Apple IncludeAllNetworks: kaj še vedno obide VPN

Odprete profil v konzoli MDM, vidite označen IncludeAllNetworks in domnevate, da vsak paket s te naprave zdaj vstopa v tunel. Applov lastni skem to ne obljublja. Nastavitev usmerja promet skozi VPN z izjemami, od katerih so nekatere izbirna stikala, druge pa nujne, da sistem sploh deluje. Spodnji pregled sledi temu dokumentu od profila navzven, zato prvo berete samo nastavitev, ne pa zajema z naprave, ki je nihče še ni prepoznal.

Dve od teh izjem pojasnjujeta večino zmede, obe pa se nanašata na mobilno storitev.

Začnite v upravljanem profilu, ne v zajemu

Odprite skemo upravljanega profila VPN in preberite opis lastnosti, preden preberete kateri koli dnevnik paketov. Upoštevajte, da opis govori o usmerjanju z izjemami, ne o jamstvu za celoten tunel. Prav ta en stavek odloča, kako boste razlagali vse, kar boste videli pozneje.

Zapišite tri stvari, medtem ko ste v konzoli: identifikator podatkovnega tovora, ki nosi nastavitev, različico upravljanega operacijskega sistema v napravi in katera izvedba VPN je dejansko nameščena. Opis ključa v dokumentaciji ne pove ničesar o tem, ali ga odjemalec tretje strani prikazuje v svojem konfiguracijskem vmesniku.

Mobilno izjemo berite kot dva različna primera

V podprtih konfiguracijah ExcludeCellularServices izključi mobilni promet, usmerljiv prek interneta, a le kadar je omogočen ob IncludeAllNetworks. Skema navaja Wi-Fi Calling, IMS in storitve, povezane s sporočili, kot primere te kategorije. Ti tokovi lahko po zasnovi zapustijo tunel in noben pregled profila jih ne bo spustil skozenj, dokler je izjema vključena.

Drugi primer je ločen in ni odvisen od nobenega stikala. Nekateri operaterji zagotavljajo mobilne storitve neposredno prek svojega omrežja, ne prek interneta, in Apple to kategorijo dokumentira kot vedno izključeno iz tunela. To ni pogojni primer, usmerljiv prek interneta, zgoraj, zato ga profil, ki izprazni vsako polje izjeme, še vedno ne bo zajel. Obravnavanje obeh kot ene funkcije je mesto, kjer se začne večina razprav o uhajanju.

Če vaša zahteva dobesedno pravi, da noben paket nikoli ne zapusti tunela, ta drugi primer to zahtevo že zdaj naredi nemogočo na mobilni napravi. To morate vedeti pred pregledom zasnove, ne po njem.

Preverite, katere ključe vaša platforma resnično izpostavi

Skema opisuje tudi potreben promet omrežnih povezav in captive omrežij ter ločene kontrolnike za druge kategorije, kot so lokalna omrežja in komunikacija naprav. To so dokumentirana konfiguracijska razmerja, ne opažanja vaše naprave. Potrdite vsakega glede na različico operacijskega sistema, ki jo upravljate, ker se razpoložljivost med različicami spreminja in tiho prezrt ključ profila je videti natanko tako kot ključ, ki opravlja svoje delo.

Najmanjši podatkovni tovor za to odločitev je običajno videti takole, z mobilno zastavico izrecno nastavljeno, ne pa podedovano iz predloge:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Če v dobavljenem profilu manjka kateri koli ključ, se naprava vrne na privzeto vrednost tega ključa, ki ni nujno vrednost, ki jo je imel v mislih avtor predloge. Primerjajte dobavljeni tovor s predlogo, namesto da berete samo predlogo.

Ugotovite, kaj je neznano ime gostitelja

Ko se pojavi sumljivo ime, ugotovite, kaj opažanje dejansko predstavlja: ime, ki ga je zahteval sistem, skrbnik, ki je odgovoril, cilj povezave ali oznako, ki jo je natisnilo orodje. Ime, povezano z operaterjem, samo po sebi ne prepozna ne izvornega procesa ne uporabljene izjeme. Preganjanje kot dokaz obhoda je način, kako nit podpore preživi teden na napačnem sloju.

Uporabite podprto diagnostiko in se pogovorite s skrbnikom, ki je lastnik profila, nato primerjajte tok z načrtovano politiko. Prav ta primerjava, ne ime gostitelja, vam pove, ali je bil promet pričakovan.

Rešite zahtevo, namesto da oslabite sistem

Ne nameščajte nerazloženega korenskega potrdila in ne izklopite sistemskih storitev samo zato, da bo zajem tišji. Utišanje zajema odstrani dokaz in pusti izjemo na mestu, kar je slabši konec od prvotnega vprašanja. Če pravilo skladnosti prepoveduje kategorijo, ki jo platforma namerno izključuje, odnesite to nasprotje lastnikom naprave in omrežja z razdelkom skeme v roki.

Pregled zaključite z zapisom, katera izjema je pojasnila promet, za katero različico operacijskega sistema velja in katera vrednost profila ga je povzročila. Ikona povezave ne more uskladiti dveh nezdružljivih predpostavk o tem, kako daleč sega obseg prometa operacijskega sistema.