Terminologia
Definizioni dei termini WireGuard, piattaforma Apple e MDM utilizzati nella documentazione di Vylos.
IP consentiti
Gli Allowed IPs stabiliscono quali intervalli di indirizzi IP vengono instradati attraverso un peer WireGuard, configurati con il campo AllowedIPs. Vylos mostra questo valore nella sezione Peer della vista dettaglio di un tunnel.
Tunnel creato dall'app
Un tunnel creato dall'app è un tunnel WireGuard aggiunto dall'utente tramite importazione, codice QR o inserimento manuale, tracciato internamente come TunnelSource.app. Compare nella sezione I miei tunnel e rimane completamente modificabile, a differenza di un tunnel gestito.
App Group
Un App Group è un contenitore di archiviazione condiviso che consente a Vylos e alle sue estensioni, come l'estensione di rete e l'anteprima Quick Look, di scambiare dati come le configurazioni dei tunnel e le preferenze di notifica. L'estensione Quick Look non ha deliberatamente accesso a esso, mantenendo le anteprime dei file isolate dall'elenco dei tunnel attivi.
AppLayerVPN
AppLayerVPN è il profilo di configurazione VPN per app gestito da Apple, identificato da com.apple.vpn.managed.applayer. È il livello del sistema operativo che seleziona il traffico delle app assegnate.
Vylos supporta la modalità provider packet-tunnel: l’MDM collega le app di destinazione tramite un VPNUUID condiviso, Apple invia a Vylos i pacchetti IP corrispondenti e Vylos li trasporta tramite WireGuard. La modalità separata app-proxy non è supportata.
Instradamento delle app
L’instradamento delle app descrive quali applicazioni Apple autorizza a usare un tunnel gestito. Per un tunnel AppLayerVPN, Vylos mostra Per app, gli identificatori di firma e i domini corrispondenti comunicati dal sistema.
Un tunnel tradizionale per tutto il dispositivo mostra Intero dispositivo e Tutte le app, perché Apple non fornisce un elenco affidabile dei processi che lo utilizzano.
Blocco app
Il blocco app protegge Vylos con Face ID, Touch ID, un codice del dispositivo o un codice TOTP a 6 cifre da un'app di autenticazione. Si disattiva automaticamente quando è presente una Configurazione app gestita, poiché il sistema MDM garantisce già la sicurezza del dispositivo.
Rilevamento conflitti
Il rilevamento conflitti avvisa quando due o più tunnel abilitati hanno regole su richiesta sovrapposte, ad esempio entrambi si attivano sulla stessa rete Wi-Fi. Vylos mostra un banner nella schermata principale che elenca ogni coppia in conflitto, permettendo di modificare le regole.
Profilo di configurazione
Un profilo di configurazione è un payload Apple .mobileconfig che un server MDM installa su un dispositivo per fornire impostazioni o un tunnel VPN. Vylos utilizza il tipo di payload com.apple.vpn.managed per creare tunnel gestiti, separatamente dalla Managed App Configuration.
Continuity Camera
Continuity Camera consente a un Mac di utilizzare la fotocamera di un iPhone abbinato come sorgente di input. Vylos si basa su questa funzionalità per scansionare i codici QR WireGuard su macOS 14 e versioni successive, poiché i Mac non dispongono di una fotocamera posizionata per la scansione.
Tempesta di flap
Una tempesta di flap è un ciclo rapido di eventi di connessione e disconnessione causato da una rete instabile. Vylos limita ogni tipo di notifica a un invio ogni 30 secondi, in modo che una tempesta di flap non sommerga l'utente di avvisi.
Handshake
Un handshake è lo scambio crittografico che i peer WireGuard completano per stabilire una connessione sicura. Vylos mostra il tempo trascorso dall'ultimo handshake nella sezione Stato di un tunnel, ad esempio "2 minuti fa".
Interfaccia
L'interface è la sezione [Interface] di una configurazione WireGuard, che contiene la chiave privata del dispositivo locale, l'indirizzo, i server DNS e la porta di ascolto. Vylos visualizza questi campi nella sezione Interface della vista dettaglio di un tunnel dell'app.
Rilevamento del jailbreak
Il rilevamento del jailbreak verifica la presenza di segni di manomissione su un dispositivo iOS utilizzando quattro metodi: percorsi di file sospetti, registrazioni di schemi URL, un test di escape dalla sandbox e una scansione delle librerie dinamiche caricate. Vylos blocca l'accesso all'app in caso di rilevamento positivo solo quando la chiave MDM blockJailbrokenDevices è abilitata.
Archiviazione con Keychain
L'archiviazione con Keychain mantiene la configurazione di un tunnel nel Keychain del dispositivo e nel database dell'app, anziché nel registro VPN di sistema. La voce di sistema contiene solo un puntatore passwordReference, mantenendo le chiavi private al di fuori dell'archiviazione di sistema meno sicura.
Interruttore di emergenza
L’interruttore di emergenza impedisce alla maggior parte del normale traffico di rete di aggirare un tunnel Su richiesta predisposto. I tunnel creati dall’utente salvano la scelta come Routing.KillSwitch in un file .vylos, mentre quelli gestiti usano il campo del profilo Apple VPN.IncludeAllNetworks. Gli AllowedIPs di WireGuard continuano a determinare quali destinazioni possono passare attraverso un peer; un insieme parziale di percorsi diventa quindi un elenco consentito rigoroso anziché un tunnel completo.
Apple continua a consentire il traffico necessario al controllo della rete e ad alcuni servizi del dispositivo. Il termine non significa quindi che ogni pacchetto di sistema entri letteralmente nella VPN.
Configurazione gestita dell’app
La Managed App Configuration è una configurazione fornita tramite MDM che Vylos legge dalla chiave Apple com.apple.configuration.managed. La sua presenza bypassa automaticamente il blocco app e può impostare qualsiasi delle tre chiavi di restrizione.
Tunnel gestito
Un tunnel gestito è un tunnel WireGuard distribuito dall'organizzazione attraverso un profilo di configurazione, tracciato internamente come TunnelSource.managed. Compare in sola lettura nella sezione Tunnel gestiti e viene rimosso automaticamente quando il profilo viene rimosso.
Domini di corrispondenza
I domini di corrispondenza sono i domini le cui query DNS vengono instradate attraverso i server DNS di un tunnel anziché attraverso la rete predefinita. Aggiungere corp.example.com come dominio di corrispondenza instrada le ricerche per server.corp.example.com attraverso il tunnel.
MDM
MDM (gestione dei dispositivi mobili) è la classe di sistemi aziendali, come Jamf, Kandji, Intune, Workspace ONE e Mosyle, che gli amministratori IT utilizzano per configurare e proteggere flotte di dispositivi. Vylos si integra con qualsiasi MDM che supporti Configurazione app gestita e profili di configurazione.
Estensione di rete
Un'estensione di rete è il processo di sistema in background che esegue il tunnel WireGuard effettivo, separato dal processo principale dell'app Vylos. Vylos comunica con essa per inviare messaggi al provider, raccogliere snapshot della larghezza di banda e scrivere il log diagnostico WireGuard.
Regole su richiesta
Le regole su richiesta connettono automaticamente un tunnel quando il dispositivo si unisce a una rete cellulare, Wi-Fi o Ethernet corrispondente. Ogni regola risiede in una sezione [OnDemandRule] del file delle impostazioni .vylos del tunnel, e il tunnel si attiva se una qualsiasi regola corrisponde.
Optic ID
Optic ID è il sistema di autenticazione biometrica basato sugli occhi di Apple Vision Pro. Il blocco app di Vylos ricorre a un prompt con codice su visionOS anziché etichettare il prompt direttamente come Optic ID.
Ornament
Un ornament è un elemento dell'interfaccia visionOS che fluttua al di fuori del contenuto principale di una finestra, ancorato a uno dei suoi bordi. Vylos circonda la sua scena principale con quattro ornament per stato, tunnel attivi, azioni rapide e controlli tunnel contestuali.
Peer
Un peer è una sezione [Peer] di una configurazione WireGuard, che descrive un endpoint remoto tramite la sua chiave pubblica, gli IP consentiti e l'indirizzo. Un tunnel può definire più peer, e Vylos elenca ciascuno nella vista dettaglio del tunnel.
VPN per app
VPN per app è il nome visibile del modello di instradamento AppLayerVPN di Apple. Un MDM assegna app gestite specifiche a un tunnel tramite VPNUUID; queste app usano WireGuard, mentre quelle non assegnate restano fuori dal tunnel.
Il sistema operativo controlla la selezione e l’attivazione. Vylos trasporta il traffico selezionato tramite WireGuard e presenta il tunnel gestito in sola lettura.
Keepalive persistente
Il keepalive persistente invia un pacchetto periodico a un peer in modo che le mappature NAT e firewall rimangano aperte tra il traffico reale. Vylos mostra l'intervallo configurato, ad esempio "Ogni 25 secondi", nella sezione Peer della vista dettaglio di un tunnel.
Quick Look
Quick Look è il framework di sistema Apple per visualizzare in anteprima il contenuto di un file senza aprire l'app proprietària. Vylos include un'estensione Quick Look che mostra in anteprima i file tunnel .conf, .vylos e .zip nel Finder e nell'app File.
Chiavi di restrizione
Le chiavi di restrizione sono le tre impostazioni, allowManualTunnels, allowSettings e blockJailbrokenDevices, che un amministratore MDM configura attraverso la Managed App Configuration. Vylos analizza ogni chiave da un valore stringa utilizzando una regola coerente vero/falso.
Rx e Tx
Rx e Tx sono i conteggi di byte ricevuti e trasmessi che Vylos registra per ogni tunnel. I grafici della larghezza di banda e il riepilogo nell'elenco dei tunnel mostrano entrambi questi totali per la sessione attiva.
Domini di ricerca
I domini di ricerca sono domini di fallback che Vylos aggiunge a una query con nome host semplice quando la prima ricerca fallisce. Aggiungere example.com come dominio di ricerca ritenta una query fallita per intranet come intranet.example.com.
Comandi rapidi Siri
I comandi rapidi Siri consentono di connettere, disconnettere, commutare o modificare un tunnel specificato per nome tramite comandi vocali o l'app Comandi rapidi. I dispositivi gestiti tramite MDM consentono sempre i comandi rapidi Siri, bypassando il blocco app che altrimenti li subordina all'autenticazione.
DNS diviso
Lo split DNS instrada le query DNS per domini specifici attraverso il tunnel VPN, mentre ogni altra query rimane sulla rete predefinita. Si configura per tunnel con domini di corrispondenza e domini di ricerca nella sezione [SplitDNS] del file delle impostazioni .vylos.
Spotlight
Spotlight è l'indice di ricerca di sistema di Apple, e Vylos pubblica i nomi dei tunnel creati dall'utente al suo interno, in modo che una ricerca corrispondente apra direttamente il tunnel. L'indice viene svuotato automaticamente quando il blocco app è attivo, impedendo che i nomi dei tunnel trapelino tramite Spotlight su un dispositivo bloccato.
Voce di sistema
Una voce di sistema è il record di configurazione VPN a livello di sistema operativo, un NETunnelProviderManager, che compare nell'app Impostazioni del dispositivo. Ogni tunnel gestito da Vylos, sia creato dall'app che gestito, ha una voce di sistema corrispondente.
TOTP
TOTP (password monouso temporizzata) è un codice a 6 cifre che un'app di autenticazione, come Google Authenticator o Authy, genera e ruota ogni 30 secondi. Vylos accetta codici del periodo corrente più un periodo prima e uno dopo, per tollerare piccole differenze di orologio.
VPNUUID
VPNUUID è l’identificatore che collega un profilo AppLayerVPN alle assegnazioni di app gestite dall’MDM. Il profilo VPN e ogni app assegnata devono usare lo stesso valore.
Sostituire o rimuovere il profilo VPN non cancella automaticamente l’assegnazione di un’app; l’MDM deve aggiornare anche gli attributi dell’app gestita.
Formato .vylos
Il formato .vylos è un archivio ZIP che abbina un file WireGuard .conf intatto a un file opzionale settings.conf per Split DNS, regole su richiesta e comportamento dell’interruttore di emergenza. Estende una configurazione WireGuard standard senza modificarla, in modo che lo stesso .conf funzioni con qualsiasi altro client WireGuard.