Apple IncludeAllNetworks: o que ainda contorna a VPN

Você abre o perfil no console MDM, vê IncludeAllNetworks marcado e presume que cada pacote daquele dispositivo agora entra no túnel. O próprio esquema da Apple não promete isso. A configuração encaminha o tráfego pela VPN com exclusões, algumas delas interruptores opcionais e outras necessárias para que o sistema continue funcionando. O percurso abaixo segue esse documento a partir do perfil para fora, então a primeira coisa que você lê é a própria configuração, e não uma captura de um dispositivo que ninguém identificou ainda.

Duas dessas exclusões explicam a maior parte da confusão, e ambas envolvem o serviço móvel.

Comece pelo perfil gerenciado, não por uma captura

Abra o esquema do perfil de VPN gerenciado e leia a descrição da propriedade antes de ler qualquer registro de pacotes. Observe que a descrição trata de roteamento com exclusões, não de uma garantia de túnel completo. É essa única frase que decide como você interpretará tudo o que vir depois.

Anote três coisas enquanto estiver no console: o identificador de carga que carrega a configuração, a versão gerenciada do sistema operacional no dispositivo e qual implementação de VPN está realmente instalada. O fato de uma chave ser descrita na documentação não diz nada sobre se um cliente de terceiros a expõe na própria interface de configuração.

Leia a exclusão móvel como dois casos distintos

Em configurações compatíveis, o ExcludeCellularServices exclui o tráfego de serviços móveis roteável pela internet, mas apenas quando está ativado ao lado do IncludeAllNetworks. O esquema cita Wi-Fi Calling, IMS e serviços relacionados a mensagens como exemplos dessa categoria. Esses fluxos podem sair do túnel por conceção, e nenhuma revisão do perfil os fará passar por ele enquanto a exclusão estiver ativa.

O segundo caso é separado e não depende de nenhum interruptor. Algumas operadoras fornecem serviços móveis diretamente pela própria rede em vez da internet, e a Apple documenta essa categoria como sempre excluída do túnel. Não é o caso condicional roteável pela internet acima, portanto um perfil que esvazie todas as caixas de exclusão ainda assim não o capturará. Tratar os dois como uma só funcionalidade é onde começam a maioria das discussões sobre uma fuga.

Se o seu requisito é literalmente que nenhum pacote saia jamais do túnel, este segundo caso já torna esse requisito impossível num dispositivo móvel. Precisa de saber isso antes da revisão de design, não depois.

Verifique que chaves a sua plataforma realmente expõe

O esquema também descreve o tráfego necessário de ligação de rede e de redes captive, além de controlos separados para outras categorias, como redes locais e comunicação entre dispositivos. São relações de configuração documentadas, não observações do seu dispositivo. Confirme cada uma contra a versão do sistema operacional que gere, porque a disponibilidade muda entre versões e uma chave de perfil ignorada em silêncio parece exatamente igual a uma que faz o seu trabalho.

Uma carga mínima para esta decisão costuma parecer-se com isto, com o indicador móvel explícito em vez de herdado de um modelo:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Se faltar uma chave no perfil entregue, o dispositivo volta ao valor predefinido dessa chave, que não é necessariamente o valor que o autor do modelo tinha em mente. Compare a carga entregue com o modelo em vez de ler apenas o modelo.

Determine o que é um nome de anfitrião desconhecido

Quando surge um nome suspeito, estabeleça o que a observação representa realmente: um nome pedido pelo sistema, o resolver que respondeu, um destino de ligação ou uma etiqueta impressa por uma ferramenta. Um nome relacionado com a operadora não identifica por si só nem o processo de origem nem a exceção aplicada. Persegui-lo como prova de um contorno é como um tópico de suporte passa uma semana na camada errada.

Use diagnósticos compatíveis e fale com o administrador que possui o perfil, e depois compare o fluxo com a política pretendida. É essa comparação, e não o nome do anfitrião, que lhe diz se o tráfego era esperado.

Resolva o requisito em vez de enfraquecer o sistema

Não instale um certificado raiz sem explicação nem desative serviços do sistema só para tornar uma captura mais silenciosa. Silenciar a captura remove a prova e deixa a exclusão no lugar, o que é um lugar pior do que a pergunta original. Se uma regra de conformidade proíbe uma categoria que a plataforma exclui deliberadamente, leve esse conflito aos responsáveis do dispositivo e da rede com a secção do esquema na mão.

Feche o percurso anotando que exceção explicava o tráfego, a que versão do sistema operacional se aplica e que valor do perfil o produziu. Um ícone de ligação não consegue conciliar duas suposições incompatíveis sobre até onde chega o alcance do tráfego do sistema operacional.