Apple IncludeAllNetworks: šta i dalje zaobilazi VPN

Otvorite profil u MDM konzoli, vidite označen IncludeAllNetworks i pretpostavite da svaki paket sa tog uređaja sada ulazi u tunel. Apple-ova sopstvena šema to ne obećava. Postavka usmerava saobraćaj kroz VPN sa izuzecima, od kojih su neki opcioni prekidači, a neki neophodni da bi sistem uopšte radio. Prikaz ispod prati taj dokument od profila ka spolja, pa je prvo što čitate sama postavka, a ne snimak sa uređaja koji još niko nije identifikovao.

Dva od tih izuzetaka objašnjavaju većinu zabune, i oba se tiču mobilne usluge.

Pođite od upravljanog profila, a ne od snimka saobraćaja

Otvorite šemu upravljanog VPN profila i pročitajte opis svojstva pre nego što pročitate bilo koji dnevnik paketa. Obratite pažnju da opis govori o usmeravanju sa izuzecima, a ne o garanciji punog tunela. Upravo ta jedna rečenica odlučuje kako ćete tumačiti sve što posle vidite.

Zapišite tri stvari dok ste u konzoli: identifikator korisnog tereta koji nosi postavku, izdanje upravljanog operativnog sistema na uređaju i koja je VPN implementacija zapravo instalirana. Opis ključa u dokumentaciji ne govori ništa o tome da li ga klijent treće strane prikazuje u sopstvenom interfejsu za konfiguraciju.

Čitajte mobilni izuzetak kao dva različita slučaja

U podržanim konfiguracijama ExcludeCellularServices isključuje mobilni saobraćaj usmeriv kroz internet, ali samo kada je uključen uz IncludeAllNetworks. Šema navodi Wi-Fi Calling, IMS i usluge povezane sa porukama kao primere te kategorije. Ti tokovi mogu napustiti tunel po dizajnu i nijedan pregled profila ih neće provesti kroz njega dok je izuzetak uključen.

Drugi slučaj je odvojen i ne zavisi ni od kakvog prekidača. Neki operateri pružaju mobilne usluge direktno preko svoje mreže, a ne preko interneta, i Apple tu kategoriju dokumentuje kao uvek isključenu iz tunela. To nije uslovni slučaj sa internetom iznad, pa ga profil koji je očistio svako polje izuzetka ipak neće obuhvatiti. Tretiranje dvaju slučajeva kao jedne funkcije je mesto gde počinje većina rasprava o curenju.

Ako je vaš zahtev doslovno da nijedan paket nikada ne napusti tunel, ovaj drugi slučaj već čini taj zahtev nemogućim na mobilnom uređaju. To morate znati pre pregleda dizajna, ne posle.

Proverite koje ključeve vaša platforma zaista izlaže

Šema takođe opisuje neophodan saobraćaj mrežnih veza i captive mreža, plus odvojene kontrole za druge kategorije poput lokalnih mreža i komunikacije uređaja. To su dokumentovani odnosi u konfiguraciji, a ne opažanja vašeg uređaja. Potvrdite svaki prema izdanju operativnog sistema kojim upravljate, jer dostupnost se menja između izdanja, a ključ profila koji se tiho ignoriše izgleda isto kao ključ koji radi svoj posao.

Minimalni korisni teret za ovu odluku obično izgleda ovako, sa mobilnom zastavicom izričito postavljenom, a ne nasleđenom iz šablona:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Ako neki ključ nedostaje u dostavljenom profilu, uređaj se vraća na podrazumevanu vrednost tog ključa, koja nije nužno vrednost koju je autor šablona imao na umu. Uporedite dostavljeni teret sa šablonom, umesto da čitate samo šablon.

Utvrdite šta je nepoznato ime hosta

Kada se pojavi sumnjivo ime, utvrdite šta opažanje zapravo predstavlja: ime koje je sistem zatražio, resolver koji je odgovorio, odredište veze ili oznaku koju je alat ispisao. Ime povezano sa operaterom samo po sebi ne identifikuje ni proces izvora ni izuzetak koji je primenjen. Juriti ga kao dokaz zaobilaženja je način na koji jedna tema podrške provede nedelju na pogrešnom sloju.

Koristite podržanu dijagnostiku i razgovarajte sa administratorom koji poseduje profil, pa uporedite tok sa predviđenom politikom. To poređenje, a ne ime hosta, kaže vam da li je saobraćaj bio očekivan.

Rešite zahtev umesto da oslabite sistem

Ne instalirajte neobjašnjeni korenski sertifikat i ne isključujte sistemske usluge samo da bi snimak bio tiši. Stišavanje snimka uklanja dokaz i ostavlja izuzetak na mestu, što je gore od prvobitnog pitanja. Ako pravilo usklađenosti zabranjuje kategoriju koju platforma namerno isključuje, odnesite taj sukob vlasnicima uređaja i mreže sa odeljkom šeme u ruci.

Završite prikaz tako što ćete zabeležiti koji je izuzetak objasnio saobraćaj, na koje se izdanje operativnog sistema odnosi i koja je vrednost profila to proizvela. Ikona veze ne može pomiriti dve nespojive pretpostavke o tome dokle seže obim saobraćaja operativnog sistema.