Apple IncludeAllNetworks: шта још увек заобилази VPN

Отворите профил у MDM конзоли, видите означен IncludeAllNetworks и претпоставите да сваки пакет са тог уређаја сада улази у тунел. Apple-ова сопствена шема то не обећава. Подешавање усмерава саобраћај кроз VPN са изузецима, од којих су неки опциони прекидачи, а неки неопходни да би систем уопште радио. Приказ испод прати тај документ од профила ка споља, па је прво што читате само подешавање, а не снимак са уређаја који још нико није идентификовао.

Два од тих изузетака објашњавају већину забуне, и оба се тичу мобилне услуге.

Почните од управљаног профила, а не од снимка саобраћаја

Отворите шему управљаног VPN профила и прочитајте опис својства пре него што прочитате било који дневник пакета. Обратите пажњу да опис говори о усмеравању са изузецима, а не о гаранцији пуног тунела. Управо та једна реченица одлучује како ћете тумачити све што после видите.

Запишите три ствари док сте у конзоли: идентификатор корисног терета који носи подешавање, издање управљаног оперативног система на уређају и која је VPN имплементација заправо инсталирана. Опис кључа у документацији не говори ништа о томе да ли га клијент треће стране приказује у сопственом интерфејсу за конфигурацију.

Читајте мобилни изузетак као два различита случаја

У подржаним конфигурацијама ExcludeCellularServices искључује мобилни саобраћај усмерив кроз интернет, али само када је укључен уз IncludeAllNetworks. Шема наводи Wi-Fi Calling, IMS и услуге повезане са порукама као примере те категорије. Ти токови могу напустити тунел по дизајну и ниједан преглед профила их неће провести кроз њега док је изузетак укључен.

Други случај је одвојен и не зависи ни од каквог прекидача. Неки оператери пружају мобилне услуге директно преко своје мреже, а не преко интернета, и Apple ту категорију документује као увек искључену из тунела. То није условни случај са интернетом изнад, па га профил који је очистио свако поље изузетка ипак неће обухватити. Третирање двају случајева као једне функције је место где почиње већина расправа о цурењу.

Ако је ваш захтев дословно да ниједан пакет никада не напусти тунел, овај други случај већ чини тај захтев немогућим на мобилном уређају. То морате знати пре прегледа дизајна, не после.

Проверите које кључеве ваша платформа заиста излаже

Шема такође описује неопходан саобраћај мрежних веза и captive мрежа, плус одвојене контроле за друге категорије попут локалних мрежа и комуникације уређаја. То су документовани односи у конфигурацији, а не опажања вашег уређаја. Потврдите сваки према издању оперативног система којим управљате, јер доступност се мења између издања, а кључ профила који се тихо игнорише изгледа исто као кључ који ради свој посао.

Минимални корисни терет за ову одлуку обично изгледа овако, са мобилном заставицом изричито постављеном, а не наслеђеном из шаблона:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Ако неки кључ недостаје у достављеном профилу, уређај се враћа на подразумевану вредност тог кључа, која није нужно вредност коју је аутор шаблона имао на уму. Упоредите достављени терет са шаблоном, уместо да читате само шаблон.

Утврдите шта је непознато име хоста

Када се појави сумњиво име, утврдите шта опажање заиста представља: име које је систем затражио, резолвер који је одговорио, одредиште везе или ознаку коју је алат исписао. Име повезано са оператером само по себи не идентификује ни процес извора ни изузетак који је примењен. Јурити га као доказ заобилажења је начин на који једна тема подршке проведе недељу на погрешном слоју.

Користите подржану дијагностику и разговарајте са администратором који поседује профил, па упоредите ток са предвиђеном политиком. То поређење, а не име хоста, каже вам да ли је саобраћај био очекиван.

Решите захтев уместо да ослабите систем

Не инсталирајте необјашњени коренски сертификат и не искључујте системске услуге само да би снимак био тиши. Стишавање снимка уклања доказ и оставља изузетак на месту, што је горе од првобитног питања. Ако правило усклађености забрањује категорију коју платформа намерно искључује, однесите тај сукоб власницима уређаја и мреже са одељком шеме у руци.

Завршите приказ тако што ћете забележити који је изузетак објаснио саобраћај, на које се издање оперативног система односи и која је вредност профила то произвела. Икона везе не може помирити две неспојиве претпоставке о томе докле сеже обим саобраћаја оперативног система.