Configurare la VPN per app

Distribuisci il payload Apple com.apple.vpn.managed.applayer con ProviderType=packet-tunnel, in modo che Apple selezioni il traffico delle app assegnate e Vylos lo trasporti tramite WireGuard.

Passaggi di distribuzione

1. Crea un profilo AppLayerVPN con tunnel di pacchetti seguendo Distribuire con profili .mobileconfig.
2. Assegna al profilo un VPNUUID univoco e abilita OnDemandMatchAppEnabled se il traffico delle app assegnate deve avviarlo automaticamente.
3. Distribuisci il profilo VPN tramite MDM oppure installalo direttamente per i test.
4. Usa MDM per installare ogni app destinataria come app gestita e assegnarle lo stesso VPNUUID.
5. Apri Vylos e verifica che il tunnel gestito mostri Per app e gli identificatori delle applicazioni previsti.
6. Apri un’app assegnata e verifica che il relativo traffico usi WireGuard, mentre un’app non assegnata rimane fuori dal tunnel.

L’installazione diretta del profilo può creare la voce VPN, ma solo MDM può creare assegnazioni di app per la produzione.

Suddivisione delle responsabilità

• Il profilo di configurazione installa il tunnel AppLayerVPN tramite MDM o installazione diretta del file .mobileconfig.
• MDM assegna il VPNUUID del profilo alle app gestite e sostituisce o rimuove tali assegnazioni. L’installazione diretta del solo profilo non può creare associazioni app-VPN per la produzione.
• Il sistema operativo Apple crea le regole per le app di origine, valuta le corrispondenze di app e domini, avvia il tunnel su richiesta e invia al provider solo il traffico corrispondente.
• Vylos presenta la VPN appartenente al profilo come tunnel gestito di sola lettura e ne trasporta il traffico tramite WireGuard.
• Il server WireGuard riceve normali pacchetti WireGuard. Non richiede un’implementazione server specifica per AppLayerVPN.

Il sistema operativo applica l’assegnazione dell’app prima che il traffico corrispondente raggiunga Vylos. Questa scelta di instradamento è automatica e la configurazione del server WireGuard rimane la stessa di un tunnel per tutto il dispositivo.

Vylos non crea, modifica o rimuove associazioni di applicazioni per la produzione. Inoltre, esclude i tunnel AppLayerVPN dai Comandi Rapidi di Siri perché il loro ciclo di vita appartiene a MDM e alle Impostazioni Apple.

Cosa mostra Vylos

Ogni schermata dei dettagli del tunnel include una sezione Instradamento app di sola lettura:

• Un tunnel AppLayerVPN mostra Per app ed elenca gli identificatori di firma comunicati da Apple per le applicazioni assegnate tramite MDM. Se una regola contiene filtri di destinazione, Vylos mostra anche i relativi domini di corrispondenza. Identificatori come com.example.corporate-app possono comparire letteralmente perché Apple non espone il nome visualizzato di ogni app.
• Un tunnel di pacchetti convenzionale basato sull’IP di destinazione mostra Tutto il dispositivo e Tutte le app. Significa che il traffico idoneo del dispositivo segue le rotte del tunnel, non che Vylos abbia ispezionato o elencato tutte le applicazioni in esecuzione.

L’API Apple per i tunnel di pacchetti non espone un elenco affidabile dei processi per una VPN che copre tutto il dispositivo. Vylos non può quindi mostrare quali singole applicazioni stiano usando una VPN ordinaria e non deduce tale elenco dai contatori di traffico.

Funzionalità supportate del tunnel di pacchetti

Le seguenti funzionalità AppLayerVPN si applicano al percorso di tunnel di pacchetti Vylos:

• Associazioni VPNUUID per applicazioni gestite da MDM.
• Attivazione automatica tramite OnDemandMatchAppEnabled quando un’app assegnata avvia una comunicazione di rete.
• Instradamento per app di origine fornito dal sistema operativo Apple.
• AssociatedDomains, ExcludedDomains e SafariDomains, nel rispetto dei requisiti Apple per piattaforma e associazione dei domini.
• SMBDomains e campi di dominio specifici dei servizi sulle piattaforme Apple che li rendono disponibili.
• Regole di disconnessione su richiesta che indicano al sistema operativo quando le applicazioni corrispondenti devono evitare il tunnel.
• Stato Vylos di sola lettura, handshake WireGuard corrente, contatori di traffico, cronologia della larghezza di banda, registri e nomi delle notifiche del tunnel gestito risultante.
• Identificatori di firma delle app e domini di corrispondenza di sola lettura comunicati dal sistema operativo.

Apple valuta le regole di applicazioni e domini prima che i pacchetti raggiungano Vylos. Questi campi del profilo restano quindi di proprietà MDM e non compaiono come regole su richiesta modificabili in Vylos.

Creare il profilo VPN

Crea il payload AppLayerVPN dalla pagina di riferimento dei profili .mobileconfig. Quella pagina è la fonte canonica per gli identificatori provider di Vylos, il VPNUUID, il trasporto della configurazione WireGuard e l’esempio completo di profilo.

Imposta OnDemandMatchAppEnabled su true quando il traffico di un’app assegnata deve avviare automaticamente il tunnel.

OnDemandMatchAppEnabled garantisce l’attivazione automatica, ma non che iOS chiuda immediatamente il tunnel quando l’app assegnata viene chiusa. Il sistema può mantenerlo connesso per riutilizzarlo, ma le regole delle app continuano a limitare quali applicazioni possono inviare traffico al suo interno.

Una regola di disconnessione su richiesta corrispondente controlla quando il tunnel viene evitato in base alle condizioni di rete.

Assegnare le applicazioni

iOS, iPadOS e visionOS

Installa ogni applicazione destinataria come app gestita e assegnale lo stesso VPNUUID usato dal payload AppLayerVPN. Il sistema operativo crea una regola per ogni assegnazione di app gestita corrispondente.

Safari è un caso speciale: Apple usa SafariDomains per selezionare i siti che utilizzano il tunnel. Un’associazione generale non può inviare tutte le app di sistema Apple tramite una VPN per app.

Sostituire o rimuovere un’assegnazione

Su iOS, iPadOS e visionOS, il rapporto tra app e VPN è un attributo dell’applicazione gestita separato dal profilo di configurazione AppLayerVPN. Sostituire o rimuovere solo il profilo VPN non elimina quindi il rapporto VPNUUID esistente di un’app.

Quando cambia un’assegnazione, il servizio MDM deve aggiornare gli ApplicationAttributes dell’app destinataria in modo che il vecchio VPNUUID non sia più presente. Se la console MDM mostra l’assegnazione come rimossa ma Vylos continua a elencare l’applicazione, invia nuovamente o aggiorna l’assegnazione di installazione o configurazione dell’app gestita.

Alcuni prodotti MDM chiamano questa azione Reinstalla, Aggiorna o Invia di nuovo il comando di installazione. Non rimuovere il profilo VPN solo per nascondere una regola di applicazione obsoleta.

Vylos mostra le regole attualmente comunicate dal sistema operativo. Nessuna app assegnata compare solo dopo che Apple rimuove l’attributo dell’app gestita e la regola risultante.

Se il servizio MDM espone la query Apple ManagedApplicationAttributes, un amministratore può usarla per verificare se il dispositivo comunica ancora un VPNUUID per l’applicazione.

macOS

Distribuisci un payload com.apple.vpn.managed.appmapping insieme al payload AppLayerVPN. Ogni associazione fornisce l’identificatore bundle, l’identificatore di firma, il requisito designato e il VPNUUID corrispondente dell’applicazione destinataria.

Usa l’array facoltativo MatchTools quando solo strumenti ausiliari selezionati avviati da un’applicazione devono usare la VPN. Ad esempio, un amministratore può associare uno strumento da riga di comando firmato avviato da Terminale senza associare tutte le connessioni di Terminale.

Tipi di provider non supportati

Vylos non supporta ProviderType=app-proxy, che richiede un provider e un server separati per inoltrare i flussi. Vylos trasporta invece pacchetti IP WireGuard tramite ProviderType=packet-tunnel.

Vylos non fornisce neppure le implementazioni IPsec o IKEv2 integrate di Apple. I profili per questi protocolli usano i provider VPN integrati del sistema operativo anziché l’estensione Vylos.

Per le regole della piattaforma e i campi payload Apple, consulta il riferimento del payload AppLayerVPN, il payload di associazione applicazioni, il riferimento delle impostazioni ApplicationAttributes, la query ManagedApplicationAttributes e la guida all’instradamento del traffico VPN.