Терминология

Определения терминов WireGuard, платформ Apple и MDM, используемых в документации Vylos.

Разрешённые IP-адреса

Разрешённые IP-адреса определяют, какие диапазоны IP маршрутизируются через пир WireGuard. Они задаются в поле AllowedIPs. Vylos отображает это значение в разделе «Пир» экрана подробностей туннеля.

Туннель приложения

Туннель приложения — это туннель WireGuard, который вы добавляете самостоятельно через импорт, QR-код или ручной ввод. Внутренне он отслеживается как TunnelSource.app. Он отображается в разделе «Мои туннели» и остаётся полностью редактируемым, в отличие от управляемого туннеля.

Группа приложений

Группа приложений (App Group) — это общее хранилище, позволяющее Vylos и его расширениям, таким как сетевое расширение и расширение Quick Look, обмениваться данными: конфигурациями туннелей и настройками уведомлений. Расширение Quick Look намеренно не имеет доступа к этому хранилищу, обеспечивая изоляцию предпросмотра файлов от списка активных туннелей.

AppLayerVPN

AppLayerVPN — это управляемый профиль конфигурации VPN для отдельных приложений Apple с идентификатором com.apple.vpn.managed.applayer. На этом уровне операционная система выбирает трафик назначенных приложений.

Vylos поддерживает режим поставщика packet-tunnel: MDM связывает целевые приложения общим значением VPNUUID, Apple передаёт совпавшие IP-пакеты Vylos, а Vylos отправляет их через WireGuard. Отдельный режим app-proxy не поддерживается.

Маршрутизация приложений

Маршрутизация приложений определяет, каким приложениям Apple разрешает использовать управляемый туннель. Для туннеля AppLayerVPN Vylos показывает Для каждого приложения, идентификаторы подписи и совпавшие домены, сообщённые системой.

Обычный общесистемный туннель показывает На всём устройстве и Все приложения, поскольку Apple не предоставляет надёжный список использующих его процессов.

Блокировка приложения

Блокировка приложения защищает Vylos с помощью Face ID, Touch ID, кода-пароля устройства или 6-значного TOTP-кода из приложения-аутентификатора. Она автоматически отключается при наличии Управляемая конфигурация приложения, поскольку безопасность устройства уже обеспечивается системой MDM.

Обнаружение конфликтов

Обнаружение конфликтов предупреждает вас, когда два или более включённых туннеля имеют пересекающиеся правила подключения по запросу, например, оба активируются в одной и той же сети Wi-Fi. Vylos отображает баннер на главном экране с перечислением каждой конфликтующей пары, чтобы вы могли скорректировать правила.

Профиль конфигурации

Профиль конфигурации — это содержимое Apple .mobileconfig, которое MDM-сервер устанавливает на устройство для передачи настроек или VPN-туннеля. Vylos использует тип содержимого com.apple.vpn.managed для создания управляемых туннелей, отдельно от Managed App Configuration.

Continuity Camera

Continuity Camera позволяет Mac использовать камеру подключённого iPhone в качестве источника ввода. Vylos использует эту функцию для сканирования QR-кодов WireGuard на macOS 14 и новее, так как у Mac нет встроенной камеры, пригодной для сканирования.

Шквал переключений

Шквал переключений — это быстрый цикл подключений и отключений, вызванный нестабильной сетью. Vylos ограничивает частоту каждого типа уведомлений до одной отправки каждые 30 секунд, чтобы шквал переключений не заваливал вас оповещениями.

Подтверждение связи

Подтверждение связи — это криптографический обмен, который пиры WireGuard выполняют для установления защищённого соединения. Vylos отображает время с момента последнего подтверждения связи в разделе «Статус» туннеля, например «2 минуты назад».

Интерфейс

Интерфейс — это раздел [Interface] конфигурации WireGuard, содержащий закрытый ключ локального устройства, адрес, DNS-серверы и порт прослушивания. Vylos отображает эти поля в разделе «Интерфейс» экрана подробностей туннеля приложения.

Обнаружение джейлбрейка

Обнаружение джейлбрейка проверяет устройство iOS на признаки модификации с помощью четырёх методов: проверка подозрительных путей к файлам, зарегистрированных URL-схем, тест на выход из песочницы и сканирование загруженных динамических библиотек. Vylos блокирует доступ к приложению при обнаружении джейлбрейка только когда ключ MDM blockJailbrokenDevices включён.

Хранение с привязкой к Keychain

Хранение с привязкой к Keychain сохраняет конфигурацию туннеля в связке ключей устройства и базе данных приложения вместо системного хранилища VPN. Системная запись содержит только указатель passwordReference, предотвращая попадание закрытых ключей в менее защищённое системное хранилище.

Аварийный выключатель

Аварийный выключатель не позволяет большинству обычного сетевого трафика обходить активированный туннель по запросу. Для туннелей приложения этот параметр хранится как Routing.KillSwitch в файле .vylos, а для управляемых туннелей используется поле профиля Apple VPN.IncludeAllNetworks. Параметр WireGuard AllowedIPs по-прежнему определяет, к каким адресам пир может направлять трафик, поэтому неполный набор маршрутов превращается в строгий список разрешений, а не в полный туннель.

Apple по-прежнему пропускает трафик, необходимый для управления сетью и некоторых служб устройства. Поэтому этот термин не означает, что буквально каждый системный пакет проходит через VPN.

Управляемая конфигурация приложения

Managed App Configuration — это конфигурация, доставляемая через MDM, которую Vylos считывает из стандартного ключа Apple com.apple.configuration.managed. Её наличие автоматически обходит блокировку приложения и позволяет задавать любой из трёх ключей ограничений.

Управляемый туннель

Управляемый туннель — это туннель WireGuard, который ваша организация развёртывает через профиль конфигурации. Внутренне он отслеживается как TunnelSource.managed. Он отображается в режиме «только для чтения» в разделе «Управляемые туннели» и автоматически удаляется при удалении профиля.

Домены соответствия

Домены соответствия — это домены, DNS-запросы которых маршрутизируются через DNS-серверы туннеля вместо сети по умолчанию. Добавление corp.example.com в качестве домена соответствия направляет запросы к server.corp.example.com через туннель.

MDM

MDM (управление мобильными устройствами) — это класс корпоративных систем, таких как Jamf, Kandji, Intune, Workspace ONE и Mosyle, которые IT-администраторы используют для настройки и защиты парков устройств. Vylos интегрируется с любой MDM-системой, поддерживающей Управляемая конфигурация приложения и профили конфигурации.

Сетевое расширение

Сетевое расширение — это фоновый системный процесс, который выполняет собственно туннель WireGuard, отдельно от основного процесса приложения Vylos. Vylos взаимодействует с ним для отправки сообщений провайдера, сбора статистики пропускной способности и записи диагностического журнала WireGuard.

Правила подключения по запросу

Правила подключения по запросу автоматически подключают туннель, когда ваше устройство присоединяется к соответствующей сети: сотовой, Wi-Fi или Ethernet. Каждое правило содержится в разделе [OnDemandRule] файла настроек .vylos туннеля; туннель активируется, если хотя бы одно правило совпадает.

Optic ID

Optic ID — это система биометрической аутентификации Apple Vision Pro на основе сканирования глаз. Блокировка приложения Vylos на visionOS запрашивает код-пароль, не используя наименование Optic ID напрямую.

Декоративный элемент (Ornament)

Декоративный элемент (Ornament) — это элемент интерфейса visionOS, который располагается за пределами основного содержимого окна и прикреплён к одному из его краёв. Vylos окружает основную сцену четырьмя декоративными элементами для отображения статуса, активных туннелей, быстрых действий и контекстного управления туннелем.

Пир

Пир — это раздел [Peer] конфигурации WireGuard, описывающий одну удалённую конечную точку по её открытому ключу, разрешённым IP-адресам и адресу. Туннель может определять несколько пиров, и Vylos перечисляет каждый из них в экране подробностей туннеля.

VPN для отдельных приложений

VPN для отдельных приложений — пользовательское название модели маршрутизации AppLayerVPN от Apple. MDM назначает выбранные управляемые приложения туннелю через VPNUUID; эти приложения используют WireGuard, а неназначенные остаются вне туннеля.

Операционная система управляет выбором и активацией. Vylos передаёт выбранный трафик через WireGuard и показывает управляемый туннель только для чтения.

Постоянная проверка активности

Постоянная проверка активности (Постоянный Keepalive) отправляет периодический пакет пиру, чтобы таблицы NAT и брандмауэра оставались открытыми между реальным трафиком. Vylos отображает настроенный интервал, например «Каждые 25 секунд», в разделе «Пир» экрана подробностей туннеля.

Quick Look

Quick Look — это системная платформа Apple для предпросмотра содержимого файла без открытия соответствующего приложения. Vylos включает расширение Quick Look для предпросмотра файлов туннелей .conf, .vylos и .zip в Finder и приложении «Файлы».

Ключи ограничений

Ключи ограничений — это три параметра: allowManualTunnels, allowSettings и blockJailbrokenDevices, которые MDM-администратор задаёт через Managed App Configuration. Vylos интерпретирует каждый ключ из строкового значения по единому правилу true/false.

Rx и Tx

Rx и Tx — это количество принятых и переданных байтов, которое Vylos отслеживает для каждого туннеля. Графики пропускной способности и сводка в списке туннелей отображают эти значения для текущей сессии.

Домены поиска

Домены поиска — это резервные домены, которые Vylos добавляет к запросу с кратким именем хоста, если первый поиск завершился неудачей. Добавление example.com в качестве домена поиска повторяет неудачный запрос для intranet как intranet.example.com.

Команды Siri

Команды Siri позволяют подключать, отключать, переключать или редактировать именованный туннель голосовыми командами или через приложение «Команды». На устройствах, управляемых MDM, команды Siri всегда разрешены, минуя блокировку приложения, которая в остальных случаях ограничивает их.

Раздельная DNS

Раздельная DNS маршрутизирует DNS-запросы для определённых доменов через VPN-туннель, при этом все остальные запросы остаются в сети по умолчанию. Она настраивается для каждого туннеля отдельно с помощью доменов соответствия и доменов поиска в разделе [SplitDNS] файла настроек .vylos.

Spotlight

Spotlight — это общесистемный поисковый индекс Apple. Vylos публикует имена ваших туннелей приложения в этот индекс, чтобы совпадающий поиск открывал туннель напрямую. Индекс автоматически очищается, пока активна блокировка приложения, предотвращая утечку имён туннелей на заблокированном устройстве.

Системная запись

Системная запись — это конфигурация VPN на уровне операционной системы (NETunnelProviderManager), которая отображается в приложении «Настройки» устройства. Каждый туннель, которым управляет Vylos, будь то туннель приложения или управляемый, имеет соответствующую системную запись.

TOTP

TOTP (одноразовый пароль на основе времени) — это 6-значный код, который приложение-аутентификатор, такое как Google Authenticator или Authy, генерирует и обновляет каждые 30 секунд. Vylos принимает коды из текущего периода, а также одного периода до и одного после, чтобы компенсировать небольшие расхождения часов.

VPNUUID

VPNUUID — идентификатор, связывающий профиль AppLayerVPN с назначениями приложений, которыми управляет MDM. Профиль VPN и каждое назначенное приложение должны использовать одно значение.

Замена или удаление профиля VPN не удаляет назначение приложения автоматически. MDM должен также обновить атрибуты этого управляемого приложения.

Формат .vylos

Формат .vylos — это ZIP-архив, объединяющий неизменённый файл WireGuard .conf с необязательным файлом settings.conf для раздельной DNS, правил подключения по запросу и поведения аварийного выключателя. Он расширяет стандартную конфигурацию WireGuard, не модифицируя её, поэтому тот же файл .conf по-прежнему работает с любым другим клиентом WireGuard.