跳到主要内容

术语表

定义 Vylos 文档中使用的 WireGuard、Apple 平台和 MDM 术语。

允许的 IP

允许的 IP 设定哪些 IP 范围通过 WireGuard 对等节点路由，通过 AllowedIPs 字段配置。Vylos 在隧道详情视图的对等节点部分显示此值。

应用创建的隧道

应用创建的隧道是你通过导入、二维码或手动输入自行添加的 WireGuard 隧道，内部标记为 TunnelSource.app。它出现在"我的隧道"部分，与托管隧道不同，可以完全编辑。

App Group

App Group 是一个共享存储容器，允许 Vylos 及其扩展（如网络扩展和 Quick Look 预览）交换隧道配置和通知偏好等数据。Quick Look 扩展刻意不访问该容器，使文件预览与实时隧道列表隔离。

AppLayerVPN

AppLayerVPN 是 Apple 的受管理按 App VPN 配置描述文件，标识符为 com.apple.vpn.managed.applayer。操作系统通过这一层选择已分配 App 的流量。

Vylos 支持其中的 packet-tunnel 提供程序模式：MDM 使用同一个 VPNUUID 关联目标 App，Apple 将匹配的 IP 数据包发送给 Vylos，再由 Vylos 通过 WireGuard 承载。Vylos 不支持单独的 app-proxy 模式。

App 路由

App 路由说明 Apple 允许哪些 App 使用受管理隧道。对于 AppLayerVPN 隧道，Vylos 会显示按 App、签名标识符，以及系统报告的匹配域名。

常规设备范围隧道会显示设备范围和所有 App，因为 Apple 不提供可靠的进程使用列表。

应用锁定

应用锁定使用 Face ID、Touch ID、设备密码或验证器应用中的 6 位 TOTP 代码来保护 Vylos。当托管应用配置存在时，应用锁定会自动停用，因为 MDM 系统已经保护了设备。

冲突检测

冲突检测会在两条或更多已启用的隧道具有重叠的按需规则时发出警告，例如两条隧道都在同一 Wi-Fi 网络上激活。Vylos 会在主屏幕上显示横幅，列出每对冲突的隧道，以便你调整规则。

配置描述文件

配置描述文件是 Apple 的 .mobileconfig 载荷，由 MDM 服务器安装到设备上以下发设置或 VPN 隧道。Vylos 使用 com.apple.vpn.managed 载荷类型来创建托管隧道，与托管应用配置分开处理。

连续互通相机

连续互通相机允许 Mac 使用配对 iPhone 的摄像头作为输入源。在 macOS 14 及更高版本上，Vylos 依赖此功能扫描 WireGuard 二维码，因为 Mac 没有适合扫描的内置摄像头。

抖动风暴

抖动风暴是由不稳定网络引起的快速连接和断开循环。Vylos 将每种通知类型限制为每 30 秒发送一次，防止抖动风暴产生大量警报。

握手

握手是 WireGuard 对等节点完成的加密交换过程，用于建立安全连接。Vylos 在隧道状态部分显示自最近一次握手以来的时间，例如"2 分钟前"。

接口

接口是 WireGuard 配置中的 [Interface] 部分，包含本地设备的私钥、地址、DNS 服务器和监听端口。Vylos 在应用隧道详情视图的接口部分显示这些字段。

越狱检测

越狱检测使用四种方法检查 iOS 设备是否被篡改：可疑文件路径、URL scheme 注册、沙盒逃逸测试和已加载动态库扫描。Vylos 仅在 blockJailbrokenDevices MDM 密钥启用时，才会在检测到越狱时阻止应用访问。

钥匙串存储

钥匙串存储将隧道配置保存在设备钥匙串和应用数据库中，而非系统 VPN 存储。系统条目仅持有 passwordReference 指针，防止私钥暴露在安全性较低的系统存储中。

终止开关

终止开关会阻止大多数普通网络流量绕过已启用的按需隧道。用户创建的隧道会在 .vylos 文件中将此选项存储为 Routing.KillSwitch，而受管理隧道使用 Apple 描述文件字段 VPN.IncludeAllNetworks。WireGuard 的 AllowedIPs 仍决定对等节点可以承载哪些目的地址，因此不完整的路由集会成为严格的允许列表，而不是全隧道。

Apple 仍会允许网络控制和某些设备服务所需的流量。因此，该术语并不表示每个系统数据包都会进入 VPN。

托管应用配置

托管应用配置是 MDM 下发的配置，Vylos 从 Apple 的 com.apple.configuration.managed 键读取。其存在会自动绕过应用锁定，并可设置三个限制密钥中的任何一个。

托管隧道

托管隧道是组织通过配置描述文件部署的 WireGuard 隧道，内部标记为 TunnelSource.managed。它以只读方式显示在"托管隧道"部分，移除描述文件后会自动删除。

匹配域名

匹配域名指定哪些域名的 DNS 查询通过隧道的 DNS 服务器路由，而非默认网络。将 corp.example.com 添加为匹配域名后，server.corp.example.com 的查询将通过隧道路由。

MDM

MDM（移动设备管理）是企业系统的统称，包括 Jamf、Kandji、Intune、Workspace ONE 和 Mosyle 等，IT 管理员使用这些系统来配置和保护设备。Vylos 可与任何支持托管应用配置和配置描述文件的 MDM 集成。

网络扩展

网络扩展是在后台运行实际 WireGuard 隧道的系统进程，与 Vylos 主应用进程分离。Vylos 与其通信以发送提供程序消息、收集带宽快照和写入 WireGuard 诊断日志。

按需规则

按需规则在设备加入匹配的蜂窝、Wi-Fi 或以太网网络时自动连接隧道。每条规则位于隧道 .vylos 设置文件的 [OnDemandRule] 部分中，只要任何一条规则匹配，隧道即会激活。

Optic ID

Optic ID 是 Apple Vision Pro 基于眼部的生物识别认证系统。Vylos 的应用锁定在 visionOS 上回退到密码提示，而非直接标记为 Optic ID。

悬浮组件

悬浮组件是 visionOS 的 UI 元素，悬浮在窗口主内容之外，锚定在窗口的某一边缘。Vylos 在主场景周围使用四个悬浮组件，分别用于状态、活跃隧道、快捷操作和上下文隧道控制。

对等节点

对等节点是 WireGuard 配置中的 [Peer] 部分，通过公钥、允许的 IP 和地址描述一个远程端点。一条隧道可以定义多个对等节点，Vylos 在隧道详情视图中列出每个对等节点。

按 App VPN

按 App VPN 是 Apple AppLayerVPN 路由模式面向用户的名称。MDM 通过 VPNUUID 将指定的受管理 App 分配给隧道；这些 App 使用 WireGuard，未分配的 App 则保持在隧道之外。

操作系统负责选择和激活规则。Vylos 通过 WireGuard 承载选中的流量，并将受管理隧道显示为只读。

持久保活

持久保活定期向对等节点发送数据包，保持 NAT 和防火墙映射在实际流量之间保持打开状态。Vylos 在隧道详情视图的对等节点部分显示配置的间隔，例如"每 25 秒"。

Quick Look

Quick Look 是 Apple 的系统框架，用于在不打开所属应用的情况下预览文件内容。Vylos 附带 Quick Look 扩展，可在访达和文件应用中预览 .conf、.vylos 和 .zip 隧道文件。

限制密钥

限制密钥是三项设置——allowManualTunnels、allowSettings 和 blockJailbrokenDevices——由 MDM 管理员通过托管应用配置进行设置。Vylos 使用统一的 true/false 规则解析每个字符串值。

Rx 和 Tx

Rx 和 Tx 是 Vylos 为每条隧道跟踪的接收和发送字节数。带宽图表和隧道列表摘要均显示当前会话的这些总计值。

搜索域名

搜索域名是当首次查询失败时，Vylos 附加到裸主机名查询的回退域名。将 example.com 添加为搜索域名后，对 intranet 的失败查询将重试为 intranet.example.com。

Siri 快捷指令

Siri 快捷指令允许你通过语音命令或快捷指令应用连接、断开、切换或编辑指定名称的隧道。MDM 托管的设备始终允许使用 Siri 快捷指令，绕过通常限制其使用的应用锁定。

DNS 分流

DNS 分流将特定域名的 DNS 查询通过 VPN 隧道路由，其他所有查询则使用默认网络。你可以在 .vylos 设置文件的 [SplitDNS] 部分中使用匹配域名和搜索域名按隧道进行配置。

Spotlight

Spotlight 是 Apple 的全系统搜索索引，Vylos 会将应用创建的隧道名称发布到其中，以便匹配的搜索直接打开隧道。应用锁定启用期间索引会自动清除，防止隧道名称在锁定设备上泄露。

系统条目

系统条目是操作系统级别的 VPN 配置记录，即 NETunnelProviderManager，出现在设备的设置应用中。Vylos 管理的每条隧道，无论是应用创建的还是托管的，都有对应的系统条目。

TOTP

TOTP（基于时间的一次性密码）是验证器应用（如 Google Authenticator 或 Authy）生成的 6 位代码，每 30 秒轮换一次。Vylos 接受当前时间段以及前后各一个时间段的代码，以容忍微小的时钟差异。

VPNUUID

VPNUUID 是连接 AppLayerVPN 描述文件与 MDM 受管理 App 分配关系的标识符。VPN 描述文件和每个已分配 App 必须使用相同的值。

替换或移除 VPN 描述文件不会自动清除 App 分配关系；MDM 还必须更新该受管理 App 的属性。

.vylos 格式

.vylos 格式是一个 ZIP 归档文件，将未经修改的 WireGuard .conf 文件与可选的 settings.conf 文件配对，用于 DNS 分流、按需规则和终止开关行为。它在不修改 WireGuard 配置的前提下对其进行扩展，因此同一 .conf 文件仍然可以与任何其他 WireGuard 客户端配合使用。