

Finn ut kva eit ukjent vertsnamn er

Når eit mistenkeleg namn dukkar opp, må du fastslå kva observasjonen eigentleg representerer: eit namn systemet bad om, resolvaren som svara, ein sambandsdestinasjon eller ei etikett eit verktøy skreiv ut. Eit operatørrelatert namn aleine identifiserer korkje kjelde-prosessen eller unntaket som vart brukt. Å jage det som prov på ei omgåing er korleis ein støttetråd brukar ei veke på feil lag.

Bruk støtta diagnostikk og snakk med administratoren som eig profilen, og samanlikn deretter flyten med den tiltenkte policyen. Den samanlikninga, ikkje vertsnamnet, fortel deg om trafikken var venta.

Løys kravet i staden for å svekkje systemet

Ikkje installer eit uforklart rotsertifikat og ikkje slå av systemtenester berre for å gjere eit opptak stillare. Å dempe opptaket fjernar provet og lèt unntaket bli ståande, som er ein verre stad å ende enn det opphavlege spørsmålet. Viss ei samsvarsregel forbyr ein kategori som plattforma med vilje utelukkar, ta den konflikten til eigarane av eininga og nettverket med skjemaavsnittet i handa.

Avslutt gjennomgangen med å notere kva unntak som forklarte trafikken, kva OS-versjon det gjeld, og kva profilverdi som frambrakte han. Eit sambandsikon kan ikkje sameine to uforeinlege føresetnader om kor langt trafikkomfanget til operativsystemet strekkjer seg.