Wdrażanie VPN na urządzenia nadzorowane za pomocą MDM

Instalacja profilu VPN na nadzorowanym urządzeniu jest prosta — format Apple .mobileconfig to obsługuje. Trudniejsza część to kontrolowanie, co dzieje się wewnątrz samego klienta VPN. Czy użytkownicy mogą dodawać własne tunele? Czy mogą zmieniać ustawienia? Co się stanie, jeśli urządzenie ma jailbreak?

Vylos odpowiada na te pytania za pomocą trzech kluczy konfiguracji zarządzanej aplikacji, które są odczytywane przy każdym uruchomieniu aplikacji i przejściu na pierwszy plan.

Przesyłanie tuneli zarządzanych

Tunele zarządzane są dostarczane przez standardowe profile Apple .mobileconfig zawierające pakiety VPN. Profile te mogą być instalowane ręcznie, dystrybuowane przez portal webowy lub przesyłane przez MDM. Każda konfiguracja tunelu zawiera standardowe pola WireGuard — klucz prywatny interfejsu, klucz publiczny peera, punkt końcowy, dozwolone adresy IP — plus opcjonalne reguły aktywacji na żądanie.

Tunele zarządzane pojawiają się w dedykowanej sekcji „Tunele zarządzane" w Vylos. Użytkownicy mogą widzieć status tunelu i szczegóły połączenia, ale nie mogą modyfikować, usuwać ani ręcznie kontrolować tuneli zarządzanych.

Ograniczanie dostępu użytkowników

Trzy klucze ograniczeń kontrolują, co użytkownicy mogą robić:

Blokowanie ręcznych tuneli

Ustawienie allowManualTunnels na false usuwa wszystkie możliwości zarządzania tunelami dostępne użytkownikowi. Sekcja „Moje tunele" znika, przycisk Dodaj tunel jest ukryty, a wszystkie istniejące wpisy VPN tuneli aplikacji są zawieszane w Ustawieniach iOS. Same dane tuneli są zachowywane lokalnie — gdy ograniczenie zostanie zdjęte, wszystko wraca.

To kluczowe ustawienie dla środowisk, w których użytkownicy powinni korzystać wyłącznie z zatwierdzonych przez IT konfiguracji VPN. Szkoły wdrażające Vylos na iPadach uczniów, firmy z wymogami zgodności lub każda organizacja potrzebująca przewidywalnego zachowania VPN na urządzeniach.

Blokowanie ustawień

Ustawienie allowSettings na false całkowicie ukrywa ikonę Ustawień na pasku narzędzi. Jeśli ekran zostanie otwarty w inny sposób, pojawi się komunikat „Ustawienia są zarządzane przez Twoją organizację”. Użytkownicy nie mogą zmieniać metody ochrony aplikacji, eksportować archiwów tuneli ani przeglądać dzienników.

Egzekwowanie integralności urządzenia

Ustawienie blockJailbrokenDevices na true aktywuje wykrywanie jailbreaka na iOS. Vylos sprawdza wskaźniki jailbreaka za pomocą czterech metod: znane ścieżki plików jailbreaka, zarejestrowane schematy URL, próby ucieczki z piaskownicy i skanowanie wstrzykiwania bibliotek dynamicznych.

Jeśli jakiekolwiek sprawdzenie zakończy się niepowodzeniem, aplikacja wyświetla pełnoekranowy komunikat „Naruszenie zasad urządzenia", który nie może być zamknięty. Cała funkcjonalność aplikacji jest zablokowana do przywrócenia urządzenia do niezmodyfikowanego stanu. Dane tuneli są zachowywane — nic nie jest usuwane.

Sprawdzenie uruchamia się przy ładowaniu widoku głównego, więc wychwytuje jailbreaki następujące po początkowym wdrożeniu.

Obsługa opóźnionej konfiguracji

Dostarczanie konfiguracji MDM nie zawsze jest natychmiastowe. Vylos zawiera mechanizm ponawiania, który odpytuje o konfigurację zarządzaną przez okres do 30 sekund po uruchomieniu aplikacji i przejściach na pierwszy plan. Obsługuje to przypadki, gdy profil MDM dotrze nieznacznie po otwarciu aplikacji — częste przy pierwszej instalacji lub po ponownym uruchomieniu urządzenia.

Pominięcie blokady aplikacji

Gdy obecna jest jakakolwiek konfiguracja zarządzana aplikacji, Vylos automatycznie pomija wbudowaną blokadę aplikacji (Face ID, Touch ID lub TOTP). Zakłada się, że uwierzytelnianie na poziomie urządzenia jest już egzekwowane przez politykę MDM, więc druga warstwa uwierzytelniania wewnątrz aplikacji jest zbędna.

Pierwsze kroki

Profile tuneli używają standardowych pakietów VPN .mobileconfig — MDM nie jest wymagany do podstawowego wdrożenia. Dla kluczy ograniczeń skonfiguruj je przez kanał konfiguracji zarządzanej aplikacji rozwiązania MDM. Wszystkie wartości kluczy ograniczeń są ciągami znaków — "false" i "0" są interpretowane jako falsz, wszystko inne jako prawda.

Zobacz przewodnik administratora po pełną listę kluczy konfiguracji i przykładów wdrożenia.