Configurar la VPN per app

Desplega la càrrega com.apple.vpn.managed.applayer d’Apple amb ProviderType=packet-tunnel perquè Apple seleccioni el trànsit de les aplicacions assignades i Vylos el transporti mitjançant WireGuard.

Passos de desplegament

1. Crea un perfil AppLayerVPN de túnel de paquets seguint Desplegar amb perfils .mobileconfig.
2. Assigna al perfil un VPNUUID únic i activa OnDemandMatchAppEnabled si el trànsit de les apps assignades l’ha d’iniciar automàticament.
3. Distribueix el perfil VPN mitjançant MDM o instal·la’l directament per fer proves.
4. Utilitza MDM per instal·lar cada app de destinació com a app gestionada i assigna-li el mateix VPNUUID.
5. Obre Vylos i comprova que el túnel gestionat mostri Per app i els identificadors d’aplicació esperats.
6. Obre una app assignada i verifica que el seu trànsit utilitzi WireGuard, mentre una app no assignada queda fora del túnel.

La instal·lació directa del perfil pot crear l’entrada VPN, però només MDM pot crear assignacions d’apps per a producció.

Repartiment de responsabilitats

• El perfil de configuració instal·la el túnel AppLayerVPN, mitjançant MDM o instal·lant directament el fitxer .mobileconfig.
• L’MDM assigna el VPNUUID del perfil a les apps gestionades i substitueix o elimina aquestes assignacions. La instal·lació directa del perfil no pot crear per si sola assignacions d’app a VPN per a producció.
• El sistema operatiu d’Apple crea les regles de les aplicacions d’origen, avalua les coincidències d’apps i dominis, inicia el túnel sota demanda i envia al proveïdor només el trànsit coincident.
• Vylos mostra la VPN gestionada pel perfil com un túnel gestionat de només lectura i transporta el seu trànsit mitjançant WireGuard.
• El servidor WireGuard rep paquets WireGuard normals. No necessita cap implementació de servidor específica d’AppLayerVPN.

El sistema operatiu aplica l’assignació de l’app abans que el trànsit coincident arribi a Vylos. Aquesta decisió d’encaminament és automàtica i la configuració del servidor WireGuard és la mateixa que per a un túnel de tot el dispositiu.

Vylos no crea, edita ni elimina assignacions d’aplicacions per a producció. També exclou els túnels AppLayerVPN de les Dreceres de Siri perquè el seu cicle de vida pertany a l’MDM i a la configuració d’Apple.

Què mostra Vylos

La vista de detalls de cada túnel inclou una secció Encaminament d’apps de només lectura:

• Un túnel AppLayerVPN mostra Per app i enumera els identificadors de signatura que Apple comunica per a les aplicacions assignades mitjançant MDM. Quan una regla conté filtres de destinació, Vylos també mostra els dominis de coincidència. Els identificadors com com.example.corporate-app poden aparèixer literalment perquè Apple no exposa el nom visible de totes les apps.
• Un túnel de paquets convencional basat en la IP de destinació mostra Tot el dispositiu i Totes les apps. Això vol dir que el trànsit admès del dispositiu segueix les rutes del túnel, no que Vylos hagi inspeccionat o enumerat totes les aplicacions en execució.

L’API de túnel de paquets d’Apple no exposa una llista fiable de processos per a una VPN de tot el dispositiu. Per això, Vylos no pot mostrar quines aplicacions concretes utilitzen una VPN convencional ni dedueix aquesta llista dels comptadors de trànsit.

Funcions compatibles del túnel de paquets

Les funcions AppLayerVPN següents s’apliquen al camí de túnel de paquets de Vylos:

• Associacions VPNUUID per a aplicacions gestionades mitjançant MDM.
• Activació automàtica mitjançant OnDemandMatchAppEnabled quan una app assignada inicia comunicacions de xarxa.
• Encaminament per aplicació d’origen proporcionat pel sistema operatiu d’Apple.
• AssociatedDomains, ExcludedDomains i SafariDomains, subjectes als requisits de plataforma i associació de dominis d’Apple.
• SMBDomains i camps de domini específics de serveis a les plataformes Apple on estiguin disponibles.
• Regles de desconnexió sota demanda que indiquen al sistema operatiu quan les aplicacions coincidents han d’ometre el túnel.
• Estat de Vylos de només lectura, handshake de WireGuard actual, comptadors de trànsit, historial d’amplada de banda, registres i noms de notificacions del túnel gestionat resultant.
• Identificadors de signatura d’apps i dominis de coincidència de només lectura comunicats pel sistema operatiu.

Apple avalua les regles d’aplicacions i dominis abans que els paquets arribin a Vylos. Per tant, aquests camps del perfil continuen sent propietat de l’MDM i no apareixen com a regles sota demanda editables a Vylos.

Crear el perfil VPN

Crea la càrrega AppLayerVPN a partir de la referència de perfils .mobileconfig. Aquesta pàgina és la font canònica dels identificadors de proveïdor de Vylos, el VPNUUID, el transport de la configuració WireGuard i l’exemple complet del perfil.

Estableix OnDemandMatchAppEnabled en true quan el trànsit d’una app assignada hagi d’iniciar automàticament el túnel.

OnDemandMatchAppEnabled garanteix l’activació automàtica, però no que iOS desconnecti immediatament el túnel quan es tanqui l’app assignada. El sistema pot mantenir-lo connectat per reutilitzar-lo, però les regles d’apps continuen limitant quines aplicacions hi poden enviar trànsit.

Una regla de desconnexió sota demanda coincident controla quan s’omet el túnel segons les condicions de xarxa.

Assignar aplicacions

iOS, iPadOS i visionOS

Instal·la cada aplicació de destinació com a app gestionada i assigna-li el mateix VPNUUID que utilitza la càrrega AppLayerVPN. El sistema operatiu crea una regla d’aplicació per cada assignació d’app gestionada coincident.

Safari és un cas especial: Apple utilitza SafariDomains per seleccionar els llocs que fan servir el túnel. Una assignació general no pot enviar totes les apps del sistema d’Apple mitjançant una VPN per app.

Substituir o eliminar una assignació

A l’iOS, l’iPadOS i el visionOS, la relació entre l’app i la VPN és un atribut de l’aplicació gestionada independent del perfil de configuració AppLayerVPN. Per això, substituir o eliminar només el perfil VPN no esborra la relació VPNUUID existent d’una app.

Quan canvia una assignació, el servei MDM ha d’actualitzar els ApplicationAttributes de l’app de destinació perquè el VPNUUID anterior deixi d’estar present. Si la consola MDM mostra l’assignació com a eliminada però Vylos continua mostrant l’aplicació, torna a enviar o actualitzar l’assignació d’instal·lació o configuració d’aquella app gestionada.

Alguns productes MDM anomenen aquesta acció Reinstal·lar, Actualitzar o Tornar a enviar l’ordre d’instal·lació. No eliminis el perfil VPN només per amagar una regla d’aplicació obsoleta.

Vylos mostra les regles que comunica el sistema operatiu en aquell moment. No hi ha apps assignades només apareix després que Apple elimini l’atribut de l’app gestionada i la regla d’aplicació resultant.

Si el servei MDM exposa la consulta ManagedApplicationAttributes d’Apple, un administrador pot utilitzar-la per confirmar si el dispositiu continua comunicant un VPNUUID per a l’aplicació.

macOS

Desplega una càrrega com.apple.vpn.managed.appmapping juntament amb la càrrega AppLayerVPN. Cada assignació proporciona l’identificador de paquet, l’identificador de signatura, el requisit designat i el VPNUUID coincident de l’aplicació de destinació.

Utilitza l’array opcional MatchTools quan només determinades eines auxiliars iniciades per una aplicació hagin d’utilitzar la VPN. Per exemple, un administrador pot assignar una eina de línia d’ordres signada que s’inicia des del Terminal sense assignar totes les connexions del Terminal.

Tipus de proveïdor no compatibles

Vylos no admet ProviderType=app-proxy, que necessita un proveïdor i un servidor separats per reenviar fluxos. Vylos transporta paquets IP de WireGuard mitjançant ProviderType=packet-tunnel.

Vylos tampoc no proporciona les implementacions IPsec o IKEv2 integrades d’Apple. Els perfils d’aquests protocols utilitzen els proveïdors VPN integrats del sistema operatiu, no l’extensió de Vylos.

Consulta les regles de plataforma i els camps de càrrega d’Apple a la referència de la càrrega AppLayerVPN, la càrrega d’assignació d’aplicacions, la referència de configuració ApplicationAttributes, la consulta ManagedApplicationAttributes i la guia d’encaminament del trànsit VPN.