Apple IncludeAllNetworks: çfarë ende anashkalon VPN-në

Hapni profilin në konsolën MDM, shihni IncludeAllNetworks të shënuar dhe supozoni se çdo paketë nga ai pajisje tani hyn në tunel. Skema e vetë Apple nuk e premton këtë. Cilësimi e drejton trafikun përmes VPN-së me përjashtime, disa prej të cilave janë çelësa opsionalë dhe të tjera të nevojshëm që sistemi të vazhdojë të funksionojë fare. Shpjegimi më poshtë ndjek atë dokument nga profili drejt jashtë, prandaj gjëja e parë që lexoni është vetë cilësimi, jo një kapje nga një pajisje që askush nuk e ka identifikuar ende.

Dy prej këtyre përjashtimeve shpjegojnë pjesën më të madhe të konfuzionit, dhe të dyja kanë të bëjnë me shërbimin celular.

Filloni nga profili i menaxhuar, jo nga një kapje

Hapni skemën e profilit të menaxhuar të VPN-së dhe lexoni përshkrimin e vetive përpara se të lexoni çdo regjistër paketash. Vini re se përshkrimi flet për drejtim me përjashtime, jo për një garanci tuneli të plotë. Pikërisht ajo fjali e vetme vendos se si do të interpretoni gjithçka që shihni më pas.

Shkruani tri gjëra ndërsa jeni në konsolë: identifikuesin e ngarkesës që mban cilësimin, versionin e menaxhuar të sistemit operativ në pajisje dhe cilën implementim të VPN-së është instaluar në të vërtetë. Fakti që një çelës përshkruhet në dokumentacion nuk thotë asgjë për atë nëse një klient i palës së tretë e shfaq atë në ndërfaqen e vet të konfigurimit.

Lexojeni përjashtimin celular si dy raste të ndryshme

Në konfigurime të mbështetura, ExcludeCellularServices përjashton trafikun e shërbimit celular të drejtueshëm përmes internetit, por vetëm kur është aktivizuar së bashku me IncludeAllNetworks. Skema jep Wi-Fi Calling, IMS dhe shërbime të lidhura me mesazhet si shembuj të asaj kategorie. Ato flukse mund të dalin nga tuneli sipas projektimit, dhe asnjë rishikim i profilit nuk do t'i kalojë ato përmes tij ndërsa përjashtimi është i ndezur.

Rasti i dytë është i veçantë dhe nuk varet nga asnjë çelës. Disa operatorë i ofrojnë shërbimet celulare drejtpërdrejt përmes rrjetit të tyre, jo përmes internetit, dhe Apple e dokumenton atë kategori si gjithmonë të përjashtuar nga tuneli. Ky nuk është rasti i kushtëzuar i drejtueshëm përmes internetit më sipër, prandaj një profil që zbraz çdo kuti përjashtimi përsëri nuk do ta kapë atë. Trajtimi i të dyjave si një veçori e vetme është vendi ku nisin shumica e debateve për një rrjedhje.

Nëse kërkesa juaj fjalë për fjalë është që asnjë paketë të mos dalë kurrë nga tuneli, ky rast i dytë e bën tashmë atë kërkesë të pamundur në një pajisje celulare. Duhet ta dini këtë përpara rishikimit të projektimit, jo pas tij.

Kontrolloni cilat çelësa ekspozon në të vërtetë platforma juaj

Skema përshkruan gjithashtu trafikun e nevojshëm të lidhjes së rrjetit dhe rrjeteve captive, plus kontrolle të veçanta për kategoritë e tjera si rrjetet lokale dhe komunikimi mes pajisjeve. Këto janë marrëdhënie konfigurimi të dokumentuara, jo vëzhgime të pajisjes tuaj. Konfirmoni secilin kundrejt versionit të sistemit operativ që menaxhoni, sepse disponueshmëria ndryshon mes versioneve dhe një çelës profili i injoruar në heshtje duket saktësisht si një çelës që bën punën e vet.

Një ngarkesë minimale për këtë vendim zakonisht duket kështu, me flamurin celular të shprehur qartë dhe jo të trashëguar nga një shabllon:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Nëse mungon një çelës në profilin e dorëzuar, pajisja kthehet te vlera e paracaktuar e atij çelësi, e cila nuk është domosdoshmërisht vlera që autori i shabllonit kishte në mendje. Krahasoni ngarkesën e dorëzuar me shabllonin në vend që të lexoni vetëm shabllonin.

Përcaktoni çfarë është një emër host i panjohur

Kur shfaqet një emër i dyshimtë, përcaktoni se çfarë përfaqëson në të vërtetë vëzhgimi: një emër që kërkoi sistemi, zgjidhësi që u përgjigj, një destinacion lidhjeje ose një etiketë e shtypur nga një mjet. Një emër i lidhur me operatorin nuk identifikon vetëm as procesin burim as përjashtimin e zbatuar. Ndjekja e tij si provë e një anashkalimi është mënyra se si një fije mbështetjeje kalon një javë në shtresën e gabuar.

Përdorni diagnostifikim të mbështetur dhe bisedoni me administratorin që zotëron profilin, pastaj krahasoni rrjedhën me politikën e synuar. Ai krahasim, jo emri i hostit, ju tregon nëse trafiku ishte i pritur.

Zgjidhni kërkesën në vend që të dobësoni sistemin

Mos instaloni një certifikatë rrënjësore të pashpjeguar dhe mos çaktivizoni shërbime të sistemit vetëm për ta bërë një kapje më të qetë. Qetësimi i kapjes heq provën dhe e lë përjashtimin në vend, që është një vend më i keq se pyetja fillestare. Nëse një rregull përputhshmërie ndalon një kategori që platforma e përjashton qëllimisht, çojeni atë konflikt te pronarët e pajisjes dhe të rrjetit me seksionin e skemës në dorë.

Mbyllni shpjegimin duke regjistruar cili përjashtim e shpjegoi trafikun, për cilën version të sistemit operativ vlen dhe cila vlerë profili e prodhoi atë. Një ikonë lidhjeje nuk mund të pajtojë dy supozime të papajtueshme për atë se sa larg shtrihet shtrirja e trafikut të sistemit operativ.