Apple IncludeAllNetworks: čo stále obchádza VPN

Otvoríte profil v konzole MDM, uvidíte začiarknuté IncludeAllNetworks a predpokladáte, že každý paket z tohto zariadenia už vstupuje do tunela. Vlastná schéma Applu to nesľubuje. Nastavenie smeruje prevádzku cez VPN s výnimkami, z ktorých niektoré sú voliteľné prepínače a iné sú potrebné, aby systém vôbec fungoval. Nasledujúci rozbor sleduje tento dokument od profilu smerom von, takže prvé, čo čítate, je samotné nastavenie, nie záznam zo zariadenia, ktoré ešte nikto neidentifikoval.

Dve z týchto výnimiek vysvetľujú väčšinu zmätku a obe sa týkajú mobilnej služby.

Začnite v spravovanom profile, nie v zázname prevádzky

Otvorte schému spravovaného profilu VPN a prečítajte si opis vlastnosti skôr, než prečítate akýkoľvek protokol paketov. Všimnite si, že opis sa týka smerovania s výnimkami, nie záruky plného tunela. Práve táto jediná veta určuje, ako budete interpretovať všetko, čo potom uvidíte.

Zapíšte si tri veci, kým ste v konzole: identifikátor dátovej záťaže, ktorá nesie nastavenie, verziu spravovaného operačného systému na zariadení a to, ktorá implementácia VPN je skutočne nainštalovaná. To, že je kľúč opísaný v dokumentácii, nič nehovorí o tom, či ho klient tretej strany zobrazuje vo vlastnom konfiguračnom rozhraní.

Čítajte mobilnú výnimku ako dva rôzne prípady

V podporovaných konfiguráciách ExcludeCellularServices vylučuje mobilnú prevádzku smerovateľnú cez internet, ale len vtedy, keď je zapnutý vedľa IncludeAllNetworks. Schéma uvádza Wi-Fi Calling, IMS a služby súvisiace so správami ako príklady tejto kategórie. Tieto toky môžu podľa návrhu opúšťať tunel a žiadna revízia profilu ich ním neprevedie, kým je výnimka zapnutá.

Druhý prípad je samostatný a nezávisí od žiadneho prepínača. Niektorí operátori poskytujú mobilné služby priamo cez svoju sieť, nie cez internet, a Apple túto kategóriu dokumentuje ako vždy vylúčenú z tunela. Nie je to podmienený prípad smerovateľný cez internet vyššie, takže profil, ktorý vyčistil všetky políčka výnimiek, ho napriek tomu nezachytí. Považovať oba prípady za jednu funkciu je miesto, kde sa začína väčšina sporov o únik.

Ak vaša požiadavka doslova znie, že žiadny paket nikdy neopustí tunel, tento druhý prípad už takúto požiadavku znemožňuje na mobilnom zariadení. Musíte to vedieť pred revíziou návrhu, nie po nej.

Overte, ktoré kľúče vaša platforma skutočne sprístupňuje

Schéma tiež opisuje potrebnú prevádzku sieťového pripojenia a captive sietí a samostatné ovládacie prvky pre ďalšie kategórie, ako sú lokálne siete a komunikácia zariadení. Sú to dokumentované konfiguračné vzťahy, nie pozorovania vášho zariadenia. Potvrďte každý z nich voči verzii operačného systému, ktorú spravujete, pretože dostupnosť sa medzi verziami mení a kľúč profilu, ktorý sa ticho ignoruje, vyzerá presne ako kľúč, ktorý robí svoju prácu.

Minimálna dátová záťaž pre toto rozhodnutie zvyčajne vyzerá takto, s mobilným príznakom výslovne nastaveným, nie zdedeným zo šablóny:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Ak v dodanom profile chýba niektorý kľúč, zariadenie sa vráti k predvolenej hodnote tohto kľúča, ktorá nemusí byť hodnota, ktorú mal autor šablóny na mysli. Porovnajte dodanú záťaž so šablónou, namiesto toho, aby ste čítali len šablónu.

Zistite, čo je neznáme meno hostiteľa

Keď sa objaví podozrivé meno, určite, čo pozorovanie vlastne predstavuje: meno, ktoré si vyžiadal systém, resolver, ktorý odpovedal, cieľ spojenia alebo označenie vytlačené nástrojom. Meno spojené s operátorom samo o sebe neidentifikuje ani zdrojový proces, ani uplatnenú výnimku. Prenasledovať ho ako dôkaz obchádzania je spôsob, akým vlákno podpory strávi týždeň na nesprávnej vrstve.

Používajte podporovanú diagnostiku a hovorte so správcom, ktorý profil vlastní, a potom porovnajte tok so zamýšľanou politikou. Práve toto porovnanie, nie meno hostiteľa, vám povie, či bola prevádzka očakávaná.

Vyriešte požiadavku, namiesto oslabovania systému

Neinštalujte nevysvetlený koreňový certifikát a nevypínajte systémové služby len preto, aby bol záznam tichší. Stíšenie záznamu odstráni dôkaz a ponechá výnimku na mieste, čo je horšie miesto než pôvodná otázka. Ak pravidlo zhody zakazuje kategóriu, ktorú platforma zámerne vylučuje, prineste tento konflikt vlastníkom zariadenia a siete s časťou schémy v ruke.

Rozbor uzavrite záznamom o tom, ktorá výnimka prevádzku vysvetlila, na ktorú verziu operačného systému sa vzťahuje a ktorá hodnota profilu to spôsobila. Ikona pripojenia nedokáže zladiť dva nezlučiteľné predpoklady o tom, kam až siaha rozsah prevádzky operačného systému.