Apple IncludeAllNetworks: อะไรยังคงข้าม VPN

คุณเปิดโปรไฟล์ในคอนโซล MDM เห็น IncludeAllNetworks ถูกทำเครื่องหมาย และถือว่าทุกแพ็กเก็ตจากอุปกรณ์นั้นเข้าอุโมงค์แล้ว สคีมาของ Apple เองไม่ได้สัญญาเช่นนั้น การตั้งค่านี้ส่งทราฟฟิกผ่าน VPN พร้อมข้อยกเว้น บางส่วนเป็นสวิตช์เสริมและบางส่วนจำเป็นเพื่อให้ระบบทำงานได้ คำอธิบายด้านล่างติดตามเอกสารนั้นจากโปรไฟล์ออกไปด้านนอก ดังนั้นสิ่งแรกที่คุณอ่านคือการตั้งค่าเอง ไม่ใช่การดักจับจากอุปกรณ์ที่ยังไม่มีใครระบุตัวตน

ข้อยกเว้นสองข้อในนั้นอธิบายความสับสนส่วนใหญ่ และทั้งสองเกี่ยวกับบริการเซลลูลาร์

เริ่มจากโปรไฟล์ที่จัดการ ไม่ใช่จากการดักจับ

เปิดสคีมาโปรไฟล์ VPN ที่จัดการ แล้วอ่านคำอธิบายพร็อพเพอร์ตีก่อนอ่านบันทึกแพ็กเก็ตใด ๆ สังเกตว่าคำอธิบายกล่าวถึงการกำหนดเส้นทางที่มีข้อยกเว้น ไม่ใช่การรับประกันอุโมงค์เต็มรูปแบบ ประโยคเดียวนั้นเป็นตัวกำหนดวิธีที่คุณตีความทุกสิ่งที่เห็นหลังจากนั้น

จดสามอย่างขณะอยู่ในคอนโซล: ตัวระบุเพย์โหลดที่พาการตั้งค่านี้ไว้ เวอร์ชันระบบปฏิบัติการที่จัดการบนอุปกรณ์ และ VPN Implementation ใดที่ติดตั้งจริง การที่คีย์หนึ่งถูกอธิบายในเอกสารไม่ได้บอกอะไรว่าลูกค้าบุคคลที่สามแสดงคีย์นั้นในอินเทอร์เฟซการกำหนดค่าของตนเองหรือไม่

อ่านข้อยกเว้นเซลลูลาร์เป็นสองกรณีที่ต่างกัน

ในการกำหนดค่าที่รองรับ ExcludeCellularServices ยกเว้นทราฟฟิกบริการเซลลูลาร์ที่กำหนดเส้นทางผ่านอินเทอร์เน็ตได้ แต่เฉพาะเมื่อเปิดควบคู่กับ IncludeAllNetworks สคีมาระบุ Wi-Fi Calling, IMS และบริการที่เกี่ยวกับข้อความเป็นตัวอย่างของหมวดนั้น ทราฟฟิกเหล่านั้นออกจากอุโมงค์ได้ตามการออกแบบ และการทบทวนโปรไฟล์ใด ๆ จะไม่พามันผ่านอุโมงค์ตราบใดที่ข้อยกเว้นยังเปิดอยู่

กรณีที่สองแยกต่างหากและไม่ขึ้นกับสวิตช์ใด ๆ ผู้ให้บริการบางรายส่งบริการเซลลูลาร์ตรงผ่านเครือข่ายของตนเองแทนที่จะผ่านอินเทอร์เน็ต และ Apple จัดทำเอกสารหมวดนั้นว่าได้รับการยกเว้นจากอุโมงค์เสมอ นี่ไม่ใช่กรณีตามเงื่อนไขที่กำหนดเส้นทางผ่านอินเทอร์เน็ตข้างต้น โปรไฟล์ที่ล้างช่องข้อยกเว้นทุกช่องจึงยังจับมันไม่ได้ การมองทั้งสองเป็นคุณสมบัติเดียวคือจุดที่การถกเถียงเรื่องการรั่วไหลส่วนใหญ่เริ่มต้น

หากข้อกำหนดของคุณคือไม่มีแพ็กเก็ตใดออกจากอุโมงค์เลย กรณีที่สองนี้ทำให้ข้อกำหนดนั้นเป็นไปไม่ได้บนอุปกรณ์เซลลูลาร์แล้ว คุณต้องรู้เรื่องนี้ก่อนการทบทวนการออกแบบ ไม่ใช่หลังจากนั้น

ตรวจสอบว่าคีย์ใดที่แพลตฟอร์มของคุณเปิดเผยจริง

สคียังอธิบายทราฟฟิกการเชื่อมต่อเครือข่ายและเครือข่าย captive ที่จำเป็น รวมถึงการควบคุมแยกสำหรับหมวดอื่น เช่น เครือข่ายท้องถิ่นและการสื่อสารระหว่างอุปกรณ์ สิ่งเหล่านี้เป็นความสัมพันธ์ของการกำหนดค่าที่จัดทำเป็นเอกสาร ไม่ใช่การสังเกตอุปกรณ์ของคุณ ยืนยันแต่ละข้อกับเวอร์ชันระบบปฏิบัติการที่คุณจัดการ เพราะความพร้อมใช้งานเปลี่ยนไประหว่างเวอร์ชัน และคีย์โปรไฟล์ที่ถูกเพิกเฉยอย่างเงียบ ๆ ก็ดูเหมือนคีย์ที่ทำหน้าที่ของมันทุกประการ

เพย์โหลดขั้นต่ำสำหรับการตัดสินใจนี้มักมีลักษณะเช่นนี้ โดยธงเซลลูลาร์ระบุชัดเจนแทนที่จะสืบทอดจากเทมเพลต:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

หากคีย์ใดหายไปจากโปรไฟล์ที่ส่งมา อุปกรณ์จะกลับไปใช้ค่าเริ่มต้นของคีย์นั้น ซึ่งไม่จำเป็นต้องเป็นค่าที่ผู้เขียนเทมเพลตคิดไว้ เปรียบเทียบเพย์โหลดที่ส่งมากับเทมเพลตแทนที่จะอ่านเทมเพลตเพียงอย่างเดียว

ระบุว่าโฮสต์เนมที่ไม่คุ้นเคยคืออะไร

เมื่อชื่อที่น่าสงสัยปรากฏขึ้น ให้ระบุว่าการสังเกตนั้นแสดงถึงอะไรจริง ๆ: ชื่อที่ระบบร้องขอ ตัวแก้ไขที่ตอบกลับ ปลายทางการเชื่อมต่อ หรือป้ายที่เครื่องมือพิมพ์ออกมา ชื่อที่เกี่ยวกับผู้ให้บริการเพียงอย่างเดียวไม่ระบุทั้งกระบวนการต้นทางและข้อยกเว้นที่ใช้ การไล่ตามมันเป็นหลักฐานของการข้ามคือวิธีที่กระทู้สนับสนุนใช้เวลาหนึ่งสัปดาห์บนชั้นที่ผิด

ใช้การวินิจฉัยที่รองรับและพูดคุยกับผู้ดูแลระบบที่เป็นเจ้าของโปรไฟล์ จากนั้นเปรียบเทียบโฟลว์กับนโยบายที่ตั้งใจไว้ การเปรียบเทียบนั้น ไม่ใช่โฮสต์เนม บอกคุณว่าทราฟฟิกเป็นสิ่งที่คาดไว้หรือไม่

แก้ข้อกำหนดแทนที่จะทำให้ระบบอ่อนแอลง

อย่าติดตั้งใบรับรองรูทที่อธิบายไม่ได้หรือปิดบริการระบบเพียงเพื่อทำให้การดักจับเงียบลง การทำให้การดักจับเงียบลงจะลบหลักฐานและปล่อยข้อยกเว้นไว้ที่เดิม ซึ่งเป็นจุดจบที่แย่กว่าคำถามเดิม หากกฎการปฏิบัติตามข้อกำหนดห้ามหมวดที่แพลตฟอร์มยกเว้นโดยเจตนา ให้นำความขัดแย้งนั้นไปยังเจ้าของอุปกรณ์และเครือข่ายโดยถือส่วนของสคีมาไปด้วย

ปิดท้ายคำอธิบายโดยบันทึกว่าข้อยกเว้นใดอธิบายทราฟฟิกนั้น ใช้กับระบบปฏิบัติการเวอร์ชันใด และค่าโปรไฟล์ใดที่สร้างมันขึ้นมา ไอคอนการเชื่อมต่อไม่อาจประสานสองสมมติฐานที่เข้ากันไม่ได้เกี่ยวกับขอบเขตทราฟฟิกของระบบปฏิบัติการที่แผ่ไปไกลเพียงใด