Apple IncludeAllNetworks: VPN'i hâlâ ne atlıyor

MDM konsolunda profili açıyorsunuz, IncludeAllNetworks işaretli görüyorsunuz ve o cihazdan gelen her paketin artık tünele girdiğini varsayıyorsunuz. Apple'ın kendi şeması bunu vaat etmiyor. Ayar, trafiği istisnalarla VPN üzerinden yönlendiriyor; bunlardan bazıları isteğe bağlı anahtarlar, bazıları ise sistemin çalışmaya devam etmesi için zorunlu. Aşağıdaki anlatım o belgeyi profilden dışarı doğru izliyor, bu yüzden ilk okuduğunuz şey ayarın kendisi, henüz kimsenin tanımlamadığı bir cihazdan alınmış kayıt değil.

Bu istisnalardan ikisi karışıklığın büyük kısmını açıklıyor ve ikisi de hücresel hizmetle ilgili.

Kayıttan değil, yönetilen profilden başlayın

Herhangi bir paket günlüğünü okumadan önce yönetilen VPN profili şemasını açın ve özellik açıklamasını okuyun. Açıklamanın istisnalarla yönlendirme hakkında olduğunu, tam tünel garantisi hakkında olmadığını unutmayın. Tam da o tek cümle, sonrasında gördüğünüz her şeyi nasıl yorumlayacağınızı belirler.

Konsoldayken üç şeyi yazın: ayarı taşıyan yük tanımlayıcısı, cihazdaki yönetilen işletim sistemi sürümü ve gerçekte hangi VPN uygulamasının kurulu olduğu. Bir anahtarın belgelerde açıklanması, üçüncü taraf bir istemcinin onu kendi yapılandırma arayüzünde gösterip göstermediği hakkında hiçbir şey söylemez.

Hücresel istisnayı iki farklı durum olarak okuyun

Desteklenen yapılandırmalarda ExcludeCellularServices, internet üzerinden yönlendirilebilen hücresel hizmet trafiğini hariç tutar, ancak yalnızca IncludeAllNetworks ile birlikte etkinleştirildiğinde. Şema, bu kategoriye örnek olarak Wi-Fi Calling, IMS ve mesajlaşmayla ilgili hizmetleri verir. Bu akışlar tasarım gereği tünelden çıkabilir ve istisna açık olduğu sürece hiçbir profil incelemesi onları tünelden geçirmez.

İkinci durum ayrıdır ve hiçbir anahtara bağlı değildir. Bazı operatörler hücresel hizmetleri internet üzerinden değil doğrudan kendi ağları üzerinden sunar ve Apple bu kategoriyi tünelden her zaman hariç tutulmuş olarak belgeler. Bu, yukarıdaki koşullu internet üzerinden yönlendirilebilir durum değildir, bu yüzden her istisna kutusunu temizleyen bir profil bile onu yakalamaz. İkisini tek bir özellik olarak ele almak, sızıntı tartışmalarının çoğunun başladığı yerdir.

Gereksiniminiz kelimenin tam anlamıyla hiçbir paketin tünelden asla çıkmamasıysa, bu ikinci durum söz konusu gereksinimi hücresel bir cihazda zaten imkânsız kılıyor. Bunu tasarım incelemesinden önce bilmeniz gerekir, sonra değil.

Platformunuzun gerçekte hangi anahtarları sunduğunu kontrol edin

Şema ayrıca gerekli ağ bağlantısı ve captive ağ trafiğini, ayrıca yerel ağlar ve cihaz iletişimi gibi diğer kategoriler için ayrı denetimleri açıklar. Bunlar belgelenmiş yapılandırma ilişkileridir, cihazınızın gözlemleri değil. Her birini yönettiğiniz işletim sistemi sürümüne göre doğrulayın, çünkü kullanılabilirlik sürümler arasında değişir ve sessizce yok sayılan bir profil anahtarı, işini yapan bir anahtarla tamamen aynı görünür.

Bu karar için asgari yük genellikle şöyle görünür; hücresel bayrak şablondan miras alınmak yerine açıkça belirtilir:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Gönderilen profilde bir anahtar eksikse, cihaz o anahtarın varsayılan değerine döner; bu, şablon yazarının aklındaki değer olmak zorunda değildir. Yalnızca şablonu okumak yerine gönderilen yükü şablonla karşılaştırın.

Tanımadığınız bir ana bilgisayar adının ne olduğunu belirleyin

Şüpheli bir ad göründüğünde, gözlemin gerçekte neyi temsil ettiğini belirleyin: sistemin istediği ad, yanıt veren çözümleyici, bir bağlantı hedefi ya da bir aracın yazdırdığı etiket. Operatörle ilgili bir ad tek başına ne kaynak süreci ne de uygulanan istisnayı tanımlar. Onu bir atlama kanıtı olarak kovalamak, bir destek başlığının haftasını yanlış katmanda geçirmesinin yoludur.

Desteklenen tanılamayı kullanın ve profile sahip yöneticiyle konuşun, ardından akışı amaçlanan politikayla karşılaştırın. Trafiğin beklenip beklenmediğini ana bilgisayar adı değil, bu karşılaştırma söyler.

Sistemi zayıflatmak yerine gereksinimi çözün

Yalnızca kaydı daha sessiz yapmak için açıklanmamış bir kök sertifika kurmayın veya sistem hizmetlerini kapatmayın. Kaydı susturmak kanıtı ortadan kaldırır ve istisnayı yerinde bırakır; bu, ilk sorudan daha kötü bir yerdir. Bir uyumluluk kuralı, platformun bilerek hariç tuttuğu bir kategoriyi yasaklıyorsa, o çatışmayı şema bölümü elinizde olarak cihaz ve ağ sahiplerine götürün.

Hangi istisnanın trafiği açıkladığını, hangi işletim sistemi sürümüne uygulandığını ve hangi profil değerinin onu ürettiğini kaydederek anlatımı kapatın. Bir bağlantı simgesi, işletim sisteminin trafik kapsamının ne kadar uzandığına dair iki uyumsuz varsayımı uzlaştıramaz.