Перейти к основному содержимому

Правила подключения по запросу и раздельная DNS: автоматический VPN без лишней нагрузки

Jacky LiangJacky Liang

Простейшая настройка VPN — это переключатель: включено или выключено. Но на практике это означает, что пользователи либо забывают подключиться, когда следует, либо направляют весь трафик через туннель, когда в этом нет необходимости, — расходуя пропускную способность и увеличивая задержку для сервисов, не требующих VPN-доступа.

Vylos 1.2.0 добавляет правила активации по запросу и раздельную DNS для решения обеих проблем.

Активация по запросу

Правила подключения по запросу указывают Vylos, когда автоматически подключать или отключать туннель на основе сетевых условий. Ручное переключение не требуется.

Каждый туннель может быть настроен с правилами для двух типов сетей:

  • Сотовая (iOS) или Ethernet (macOS) — автоматическое подключение при использовании сотовых данных или проводного соединения
  • Wi-Fi — четыре режима:
    • Выкл. — без автоматической активации на Wi-Fi
    • Любой SSID — подключение на любой сети Wi-Fi
    • Только эти SSID — подключение только в определённых сетях (белый список)
    • Кроме этих SSID — подключение на всех сетях Wi-Fi, кроме определённых (чёрный список)

Режимы на основе SSID особенно полезны для организаций. «Только эти SSID» гарантирует, что VPN активируется в офисной Wi-Fi, но не в домашних сетях сотрудников. «Кроме этих SSID» работает наоборот — VPN остаётся включённым везде, кроме доверенной корпоративной сети, где трафик уже маршрутизируется внутри.

Обнаружение конфликтов

Когда у нескольких туннелей включены правила подключения по запросу, они могут конфликтовать. Два туннеля, настроенные на активацию по сотовой сети, или два туннеля, претендующие на один и тот же SSID, — результат непредсказуем.

Vylos обнаруживает четыре типа пересечений:

  • Пересечение по сотовой или Ethernet
  • Пересечение по Wi-Fi «Любой SSID»
  • Пересечение по конкретным SSID (два туннеля претендуют на одно и то же имя сети)
  • Широкое пересечение по Wi-Fi (один туннель на «Любой» конфликтует с другим на конкретных SSID)

При обнаружении конфликта Vylos отображает предупреждение, чтобы администраторы или пользователи могли разрешить конфликт до возникновения непредвиденного поведения. Предупреждение носит информационный характер — оно не препятствует сохранению конфигурации.

Раздельная DNS

Стандартные VPN-конфигурации направляют все DNS-запросы через туннель. Это работает, но означает, что каждый DNS-запрос — даже для публичных сервисов — проходит через VPN-сервер. Для организаций с внутренними именами хостов, которые разрешаются только через корпоративный DNS, это заставляет весь трафик проходить через туннель ради доступа к нескольким внутренним сервисам.

Раздельная DNS меняет это. Каждый туннель может быть настроен с двумя наборами доменов:

Домены соответствия — DNS-запросы для этих конкретных доменов направляются через туннель. Всё остальное использует DNS по умолчанию. Например, установка corp.example.com в качестве домена соответствия означает, что только запросы к этому домену (и его поддоменам) проходят через VPN.

Домены поиска — добавляются к запросам с краткими именами хостов. Если пользователь вводит intranet в браузере, устройство добавляет домен поиска для запроса intranet.example.com, который затем разрешается через DNS туннеля.

Результат — внутренние ресурсы доступны через VPN, а внешний трафик проходит нормально. Это снижает нагрузку на VPN-сервер и повышает производительность для всего, что не требует доступа через туннель.

Формат файла Vylos

Стандартные файлы WireGuard .conf не поддерживают правила подключения по запросу или раздельную DNS — этих функций просто нет в спецификации конфигурации WireGuard. Вместо того чтобы добавлять пользовательские поля в формат .conf, что нарушило бы совместимость с другими клиентами WireGuard, мы создали формат .vylos.

Файл .vylos — это ZIP-архив, объединяющий стандартный файл WireGuard .conf с отдельным файлом настроек для правил подключения по запросу и конфигурации раздельной DNS. Конфигурация WireGuard остаётся нетронутой — без пользовательских полей, без проприетарных расширений. Дополнительные настройки хранятся в собственном файле внутри архива.

Это обеспечивает единообразие и чистоту. Файл .conf, экспортированный из Vylos, работает в любом клиенте WireGuard. Файл .vylos содержит полную конфигурацию, включая правила подключения по запросу и раздельную DNS, но только Vylos умеет его читать.

Экспорт поддерживает три варианта формата: только .conf, только .vylos или оба.

Начало работы

Правила подключения по запросу и раздельная DNS доступны в Vylos 1.2.0 для iOS, macOS и visionOS. Настраивайте их для каждого туннеля через форму редактирования туннеля или передавайте через MDM в конфигурациях управляемых туннелей.

Подробности настройки см. в руководстве пользователя, варианты развёртывания через MDM — в руководстве администратора.