Apple IncludeAllNetworks: vad som fortfarande kringgår VPN

Du öppnar profilen i MDM-konsolen, ser IncludeAllNetworks ikryssat och antar att varje paket från den enheten nu går in i tunneln. Apples eget schema lovar inte det. Inställningen dirigerar trafik genom VPN med undantag, varav några är valfria reglage och andra är nödvändiga för att systemet ska fortsätta fungera alls. Genomgången nedan följer dokumentet ut från profilen, så det första du läser är själva inställningen och inte en inspelning från en enhet som ingen har identifierat än.

Två av dessa undantag förklarar det mesta av förvirringen, och båda handlar om mobiltjänsten.

Börja i den hanterade profilen, inte i en inspelning

Öppna schemat för den hanterade VPN-profilen och läs egenskapsbeskrivningen innan du läser någon paketlogg. Lägg märke till att beskrivningen handlar om routning med undantag, inte om en garanti för full tunnel. Just den enda meningen avgör hur du tolkar allt du ser efteråt.

Skriv ned tre saker medan du är i konsolen: nyttolastens id som bär inställningen, den hanterade OS-versionen på enheten och vilken VPN-implementation som faktiskt är installerad. Att en nyckel beskrivs i dokumentationen säger ingenting om huruvida en tredjepartsklient visar den i sitt eget konfigurationsgränssnitt.

Läs mobilundantaget som två olika fall

I konfigurationer som stöds utesluter ExcludeCellularServices internethänförbar mobiltjänsttrafik, men bara när den är aktiverad tillsammans med IncludeAllNetworks. Schemat anger Wi-Fi Calling, IMS och meddelanderelaterade tjänster som exempel på den kategorin. Dessa flöden kan lämna tunneln enligt design, och ingen granskning av profilen skickar dem genom den så länge undantaget är på.

Det andra fallet är separat och beror inte på någon reglage. Vissa operatörer levererar mobiltjänster direkt över sitt eget nät i stället för över internet, och Apple dokumenterar den kategorin som alltid utesluten från tunneln. Det är inte det villkorade internethänförbara fallet ovan, så en profil som tömmer varje undantagsruta fångar det ändå inte. Att behandla de två som en enda funktion är där de flesta diskussioner om ett läckage börjar.

Om ditt krav bokstavligen är att inget paket någonsin lämnar tunneln, gör detta andra fall redan kravet omöjligt på en mobil enhet. Det måste du veta före designgranskningen, inte efter.

Kontrollera vilka nycklar din plattform faktiskt exponerar

Schemat beskriver också nödvändig nätverksanslutnings- och captive-nätverkstrafik, plus separata kontroller för andra kategorier som lokala nätverk och enhetskommunikation. Det är dokumenterade konfigurationsrelationer, inte observationer av din enhet. Bekräfta var och en mot den OS-version du hanterar, eftersom tillgängligheten ändras mellan versioner och en profilnyckel som tyst ignoreras ser precis ut som en nyckel som gör sitt jobb.

En minimal nyttolast för detta beslut ser vanligtvis ut så här, med mobilflaggan explicit satt i stället för ärvd från en mall:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Om en nyckel saknas i den levererade profilen faller enheten tillbaka på standardvärdet för den nyckeln, vilket inte nödvändigtvis är det värde som mallförfattaren hade i tankarna. Jämför den levererade nyttolasten med mallen i stället för att bara läsa mallen.

Ta reda på vad ett okänt värdnamn är

När ett misstänkt namn dyker upp, fastställ vad observationen egentligen representerar: ett namn som systemet begärde, resolvern som svarade, en anslutningsdestination eller en etikett som ett verktyg skrev ut. Ett operatörsrelaterat namn identifierar i sig varken källprocessen eller det undantag som tillämpades. Att jaga det som bevis på ett kringgående är hur en supporttråd tillbringar en vecka på fel lager.

Använd diagnostik som stöds och prata med administratören som äger profilen, och jämför sedan flödet med den avsedda policyn. Den jämförelsen, inte värdnamnet, säger om trafiken var väntad.

Lös kravet i stället för att försvaga systemet

Installera inte ett oförklarat rotcertifikat och stäng inte av systemtjänster bara för att göra en inspelning tystare. Att tysta inspelningen tar bort beviset och lämnar undantaget på plats, vilket är ett sämre läge än den ursprungliga frågan. Om en efterlevnadsregel förbjuder en kategori som plattformen medvetet utesluter, ta den konflikten till ägarna av enheten och nätverket med schemaavsnittet i handen.

Avsluta genomgången med att notera vilket undantag som förklarade trafiken, vilken OS-version det gäller och vilket profilvärde som åstadkom den. En anslutningsikon kan inte förena två oförenliga antaganden om hur långt operativsystemets trafikomfång sträcker sig.