Настройка VPN для отдельных приложений

Разверните данные Apple com.apple.vpn.managed.applayer с ProviderType=packet-tunnel: Apple выберет трафик назначенных приложений, а Vylos передаст его через WireGuard.

Порядок развёртывания

1. Создайте профиль пакетного туннеля AppLayerVPN по инструкции Профили .mobileconfig.
2. Задайте профилю уникальный VPNUUID и включите OnDemandMatchAppEnabled, если трафик назначенного приложения должен автоматически запускать туннель.
3. Доставьте VPN-профиль через MDM или установите напрямую для тестирования.
4. Установите каждое целевое приложение через MDM как управляемое и назначьте тот же VPNUUID.
5. Откройте Vylos и убедитесь, что управляемый туннель показывает Для каждого приложения и ожидаемые идентификаторы.
6. Откройте назначенное приложение и проверьте, что его трафик проходит через WireGuard, а неназначенное приложение остаётся вне туннеля.

Прямая установка профиля создаёт запись VPN, но рабочие назначения приложений может создать только MDM.

Распределение обязанностей

• Профиль конфигурации устанавливает туннель AppLayerVPN через MDM или прямую установку .mobileconfig.
• MDM назначает VPNUUID профиля управляемым приложениям и заменяет либо удаляет назначения. Прямая установка профиля сама по себе не создаёт рабочие связи «приложение — VPN».
• Операционная система Apple создаёт правила исходных приложений, проверяет совпадение приложений и доменов, запускает туннель по требованию и отправляет поставщику только совпавший трафик.
• Vylos показывает принадлежащий профилю VPN как управляемый туннель только для чтения и передаёт трафик через WireGuard.
• Сервер WireGuard получает обычные пакеты WireGuard и не требует специальной реализации AppLayerVPN.

Система применяет назначение приложения до поступления совпавшего трафика в Vylos. Маршрут выбирается автоматически, а конфигурация сервера WireGuard остаётся такой же, как для общесистемного туннеля.

Vylos не создаёт, не редактирует и не удаляет рабочие сопоставления приложений. Туннели AppLayerVPN также исключены из Команд Siri, поскольку их жизненным циклом управляют MDM и Настройки Apple.

Что показывает Vylos

На экране сведений каждого туннеля есть раздел Маршрутизация приложений только для чтения:

• Туннель AppLayerVPN показывает Для каждого приложения и идентификаторы подписи, которые Apple сообщает для приложений, назначенных через MDM. Если правило содержит фильтры назначения, Vylos показывает совпавшие домены. Идентификатор вроде com.example.corporate-app может отображаться буквально, поскольку Apple не раскрывает название каждого приложения.
• Обычный пакетный туннель по IP назначения показывает Всё устройство и Все приложения. Это значит, что подходящий трафик следует маршрутам туннеля, а не что Vylos проверил или перечислил все запущенные приложения.

API пакетного туннеля Apple не предоставляет надёжный список процессов для общесистемного VPN. Поэтому Vylos не может показать отдельные приложения, использующие обычный VPN, и не пытается вывести такой список из счётчиков трафика.

Поддерживаемые возможности

Путь пакетного туннеля Vylos поддерживает следующие возможности AppLayerVPN:

• Связи VPNUUID для управляемых MDM приложений.
• Автоматическое включение через OnDemandMatchAppEnabled, когда назначенное приложение начинает сетевой обмен.
• Маршрутизацию исходных приложений, предоставляемую операционной системой Apple.
• AssociatedDomains, ExcludedDomains и SafariDomains с учётом требований Apple к платформе и доменным связям.
• SMBDomains и поля доменов отдельных служб на платформах, где Apple их предоставляет.
• Правила отключения по требованию, которые указывают системе, когда совпавшие приложения должны обходить туннель.
• Состояние Vylos только для чтения, текущее рукопожатие WireGuard, счётчики трафика, историю пропускной способности, журналы и названия уведомлений полученного управляемого туннеля.
• Идентификаторы подписи приложений и совпавшие домены, сообщаемые системой, только для чтения.

Apple оценивает правила приложений и доменов до поступления пакетов в Vylos. Эти поля остаются под управлением MDM и не показываются как редактируемые правила Vylos по требованию.

Создание VPN-профиля

Создайте данные AppLayerVPN по справочнику Профили .mobileconfig. Эта страница — основной источник идентификаторов поставщика Vylos, VPNUUID, способа передачи конфигурации WireGuard и полного примера профиля.

Установите OnDemandMatchAppEnabled в true, если трафик назначенного приложения должен автоматически запускать туннель.

OnDemandMatchAppEnabled гарантирует автоматический запуск, но не немедленное завершение туннеля после закрытия приложения. Система может сохранить соединение для повторного использования, однако правила по-прежнему ограничивают приложения, способные отправлять трафик через туннель.

Совпавшее правило отключения по требованию управляет обходом при соответствующих сетевых условиях.

Назначение приложений

iOS, iPadOS и visionOS

Установите каждое целевое приложение как управляемое и назначьте ему тот же VPNUUID, что в данных AppLayerVPN. Система создаёт по одному правилу для каждого совпавшего назначения.

Safari — особый случай: Apple использует SafariDomains для выбора сайтов, работающих через туннель. Общее сопоставление не может направить все системные приложения Apple через VPN для приложений.

Замена или удаление назначения

В iOS, iPadOS и visionOS связь приложения с VPN — отдельный атрибут управляемого приложения, а не часть профиля AppLayerVPN. Поэтому замена или удаление только VPN-профиля не удаляет существующую связь VPNUUID.

При изменении назначения служба MDM должна обновить ApplicationAttributes приложения, удалив старый VPNUUID. Если консоль MDM показывает, что назначение удалено, а Vylos всё ещё показывает приложение, повторно отправьте или обновите назначение установки либо конфигурации управляемого приложения.

В разных MDM эта операция может называться Переустановить, Обновить или Повторно отправить команду установки. Не удаляйте VPN-профиль только ради скрытия устаревшего правила.

Vylos показывает правила, которые система сообщает сейчас. Нет назначенных приложений появится только после удаления Apple атрибута управляемого приложения и созданного им правила.

Если MDM предоставляет запрос Apple ManagedApplicationAttributes, администратор может проверить, сообщает ли устройство VPNUUID приложения.

macOS

Разверните данные com.apple.vpn.managed.appmapping вместе с AppLayerVPN. Каждое сопоставление содержит идентификатор пакета и подписи, designated requirement и соответствующий VPNUUID приложения.

Используйте необязательный массив MatchTools, если VPN должны использовать только выбранные вспомогательные инструменты, запущенные приложением. Например, можно сопоставить подписанный инструмент командной строки из Терминала, не сопоставляя все соединения Терминала.

Неподдерживаемые типы поставщика

Vylos не поддерживает ProviderType=app-proxy, которому нужны отдельный поставщик пересылки потоков и сервер. Вместо этого пакеты IP WireGuard передаются через ProviderType=packet-tunnel.

Vylos также не предоставляет встроенные реализации Apple IPsec или IKEv2. Профили этих протоколов используют системные поставщики VPN, а не расширение Vylos.

Правила и поля Apple описаны в справочнике AppLayerVPN, данных сопоставления приложений, справочнике ApplicationAttributes, запросе ManagedApplicationAttributes и руководстве по маршрутизации VPN-трафика.