Reglas a petición y DNS dividido: VPN automática sin sobrecarga
La configuración VPN más simple es un interruptor: activado o desactivado. Pero en la práctica, eso significa que los usuarios olvidan conectarse cuando deberían, o enrutan todo el tráfico a través del túnel cuando no lo necesitan, desperdiciando ancho de banda y agregando latencia para servicios que no requieren acceso VPN.
Vylos 1.2.0 agrega reglas de activación a petición y DNS dividido para resolver ambos problemas.
Activación a petición
Las reglas a petición le indican a Vylos cuándo conectar o desconectar automáticamente un túnel según las condiciones de red. Sin conmutación manual necesaria.
Cada túnel se puede configurar con reglas para dos tipos de red:
- Datos móviles (iOS) o Ethernet (macOS) — Conectar automáticamente con datos móviles o una conexión por cable
- Wi-Fi — Cuatro modos:
- Desactivado — Sin activación automática en Wi-Fi
- Cualquier SSID — Conectar en cualquier red Wi-Fi
- Solo estos SSIDs — Conectar solo en redes específicas (lista blanca)
- Excepto estos SSIDs — Conectar en todas las redes Wi-Fi excepto redes específicas (lista negra)
Los modos basados en SSID son particularmente útiles para organizaciones. "Solo estos SSIDs" asegura que la VPN se active en el Wi-Fi de la oficina pero no en las redes domésticas de los empleados. "Excepto estos SSIDs" hace lo contrario: la VPN permanece activa en todas partes excepto en la red corporativa de confianza donde el tráfico ya se enruta internamente.
Detección de conflictos
Cuando múltiples túneles tienen reglas a petición habilitadas, pueden entrar en conflicto. Dos túneles configurados para activarse con datos móviles, o dos túneles que reclaman el mismo SSID, el resultado es impredecible.
Vylos detecta cuatro tipos de superposición:
- Superposición de datos móviles o Ethernet
- Superposición de Wi-Fi "Cualquier SSID"
- Superposición de SSID específico (dos túneles reclamando el mismo nombre de red)
- Superposición amplia de Wi-Fi (un túnel en "Cualquier" en conflicto con otro en SSIDs específicos)
Cuando se detecta un conflicto, Vylos muestra una advertencia para que los administradores o usuarios puedan resolver el conflicto antes de que cause un comportamiento inesperado. La advertencia es informativa; no impide que la configuración se guarde.
DNS dividido
Las configuraciones VPN estándar enrutan todas las consultas DNS a través del túnel. Esto funciona, pero significa que cada búsqueda DNS, incluso para servicios públicos, pasa por el servidor VPN. Para organizaciones con nombres de host internos que solo se resuelven en el DNS corporativo, esto obliga a todo el tráfico a pasar por el túnel solo para alcanzar unos pocos servicios internos.
El DNS dividido cambia eso. Cada túnel se puede configurar con dos conjuntos de dominios:
Los dominios de coincidencia son dominios cuyas consultas DNS se enrutan a través del túnel. Todo lo demás utiliza el DNS predeterminado del dispositivo. Por ejemplo, establecer corp.example.com como dominio de coincidencia significa que solo las consultas para ese dominio (y sus subdominios) pasan por la VPN.
Los dominios de búsqueda se agregan a las consultas de nombres de host simples. Si un usuario escribe intranet en un navegador, el dispositivo agrega el dominio de búsqueda para intentar intranet.example.com, que luego se resuelve a través del DNS del túnel.
El resultado es que los recursos internos son accesibles a través de la VPN mientras el tráfico externo fluye normalmente. Esto reduce la carga en el servidor VPN y mejora el rendimiento para todo lo que no necesita acceso al túnel.
El formato de archivo Vylos
Los archivos .conf estándar de WireGuard no admiten reglas a petición ni DNS dividido; esas funciones simplemente no existen en la especificación de configuración de WireGuard. En lugar de mezclar campos personalizados en el formato .conf, lo que rompería la compatibilidad con otros clientes WireGuard, creamos el formato .vylos.
Un archivo .vylos es un archivo ZIP que empaqueta el archivo .conf estándar de WireGuard junto con un archivo de configuración separado para reglas a petición y configuración de DNS dividido. La configuración WireGuard permanece sin modificar, sin campos personalizados, sin extensiones propietarias. Los ajustes adicionales viven en su propio archivo dentro del archivo comprimido.
Esto mantiene las cosas uniformes y limpias. Un .conf exportado desde Vylos funciona en cualquier cliente WireGuard. Un archivo .vylos lleva la configuración completa incluyendo las reglas a petición y DNS dividido, pero solo Vylos sabe cómo leerlo.
La exportación admite tres opciones de formato: solo .conf, solo .vylos, o ambos.
Primeros pasos
Las reglas a petición y el DNS dividido están disponibles en Vylos 1.2.0 para iOS, macOS y visionOS. Confígurelos por túnel a través del formulario de edición del túnel, o envíelos mediante MDM a través de configuraciones de túneles gestionados.
Consulte la guía del usuario para detalles de configuración y la guía de administración para opciones de despliegue MDM.