VPN auf überwachte Geräte mit MDM bereitstellen

Die Installation eines VPN-Profils auf einem überwachten Gerät ist unkompliziert — Apples .mobileconfig-Format erledigt das. Der schwierigere Teil ist die Kontrolle dessen, was innerhalb des VPN-Clients selbst geschieht. Können Benutzer eigene Tunnel hinzufügen? Können sie Einstellungen ändern? Was passiert, wenn das Gerät einen Jailbreak hat?

Vylos beantwortet diese Fragen durch drei Schlüssel der verwalteten App-Konfiguration, die bei jedem App-Start und Vordergrund-Übergang gelesen werden.

Verwaltete Tunnel übermitteln

Verwaltete Tunnel werden über Standard-Apple-.mobileconfig-Profile mit VPN-Payloads bereitgestellt. Diese Profile können manuell installiert, über ein Webportal verteilt oder via MDM übermittelt werden. Jede Tunnelkonfiguration enthält die Standard-WireGuard-Felder — privater Schlüssel des Interfaces, öffentlicher Schlüssel des Peers, Endpunkt, erlaubte IPs — plus optionale On-Demand-Aktivierungsregeln.

Verwaltete Tunnel erscheinen in einem dedizierten Bereich "Verwaltete Tunnel" in Vylos. Benutzer können den Tunnelstatus und Verbindungsdetails einsehen, können verwaltete Tunnel aber nicht ändern, löschen oder manuell steuern.

Benutzerzugriff einschränken

Drei Einschränkungsschlüssel steuern, was Benutzer tun können:

Manuelle Tunnel blockieren

Die Einstellung von allowManualTunnels auf false entfernt die gesamte benutzerseitige Tunnelverwaltung. Der Bereich "Meine Tunnel" verschwindet, die Schaltfläche Tunnel hinzufügen wird ausgeblendet, und alle bestehenden VPN-Einträge von App-Tunneln werden aus den iOS-Einstellungen ausgesetzt. Die Tunneldaten selbst werden lokal aufbewahrt — wenn die Einschränkung aufgehoben wird, kommt alles zurück.

Dies ist die entscheidende Einstellung für Umgebungen, in denen Benutzer nur IT-genehmigte VPN-Konfigurationen verwenden sollen. Schulen, die Vylos auf Schüler-iPads bereitstellen, Unternehmen mit Compliance-Anforderungen oder jede Organisation, die vorhersagbares VPN-Verhalten auf allen Geräten benötigt.

Einstellungen sperren

Die Einstellung von allowSettings auf false blendet das Einstellungen-Symbol vollständig aus der Symbolleiste aus. Als Defense-in-Depth-Schutz zeigt der Bildschirm, falls er auf anderem Wege erreicht wird, die Meldung "Die Einstellungen werden von Ihrer Organisation verwaltet" an. Benutzer können die App-Schutzmethode nicht ändern, keine Tunnelarchive exportieren und keine Protokolle einsehen.

Geräteintegrität durchsetzen

Die Einstellung von blockJailbrokenDevices auf true aktiviert die Jailbreak-Erkennung auf iOS. Vylos prüft auf Jailbreak-Indikatoren mithilfe von vier Methoden: bekannte Jailbreak-Dateipfade, registrierte URL-Schemata, Sandbox-Escape-Versuche und Scans dynamisch geladener Bibliotheken.

Wenn eine Prüfung fehlschlägt, zeigt die App eine Vollbild-Meldung "Geräterichtlinienverstoß" an, die nicht geschlossen werden kann. Alle App-Funktionalität ist blockiert, bis das Gerät in einen unveränderten Zustand zurückversetzt wird. Tunneldaten werden aufbewahrt — nichts wird gelöscht.

Die Prüfung wird ausgeführt, wenn die Startansicht geladen wird, sodass Jailbreaks erkannt werden, die nach der erstmaligen Bereitstellung stattfinden.

Umgang mit verzögerter Konfiguration

Die MDM-Konfigurationszustellung erfolgt nicht immer sofort. Vylos enthält einen Wiederholungsmechanismus, der bis zu 30 Sekunden nach App-Start und Vordergrund-Übergängen nach verwalteter Konfiguration abfragt. Dies behandelt Fälle, in denen das MDM-Profil kurz nach dem Öffnen der App eintrifft — häufig bei der Erstinstallation oder nach einem Geräteneustart.

Umgehung der App-Sperre

Wenn eine verwaltete App-Konfiguration vorhanden ist, umgeht Vylos automatisch seine integrierte App-Sperre (Face ID, Touch ID oder TOTP). Die Annahme ist, dass die Authentifizierung auf Geräteebene bereits durch die MDM-Richtlinie durchgesetzt wird, sodass eine zweite Authentifizierungsebene innerhalb der App unnötig ist.

Erste Schritte

Tunnelprofile verwenden Standard-.mobileconfig-VPN-Payloads — kein MDM für die einfache Bereitstellung erforderlich. Für Einschränkungsschlüssel konfigurieren Sie diese über den Kanal für verwaltete App-Konfiguration Ihrer MDM-Lösung. Alle Einschränkungsschlüssel-Werte sind Strings — "false" und "0" werden als false ausgewertet, alles andere wird als true ausgewertet.

Siehe das Administratorhandbuch für die vollständige Liste der Konfigurationsschlüssel und Bereitstellungsbeispiele.