部署概览

请根据组织要部署的 Vylos 行为选择相应的 Apple 管理渠道。

三个独立的管理层

Vylos 通过不同的 Apple 机制支持 App 策略、设备级 VPN 和按 App VPN。它们可以单独部署，也可以组合部署到同一台受管理设备上。

目标	Apple 机制	到达设备的方式
控制 Vylos 限制和偏好设置	受管理 App 配置	MDM 将配置字典分配给受管理的 Vylos App。
安装设备级 WireGuard 隧道	`com.apple.vpn.managed` 配置描述文件	通过 MDM 下发或直接安装 `.mobileconfig` 文件。
通过 WireGuard 路由指定的受管理 App	`com.apple.vpn.managed.applayer` 加 App 分配	MDM 安装隧道，并将受管理 App 与其 `VPNUUID` 关联；仅直接安装无法分配 App。

受管理 App 配置不是 VPN 描述文件，VPN 描述文件也不会自动管理 Vylos 偏好设置。明确区分这两者，可以避免将 App 策略字典误认为可安装的 .mobileconfig 文件。

App 策略

受管理 App 配置是所有受支持键、值解析方式、优先级、刷新时机和完整示例字典的主要参考资料。管理限制说明每项强制功能对用户界面的影响。

任何非空的受管理字典都会跳过 Vylos 的 App 锁定认证，因为设备访问由组织控制。字典中的限制仍会正常执行。

配置处于活动状态时，Vylos 会先显示组织联系信息，再显示限制和受管理偏好设置。用户可以查看这些值，但无法在 Vylos 中更改。

受管理 VPN 隧道

使用 .mobileconfig 描述文件部署包含设备级和按 App 载荷的规范示例，包括 WgQuickConfigBase64。部署受管理隧道说明这些隧道在 Vylos 中的显示和行为。

Vylos 会将两类隧道都显示在专用的只读部分中。用户无需编辑组织配置，即可查看状态、路由范围、带宽、分流 DNS 和按需行为。

按 App 路由

在生产环境中，按 App 路由要求 MDM 在 iOS、iPadOS 和 visionOS 上分配受管理应用。macOS 在 AppLayerVPN 描述文件之外，还使用受管理 App 映射载荷。配置按 App VPN说明 VPNUUID 分配、应用替换与移除、支持的路由字段以及 Vylos 可以显示的信息。只安装描述文件而不进行这些分配会创建 VPN 条目，但不会选择任何 App 流量。

刷新和延迟下发

Vylos 会在启动时以及场景变为活动状态或回到前台时读取受管理 App 配置。由于 Apple 可能稍后才发布已下发的描述文件，App 回到前台后还会每两秒检查一次新 VPN 描述文件，最长持续 30 秒。

如果策略停用了手动隧道，但受管理 VPN 尚未到达，主屏幕会说明组织尚未分配隧道，而不会显示面向非受管理用户的通用空白状态。

部署检查清单

需要受管理 App 配置或按 App 路由时，将 Vylos 安装或分配为受管理 App。
选择设备级或按 App VPN，并创建相应的 .mobileconfig 载荷。
对于按 App VPN，将每个目标受管理 App 与隧道的 VPNUUID 关联。
仅添加组织确实要控制的受管理 App 配置键。
启动 Vylos 或将 App 切回前台，然后核对策略值、受管理隧道和显示的路由范围。

移除受管理 App 分配、App 配置字典和 VPN 描述文件是三个独立的管理操作。请更新部署中使用的每一层，以免设备上残留旧的 App 路由或策略。