Konfiguracja na żądanie
Wybierz sieci, w których każdy tunel ma łączyć się automatycznie.
Konfiguracja
- Otwórz tunel utworzony przez użytkownika i wybierz Edytuj albo rozpocznij tworzenie nowego tunelu.
- Otwórz kartę Vylos w formularzu tunelu.
- Włącz obsługiwane warunki sieciowe, które tunel ma monitorować.
- Dla Wi-Fi wybierz Dowolne SSID, Tylko te SSID lub Z wyjątkiem tych SSID, a następnie podaj wymagane nazwy sieci.
- Opcjonalnie włącz Blokuj połączenia bez VPN.
- Zapisz tunel i włącz jego przełącznik Na żądanie.
Reguły Na żądanie dotyczą pojedynczego tunelu. Tunele zarządzane otrzymują reguły z profilu VPN organizacji i nie można ich edytować w Vylos.
Jak to działa
Gdy reguły Na żądanie są włączone, system operacyjny monitoruje zmiany sieci i aktywuje lub dezaktywuje tunel bez ręcznej interwencji. Vylos zapisuje te reguły razem z Podzielonym DNS w ustawieniach Vylos tunelu.
Sieć komórkowa
Przełącznik Sieć komórkowa określa, czy tunel ma się automatycznie aktywować przy połączeniu komórkowym; tę regułę ocenia iOS. macOS i visionOS pokazują wartość z oznaczeniem Tylko iOS, aby można było edytować, importować i eksportować jedną uniwersalną konfigurację bez utraty danych.
Obecny sprzęt Apple Vision Pro nie ma interfejsu komórkowego, dlatego ta reguła nie może uruchomić się w visionOS.
notatka
Wyliczenie typów interfejsów Network Extension firmy Apple zawiera przypadek cellular, aby dane reguł można było przenosić. Pasuje on tylko wtedy, gdy bieżącym głównym interfejsem sieciowym urządzenia jest sieć komórkowa; jego obecność w SDK visionOS nie oznacza, że Vision Pro ma modem komórkowy.
Ethernet
Przełącznik Ethernet określa, czy tunel ma się automatycznie aktywować przez Ethernet; tę regułę ocenia macOS. iOS i visionOS pokazują wartość z oznaczeniem Tylko macOS i zachowują ją do użycia po przeniesieniu konfiguracji na Maca.
Wszystkie trzy aplikacje pokazują oba przełączniki. Platforma pomija nieobsługiwaną regułę, ale zachowuje jej wartość w tunelu i eksportowanym pliku .vylos.
Na obecnym sprzęcie Vision Pro jedynym interfejsem sieciowym, który może spełnić regułę Na żądanie, jest Wi-Fi.
Wi-Fi
Ustawienie Wi-Fi ma cztery tryby:
| Tryb | Działanie |
|---|---|
| Wyłączona | Tunel nie aktywuje się automatycznie w sieci Wi-Fi. |
| Dowolne SSID | Tunel aktywuje się w dowolnej sieci Wi-Fi. |
| Tylko te SSID | Tunel aktywuje się tylko po połączeniu z jednym z podanych SSID. |
| Z wyjątkiem tych SSID | Tunel aktywuje się we wszystkich sieciach Wi-Fi poza podanymi SSID. |
Dla opcji Tylko te SSID lub Z wyjątkiem tych SSID podaj co najmniej jedno SSID. Jeśli lista jest pusta, formularz wyświetli komunikat sprawdzający.
Wyłącznik awaryjny
Włącz Blokuj połączenia bez VPN, aby zastosować do tego tunelu systemowe trasowanie wszystkich sieci firmy Apple. Jeśli uzbrojony tunel Na żądanie stanie się niedostępny, system operacyjny zablokuje większość ruchu zamiast od razu wrócić do niezabezpieczonej sieci.
Opcja staje się dostępna po skonfigurowaniu co najmniej jednej reguły Na żądanie. Wyłączenie ostatniej reguły wyłącza także wyłącznik awaryjny, ponieważ to zachowanie wymaga tunelu monitorowanego automatycznie.
Ustawienie dotyczy wyłącznie wybranego tunelu utworzonego przez użytkownika i jest zapisywane w jego pliku .vylos. W przypadku tunelu zarządzanego organizacja kontroluje odpowiednią wartość profilu Apple IncludeAllNetworks, a Vylos wyświetla ją tylko do odczytu.
Wpływ dozwolonych IP na wyłącznik awaryjny
Wyłącznik awaryjny i AllowedIPs mają osobne zadania: wyłącznik nie pozwala systemowi operacyjnemu ominąć VPN, a AllowedIPs nadal określa, który peer może obsłużyć każdy cel. Włączenie wyłącznika nie powoduje dodawania, usuwania ani rozszerzania AllowedIPs przez Vylos.
| Połączone trasy peerów | Możliwe połączenia | Etykieta Vylos |
|---|---|---|
| Wszystkie adresy IPv4 i IPv6 | IPv4 i IPv6 używają VPN. | Pełna ochrona tunelu |
| Tylko cały zakres IPv4 albo tylko cały zakres IPv6 | Objęta rodzina adresów używa VPN; druga jest blokowana bez własnej trasy. | Ograniczony dostęp do sieci |
| Wybrane sieci lub hosty | Łączyć mogą się tylko cele należące do tych tras. | Ograniczony dostęp do sieci |
| Brak tras | Zwykły ruch IP jest blokowany. | Brak tras wychodzących |
Typowa wartość pełnego tunelu dual-stack to 0.0.0.0/0, ::/0. Każdy serwer DNS musi również należeć do AllowedIPs co najmniej jednego peera; w przeciwnym razie Vylos ostrzega, że serwer zostanie zablokowany.
informacja
Apple wyłącza z trasowania VPN dla wszystkich sieci ruch potrzebny do sterowania siecią i niektórych usług urządzenia, na przykład DHCP, uzgadnianie portali przechwytujących, wybrane usługi komórkowe i komunikację z urządzeniami towarzyszącymi. Wyłącznik blokuje więc większość zwykłego ruchu aplikacji, ale nie gwarantuje, że każdy pakiet systemowy trafi do VPN. Zobacz dokumentację Apple dotyczącą includeAllNetworks.
Działanie tunelu Na żądanie
Stany tunelu z włączonymi regułami Na żądanie mają inne znaczenie niż w przypadku zwykłego tunelu:
- Na żądanie (żółty) — Reguły Na żądanie są aktywne, ale tunel nie jest połączony. System monitoruje warunki sieciowe i połączy tunel po wykryciu dopasowania.
- Łączenie — Dopasowana reguła poprosiła system operacyjny o uruchomienie tunelu.
- Na żądanie (zielony na liście) / Połączony (zielony w szczegółach) — Tunel jest połączony, ponieważ bieżąca sieć pasuje do reguły Na żądanie. Lista nadal wskazuje automatyczną aktywację, a ekran szczegółów pokazuje bieżący stan połączenia.
- Rozłączanie — Połączenie jest zatrzymywane, ponieważ warunek przestał być spełniony lub wyłączono automatyczną aktywację.
- Rozłączony (szary) — Tunel nadal ma skonfigurowane reguły Na żądanie, ale automatyczna aktywacja jest wyłączona.
Przełącznik tunelu Na żądanie włącza lub wyłącza jego reguły Na żądanie; nie łączy ani nie rozłącza tunelu bezpośrednio.
Automatyczne sprawdzanie po powrocie do aplikacji
Gdy Vylos wraca na pierwszy plan, sprawdza, czy system operacyjny nadal ma włączone reguły Na żądanie każdego tunelu, i w razie potrzeby przywraca ten stan. Następnie system decyduje o połączeniu na podstawie bieżącej sieci i reguł; Vylos nie wymusza połączenia, gdy żadna reguła nie pasuje.
Wykrywanie konfliktów Na żądanie
Gdy włączone reguły Na żądanie co najmniej dwóch tuneli nakładają się, Vylos wyświetla ostrzeżenie u góry listy w iOS, macOS i visionOS. Działanie może być nieprzewidywalne, ponieważ system może nie wiedzieć, który tunel uruchomić.
Poniższe obrazy przedstawiają układ w iOS.
Otwórz ostrzeżenie, aby zobaczyć wszystkie konflikty. Każdy wpis wskazuje dwa tunele i przyczynę konfliktu.
Typy konfliktów
| Typ konfliktu | Opis |
|---|---|
| Nakładanie sieci komórkowej | Oba tunele mają się aktywować w sieci komórkowej. |
| Nakładanie Ethernet | Oba tunele mają się aktywować przez Ethernet w macOS. |
| Nakładanie Dowolne SSID | Oba tunele mają się aktywować w dowolnej sieci Wi-Fi. |
| Nakładanie określonych SSID | Oba tunele mają się aktywować dla co najmniej jednego wspólnego SSID. |
| Nakładanie większości sieci Wi-Fi | Oba tunele mają szerokie reguły Wi-Fi, na przykład dwie listy wykluczeń, obejmujące większość sieci. |
Edytuj jeden z tuneli i dostosuj jego reguły Na żądanie, aby nie nakładały się już na reguły drugiego tunelu.
Reguły Na żądanie w .vylos
Reguły Na żądanie są zapisywane razem z Podzielonym DNS we wpisie settings.conf archiwum .vylos. Oficjalny wykaz kluczy i przykłady znajdziesz na stronie Format pliku Vylos.