アプリ別VPNを構成する
Appleのcom.apple.vpn.managed.applayerペイロードをProviderType=packet-tunnelで配信すると、Appleが割り当て済みAppの通信を選択し、VylosがWireGuard経由で運びます。
プロバイダの範囲
VylosはWireGuardパケットトンネルプロバイダを通じてAppLayerVPNに対応します。App Proxy、IPsec、IKEv2プロバイダは含まれません。
ProviderType=app-proxyを選択するプロファイルには別のVPN実装が必要であり、Vylosでは対応していません。
配信手順
.mobileconfigプロファイルで配信するを参照して、AppLayerVPNパケットトンネルプロファイルを作成します。- 一意の
VPNUUIDを指定し、割り当て済みAppの通信で自動的に起動する場合はOnDemandMatchAppEnabledを有効にします。 - VPNプロファイルをMDMで配信するか、テスト用に直接インストールします。
- 各対象AppをMDMで管理対象Appとしてインストールし、同じ
VPNUUIDを割り当てます。 - Vylosを開き、管理対象トンネルにアプリ別と想定したApp識別子が表示されることを確認します。
- 割り当て済みAppを開き、その通信がWireGuardを使用し、未割り当てのAppはトンネル外にあることを確認します。
プロファイルの直接インストールでもVPN項目は作成できますが、本番のApp割り当てを作成できるのはMDMだけです。
役割の分担
- 構成プロファイルは、MDMまたは
.mobileconfigの直接インストールによってAppLayerVPNトンネルをインストールします。 - MDMはプロファイルの
VPNUUIDを管理対象Appへ割り当て、その割り当てを置き換えたり削除したりします。直接インストールだけでは、本番のAppとVPNのマッピングを作成できません。 - AppleのOSは、送信元Appのルールを作成し、Appとドメインの一致を評価し、オンデマンドでトンネルを開始して、一致した通信だけをプロバイダへ渡します。
- Vylosは、プロファイル所有のVPNを読み取り専用の管理対象トンネルとして表示し、WireGuard経由で通信を運びます。
- WireGuardサーバーには通常のWireGuardパケットが届きます。AppLayerVPN専用のサーバー実装は不要です。
OSは一致した通信がVylosへ届く前にApp割り当てを適用します。このルーティングは自動で、WireGuardサーバーの構成はデバイス全体のトンネルと同じです。
Vylosは本番のAppマッピングを作成、編集、削除しません。AppLayerVPNトンネルのライフサイクルはMDMとAppleの設定が管理するため、Siriショートカットにも表示しません。
Vylosに表示される内容
各トンネルの詳細画面には、読み取り専用のAppルーティングセクションがあります。
- AppLayerVPNトンネルはアプリ別と表示され、MDMで割り当てられたAppについてAppleが報告する署名識別子を一覧表示します。ルールに宛先フィルタがある場合は、一致ドメインも表示します。AppleがすべてのAppの表示名を公開するわけではないため、
com.example.corporate-appのような識別子がそのまま表示されることがあります。 - 宛先IPを使う通常のパケットトンネルはデバイス全体とすべてのAppを表示します。これは対象となるデバイス通信がトンネルのルートに従うという意味で、Vylosが実行中のAppをすべて検査または列挙したという意味ではありません。
AppleのパケットトンネルAPIは、デバイス全体VPNについて信頼できるプロセス一覧を公開しません。そのためVylosは、通常のVPNを現在使用している個々のAppを表示できず、通信カウンタから一覧を推測することもありません。
対応するパケットトンネル機能
Vylosのパケットトンネル経路では、次のAppLayerVPN機能を使用できます。
- MDM管理App向けの
VPNUUID関連付け。 - 割り当て済みAppがネットワーク通信を開始したときの
OnDemandMatchAppEnabledによる自動接続。 - AppleのOSが提供する送信元Appルーティング。
- Appleのプラットフォームと関連ドメインの要件に従う
AssociatedDomains、ExcludedDomains、SafariDomains。 - Appleが提供するプラットフォームでの
SMBDomainsとサービス固有のドメインフィールド。 - 一致するAppがトンネルを迂回するネットワーク条件をOSへ伝えるオンデマンド切断ルール。
- 管理対象トンネルの読み取り専用Vylos状態、現在のWireGuardハンドシェイク、通信カウンタ、帯域幅履歴、ログ、通知名。
- OSが報告する読み取り専用のApp署名識別子と一致ドメイン。
AppleはパケットがVylosへ届く前にAppとドメインのルールを評価します。そのため、これらのプロファイルフィールドはMDM所有のままで、Vylosの編集可能なオンデマンドルールには表示されません。
VPNプロファイルを作成する
.mobileconfigプロファイルのリファレンスからAppLayerVPNペイロードを作成します。このページが、Vylosプロバイダ識別子、VPNUUID、WireGuard構成の受け渡し、完全なプロファイル例の正式な情報源です。
割り当て済みAppの通信で自動的にトンネルを開始する場合、OnDemandMatchAppEnabledをtrueに設定します。
OnDemandMatchAppEnabledは自動接続を保証しますが、割り当て済みAppを閉じたときにiOSが即座にトンネルを切断することは保証しません。システムが再利用のため接続を維持する場合でも、通信できるAppは引き続きAppルールで制限されます。
一致するオンデマンド切断ルールが、そのネットワーク条件でトンネルを迂回する動作を制御します。
Appを割り当てる
iOS、iPadOS、visionOS
各対象Appを管理対象Appとしてインストールし、AppLayerVPNペイロードと同じVPNUUIDを割り当てます。OSは一致する管理対象App割り当てごとに1つのAppルールを作成します。
Safariは特別です。AppleはSafariDomainsを使ってトンネルを使用するサイトを選択します。一般的なマッピングですべてのAppleシステムAppをアプリ別VPNへ通すことはできません。
割り当てを置き換える、削除する
iOS、iPadOS、visionOSでは、AppとVPNの関係はAppLayerVPN構成プロファイルとは別の管理対象App属性です。そのためVPNプロファイルだけを置き換えたり削除したりしても、Appの既存のVPNUUID関係は削除されません。
割り当てを変更するとき、MDMサービスは対象AppのApplicationAttributesを更新し、古いVPNUUIDを取り除く必要があります。MDMコンソールでは割り当てが削除済みでもVylosがAppを表示し続ける場合、その管理対象Appのインストールまたは構成割り当てを再送または更新してください。
MDM製品によって、この操作は再インストール、アップデート、インストールコマンドを再送信などと呼ばれます。古いAppルールを隠す目的だけでVPNプロファイルを削除しないでください。
VylosはOSが現在報告しているルールを表示します。割り当て済みAppなしは、Appleが管理対象App属性とそのAppルールを削除した後にのみ表示されます。
MDMサービスがAppleのManagedApplicationAttributesクエリを公開している場合、管理者はデバイスがAppのVPNUUIDをまだ報告しているか確認できます。
macOS
AppLayerVPNペイロードとともにcom.apple.vpn.managed.appmappingペイロードを配信します。各マッピングには、対象Appのバンドル識別子、署名識別子、指定要件、および一致するVPNUUIDを指定します。
Appが起動した特定の補助ツールだけにVPNを使用させる場合は、任意のMatchTools配列を使用します。たとえば、Terminalから起動した署名済みコマンドラインツールだけを関連付け、Terminalのすべての通信は関連付けない運用が可能です。
対応していないプロバイダの種類
Vylosは、別のフロー転送プロバイダとサーバーを必要とするProviderType=app-proxyに対応していません。WireGuard IPパケットはProviderType=packet-tunnelで運びます。
Apple内蔵のIPsecまたはIKEv2実装もVylosには含まれません。これらのプロトコルのプロファイルは、Vylos機能拡張ではなくOS内蔵のVPNプロバイダを使用します。
Appleのプラットフォームルールとペイロードフィールドについては、AppLayerVPNペイロードのリファレンス、Appマッピングペイロード、ApplicationAttributes設定リファレンス、ManagedApplicationAttributesクエリ、VPN通信のルーティングガイドを参照してください。