Apple IncludeAllNetworks: điều gì vẫn vượt qua VPN

Bạn mở hồ sơ trong bảng điều khiển MDM, thấy IncludeAllNetworks được đánh dấu và cho rằng mọi gói tin từ thiết bị đó giờ đều đi vào đường hầm. Lược đồ của chính Apple không hứa như vậy. Cấu hình này định tuyến lưu lượng qua VPN với các ngoại lệ: một số là công tắc tùy chọn, số khác là bắt buộc để hệ thống tiếp tục hoạt động. Phần trình bày dưới đây đi theo tài liệu đó từ hồ sơ ra ngoài, nên điều đầu tiên bạn đọc là chính cấu hình, không phải bản ghi từ một thiết bị mà chưa ai nhận diện.

Hai trong số các ngoại lệ đó giải thích phần lớn sự nhầm lẫn, và cả hai đều liên quan đến dịch vụ di động.

Bắt đầu từ hồ sơ được quản lý, không phải từ bản ghi

Mở lược đồ hồ sơ VPN được quản lý và đọc mô tả thuộc tính trước khi đọc bất kỳ nhật ký gói tin nào. Lưu ý rằng mô tả nói về định tuyến có ngoại lệ, không phải bảo đảm một đường hầm đầy đủ. Chính câu duy nhất đó quyết định cách bạn diễn giải mọi thứ bạn thấy sau đó.

Ghi lại ba điều khi còn trong bảng điều khiển: định danh tải trọng mang cấu hình, phiên bản hệ điều hành được quản lý trên thiết bị, và việc triển khai VPN nào thực sự được cài đặt. Việc một khóa được mô tả trong tài liệu không nói gì về việc một ứng dụng khách bên thứ ba có hiển thị nó trong giao diện cấu hình của riêng mình hay không.

Đọc ngoại lệ di động như hai trường hợp khác nhau

Trong các cấu hình được hỗ trợ, ExcludeCellularServices loại trừ lưu lượng dịch vụ di động có thể định tuyến qua internet, nhưng chỉ khi nó được bật cùng với IncludeAllNetworks. Lược đồ nêu Wi-Fi Calling, IMS và các dịch vụ liên quan đến tin nhắn làm ví dụ cho danh mục đó. Những luồng đó có thể rời đường hầm theo thiết kế, và không bản rà soát hồ sơ nào đưa chúng đi qua đường hầm khi ngoại lệ đang bật.

Trường hợp thứ hai tách biệt và không phụ thuộc vào công tắc nào. Một số nhà mạng cung cấp dịch vụ di động trực tiếp qua mạng riêng thay vì qua internet, và Apple ghi nhận danh mục đó là luôn bị loại trừ khỏi đường hầm. Đây không phải trường hợp có điều kiện định tuyến qua internet ở trên, nên một hồ sơ đã xóa mọi ô ngoại lệ vẫn không bắt được nó. Coi hai thứ đó là một tính năng chính là nơi phần lớn tranh luận về rò rỉ bắt đầu.

Nếu yêu cầu của bạn đúng nghĩa là không gói tin nào bao giờ rời đường hầm, trường hợp thứ hai này đã khiến yêu cầu đó bất khả thi trên thiết bị di động. Bạn cần biết điều đó trước buổi rà soát thiết kế, không phải sau.

Kiểm tra những khóa mà nền tảng của bạn thực sự hiển thị

Lược đồ cũng mô tả lưu lượng kết nối mạng và mạng captive cần thiết, cùng các điều khiển riêng cho những danh mục khác như mạng cục bộ và giao tiếp giữa thiết bị. Đây là những quan hệ cấu hình được ghi nhận, không phải quan sát thiết bị của bạn. Xác nhận từng mục so với phiên bản hệ điều hành bạn quản lý, vì tính khả dụng thay đổi giữa các phiên bản và một khóa hồ sơ bị bỏ qua trong im lặng trông giống hệt một khóa đang làm đúng việc của nó.

Tải trọng tối thiểu cho quyết định này thường trông như sau, với cờ di động được nêu rõ thay vì kế thừa từ mẫu:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Nếu thiếu một khóa trong hồ sơ được giao, thiết bị quay về giá trị mặc định của khóa đó, không nhất thiết là giá trị mà tác giả mẫu đã nghĩ đến. Hãy so sánh tải trọng được giao với mẫu thay vì chỉ đọc mẫu.

Xác định tên máy chủ lạ là gì

Khi một cái tên đáng ngờ xuất hiện, hãy xác định quan sát thực sự đại diện cho điều gì: tên hệ thống yêu cầu, trình phân giải đã trả lời, đích kết nối, hay nhãn do một công cụ in ra. Một cái tên liên quan đến nhà mạng tự nó không nhận diện tiến trình nguồn lẫn ngoại lệ đã áp dụng. Đuổi theo nó như bằng chứng của một sự vượt qua chính là cách một luồng hỗ trợ dành một tuần ở sai tầng.

Dùng chẩn đoán được hỗ trợ và trao đổi với quản trị viên sở hữu hồ sơ, rồi so sánh luồng với chính sách dự kiến. Chính sự so sánh đó, không phải tên máy chủ, cho bạn biết lưu lượng có được mong đợi hay không.

Giải quyết yêu cầu thay vì làm suy yếu hệ thống

Đừng cài chứng chỉ gốc không rõ nguồn gốc và đừng tắt dịch vụ hệ thống chỉ để một bản ghi trở nên im lặng hơn. Làm im bản ghi sẽ xóa bằng chứng và để ngoại lệ nằm nguyên tại chỗ, đó là kết cục tồi hơn câu hỏi ban đầu. Nếu một quy tắc tuân thủ cấm một danh mục mà nền tảng cố ý loại trừ, hãy mang xung đột đó đến chủ sở hữu thiết bị và mạng với phần lược đồ trong tay.

Kết thúc phần trình bày bằng việc ghi lại ngoại lệ nào giải thích lưu lượng, nó áp dụng cho phiên bản hệ điều hành nào và giá trị hồ sơ nào đã tạo ra nó. Một biểu tượng kết nối không thể hòa giải hai giả định không tương thích về việc phạm vi lưu lượng của hệ điều hành trải rộng đến đâu.