Apple IncludeAllNetworks: що досі обходить VPN

Ви відкриваєте профіль у консолі MDM, бачите позначений IncludeAllNetworks і припускаєте, що кожен пакет із цього пристрою тепер потрапляє в тунель. Власна схема Apple цього не обіцяє. Параметр спрямовує трафік через VPN із винятками: частина з них — необов'язкові перемикачі, а частина потрібна, щоб система взагалі працювала. Розбір нижче йде за цим документом від профілю назовні, тож перше, що ви читаєте, — сам параметр, а не запис із пристрою, який ще ніхто не ідентифікував.

Два з цих винятків пояснюють більшу частину плутанини, і обидва стосуються стільникового зв'язку.

Почніть із керованого профілю, а не із запису трафіку

Відкрийте схему керованого профілю VPN і прочитайте опис властивості, перш ніж читати будь-який журнал пакетів. Зверніть увагу, що опис стосується маршрутизації з винятками, а не гарантії повного тунелю. Саме це одне речення визначає, як ви тлумачитимете все побачене далі.

Запишіть три речі, поки перебуваєте в консолі: ідентифікатор корисного навантаження, яке несе параметр, випуск керованої ОС на пристрої й те, яка реалізація VPN насправді встановлена. Опис ключа в документації нічого не каже про те, чи показує його сторонній клієнт у власному інтерфейсі налаштувань.

Читайте стільниковий виняток як два різні випадки

У підтримуваних конфігураціях ExcludeCellularServices виключає стільниковий трафік, який можна маршрутизувати через інтернет, але лише коли його ввімкнено разом із IncludeAllNetworks. Схема наводить Wi-Fi Calling, IMS і послуги, пов'язані з повідомленнями, як приклади цієї категорії. Ці потоки можуть залишати тунель за задумом, і жоден огляд профілю не проведе їх крізь нього, поки виняток увімкнено.

Другий випадок окремий і не залежить від жодного перемикача. Деякі оператори надають стільникові послуги безпосередньо через власну мережу, а не через інтернет, і Apple документує цю категорію як завжди виключену з тунелю. Це не умовний випадок маршрутизації через інтернет вище, тож профіль, у якому очищено всі прапорці винятків, усе одно його не охопить. Розгляд обох як однієї функції — це місце, з якого починається більшість суперечок про витік.

Якщо ваша вимога буквально полягає в тому, що жоден пакет ніколи не залишає тунель, цей другий випадок уже робить таку вимогу неможливою на стільниковому пристрої. Це треба знати до огляду проєкту, а не після.

Перевірте, які ключі ваша платформа справді надає

Схема також описує необхідний трафік мережевих з'єднань і captive-мереж, а також окремі засоби керування для інших категорій, як-от локальні мережі та зв'язок між пристроями. Це задокументовані зв'язки конфігурації, а не спостереження вашого пристрою. Підтвердьте кожен із них щодо випуску ОС, яким ви керуєте, бо доступність змінюється між випусками, а ключ профілю, який мовчки ігнорується, виглядає точно так само, як ключ, що виконує свою роботу.

Мінімальне корисне навантаження для цього рішення зазвичай виглядає так, із стільниковим прапорцем, заданим явно, а не успадкованим із шаблону:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Якщо якогось ключа немає в наданому профілі, пристрій повертається до типового значення цього ключа, яке не обов'язково є тим, що мав на увазі автор шаблону. Порівняйте надане навантаження зі шаблоном, а не читайте лише шаблон.

З'ясуйте, чим є незнайоме ім'я хоста

Коли з'являється підозріле ім'я, встановіть, що насправді представляє спостереження: ім'я, яке запитала система, розв'язувач, що відповів, призначення з'єднання чи мітка, яку надрукував інструмент. Ім'я, пов'язане з оператором, саме собою не ідентифікує ні процес-джерело, ні застосований виняток. Гнатися за ним як за доказом обходу — це те, як тема підтримки проводить тиждень на неправильному рівні.

Використовуйте підтримувану діагностику й поговоріть з адміністратором, який володіє профілем, а потім порівняйте потік із запланованою політикою. Саме це порівняння, а не ім'я хоста, каже вам, чи трафік був очікуваним.

Вирішіть вимогу, а не ослаблюйте систему

Не встановлюйте непояснений кореневий сертифікат і не вимикайте системні служби лише для того, щоб запис був тихішим. Приглушення запису прибирає докази й залишає виняток на місці, що є гіршим кінцем, ніж початкове питання. Якщо правило відповідності забороняє категорію, яку платформа навмисно виключає, віднесіть цей конфлікт власникам пристрою й мережі, тримаючи в руках розділ схеми.

Завершіть розбір, записавши, який виняток пояснив трафік, до якого випуску ОС він застосовується і яке значення профілю його створило. Значок з'єднання не може примирити два несумісні припущення про те, як далеко сягає обсяг трафіку операційної системи.