Apple IncludeAllNetworks: ce încă ocolește VPN-ul

Deschideți profilul în consola MDM, vedeți IncludeAllNetworks bifat și presupuneți că fiecare pachet de pe acel dispozitiv intră acum în tunel. Schema proprie a Apple nu promite asta. Setarea direcționează traficul prin VPN cu excepții, unele fiind comutatoare opționale, iar altele necesare pentru ca sistemul să funcționeze măcar. Parcurgerea de mai jos urmează acel document din profil spre exterior, așa că primul lucru pe care îl citiți este setarea în sine, nu o captură de pe un dispozitiv pe care nimeni nu l-a identificat încă.

Două dintre aceste excepții explică cea mai mare parte a confuziei, iar ambele privesc serviciul mobil.

Începeți din profilul administrat, nu dintr-o captură

Deschideți schema profilului VPN administrat și citiți descrierea proprietății înainte de a citi vreun jurnal de pachete. Observați că descrierea privește rutarea cu excepții, nu o garanție a unui tunel complet. Tocmai acea singură frază decide cum veți interpreta tot ce vedeți după.

Notați trei lucruri cât timp sunteți în consolă: identificatorul încărcăturii care poartă setarea, versiunea administrată a sistemului de operare de pe dispozitiv și ce implementare VPN este de fapt instalată. Faptul că o cheie este descrisă în documentație nu spune nimic despre dacă un client terț o expune în propria interfață de configurare.

Citiți excepția mobilă ca două cazuri diferite

În configurații acceptate, ExcludeCellularServices exclude traficul serviciilor mobile rutabil prin internet, dar numai când este activat alături de IncludeAllNetworks. Schema dă Wi-Fi Calling, IMS și serviciile legate de mesagerie ca exemple ale acelei categorii. Acele fluxuri pot părăsi tunelul prin proiectare, iar nicio revizuire a profilului nu le va trece prin el cât timp excepția este activă.

Al doilea caz este separat și nu depinde de niciun comutator. Unii operatori livrează serviciile mobile direct prin propria rețea, nu prin internet, iar Apple documentează acea categorie ca fiind mereu exclusă din tunel. Nu este cazul condiționat rutabil prin internet de mai sus, așa că un profil care golește fiecare casetă de excepție tot nu îl va prinde. Tratarea celor două ca o singură funcție este locul unde încep majoritatea dezbaterilor despre o scurgere.

Dacă cerința dumneavoastră este literalmente ca niciun pachet să nu părăsească vreodată tunelul, acest al doilea caz face deja cerința imposibilă pe un dispozitiv mobil. Trebuie să știți asta înainte de revizuirea de proiectare, nu după.

Verificați ce chei expune de fapt platforma dumneavoastră

Schema descrie și traficul necesar al conexiunii de rețea și al rețelelor captive, plus controale separate pentru alte categorii, cum ar fi rețelele locale și comunicarea între dispozitive. Sunt relații de configurare documentate, nu observații ale dispozitivului dumneavoastră. Confirmați fiecare față de versiunea sistemului de operare pe care o administrați, pentru că disponibilitatea se schimbă între versiuni, iar o cheie de profil ignorată în tăcere arată exact ca una care își face treaba.

O încărcătură minimă pentru această decizie arată de obicei așa, cu indicatorul mobil explicit în loc de moștenit dintr-un șablon:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Dacă lipsește o cheie din profilul livrat, dispozitivul revine la valoarea implicită a acelei chei, care nu este neapărat valoarea la care s-a gândit autorul șablonului. Comparați încărcătura livrată cu șablonul în loc să citiți doar șablonul.

Stabiliți ce este un nume de gazdă necunoscut

Când apare un nume suspect, stabiliți ce reprezintă de fapt observația: un nume cerut de sistem, resolverul care a răspuns, o destinație de conexiune sau o etichetă tipărită de un instrument. Un nume legat de operator nu identifică de unul singur nici procesul de origine, nici excepția aplicată. A-l urmări ca dovadă a unei ocoliri este felul în care un fir de asistență petrece o săptămână pe stratul greșit.

Folosiți diagnostice acceptate și discutați cu administratorul care deține profilul, apoi comparați fluxul cu politica intenționată. Acea comparație, nu numele de gazdă, vă spune dacă traficul era așteptat.

Rezolvați cerința în loc să slăbiți sistemul

Nu instalați un certificat rădăcină neexplicat și nu dezactivați servicii de sistem doar ca să faceți o captură mai silențioasă. Liniștirea capturii elimină dovada și lasă excepția pe loc, ceea ce este un loc mai rău decât întrebarea inițială. Dacă o regulă de conformitate interzice o categorie pe care platforma o exclude în mod deliberat, duceți acel conflict la proprietarii dispozitivului și ai rețelei cu secțiunea schemei în mână.

Încheiați parcursul notând care excepție a explicat traficul, cărei versiuni a sistemului de operare i se aplică și ce valoare de profil l-a produs. O pictogramă de conexiune nu poate împăca două presupuneri incompatibile despre cât de departe se întinde sfera de trafic a sistemului de operare.