نشر VPN على الأجهزة الخاضعة للإشراف مع MDM
تثبيت ملف تعريف VPN على جهاز خاضع للإشراف أمر مباشر — تتعامل صيغة .mobileconfig من Apple مع ذلك. الجزء الأصعب هو التحكم فيما يحدث داخل عميل VPN نفسه. هل يمكن للمستخدمين إضافة أنفاقهم الخاصة؟ هل يمكنهم تغيير الإعدادات؟ ماذا يحدث إذا كان الجهاز مكسور الحماية؟
يجيب Vylos على هذه الأسئلة من خلال ثلاثة مفاتيح إعدادات تطبيق مُدارة تُقرأ عند كل تشغيل للتطبيق وانتقال إلى المقدمة.
دفع الأنفاق المُدارة
تُسلَّم الأنفاق المُدارة من خلال ملفات تعريف Apple القياسية بصيغة .mobileconfig تحتوي على حمولات VPN. يمكن تثبيت هذه الملفات يدويًا أو توزيعها عبر بوابة ويب أو دفعها عبر MDM. تتضمن كل إعدادات نفق حقول WireGuard القياسية — المفتاح الخاص لـ الواجهة والمفتاح العام لـ النظير ونقطة النهاية وعناوين IP المسموح بها — بالإضافة إلى قواعد التفعيل عند الطلب الاختيارية.
تظهر الأنفاق المُدارة في قسم مخصص بعنوان "الأنفاق المُدارة" في Vylos. يمكن للمستخدمين رؤية حالة النفق وتفاصيل الاتصال، لكن لا يمكنهم تعديل أو حذف أو التحكم يدويًا في الأنفاق المُدارة.
تقييد وصول المستخدم
تتحكم ثلاثة مفاتيح تقييد فيما يمكن للمستخدمين فعله:
حظر الأنفاق اليدوية
يؤدي تعيين allowManualTunnels إلى false إلى إزالة جميع واجهات إدارة الأنفاق المواجهة للمستخدم. يختفي قسم "أنفاقي"، ويُخفى زر إضافة النفق، وتُعلَّق أي إدخالات VPN حالية لـ أنفاق التطبيق من إعدادات iOS. تُحفظ بيانات الأنفاق نفسها محليًا — عند رفع التقييد، يعود كل شيء.
هذا الإعداد الرئيسي للبيئات التي يجب أن يستخدم المستخدمون فيها إعدادات VPN المعتمدة من تكنولوجيا المعلومات فقط.
قفل الإعدادات
يؤدي تعيين allowSettings إلى false إلى إخفاء أيقونة الإعدادات من شريط الأدوات بالكامل. كحاجز دفاعي متعمّق، إذا وُصلت الشاشة بوسائل أخرى، تعرض رسالة "الإعدادات تُدار من قبل مؤسستك". لا يمكن للمستخدمين تغيير طريقة حماية التطبيق أو تصدير أرشيفات الأنفاق أو عرض السجلات.
فرض سلامة الجهاز
يؤدي تعيين blockJailbrokenDevices إلى true إلى تفعيل كشف كسر الحماية على iOS. يتحقق Vylos من مؤشرات كسر الحماية باستخدام أربع طرق: مسارات ملفات كسر الحماية المعروفة وأنظمة URL المُسجّلة ومحاولات الهروب من صندوق الحماية ومسح حقن المكتبات الديناميكية.
إذا فشل أي فحص، يعرض التطبيق رسالة "انتهاك سياسة الجهاز" بملء الشاشة لا يمكن إغلاقها. تُحظر جميع وظائف التطبيق حتى يُستعاد الجهاز إلى حالته غير المُعدّلة. تُحفظ بيانات الأنفاق — لا يُحذف شيء.
التعامل مع الإعدادات المتأخرة
تسليم إعدادات MDM ليس دائمًا فوريًا. يتضمن Vylos آلية إعادة محاولة تستقصي الإعدادات المُدارة لمدة تصل إلى 30 ثانية بعد تشغيل التطبيق والانتقال إلى المقدمة. يعالج ذلك الحالات التي يصل فيها ملف تعريف MDM بعد فتح التطبيق بقليل — شائع عند التثبيت الأول أو بعد إعادة تشغيل الجهاز.
تجاوز قفل التطبيق
عند وجود أي إعدادات تطبيق مُدارة، يتجاوز Vylos تلقائيًا قفل التطبيق المدمج (Face ID أو Touch ID أو TOTP). الافتراض هو أن مصادقة مستوى الجهاز تُفرض بالفعل بواسطة سياسة MDM، لذا طبقة مصادقة ثانية داخل التطبيق غير ضرورية.
البدء
تستخدم ملفات تعريف الأنفاق حمولات VPN القياسية بصيغة .mobileconfig — لا حاجة لـ MDM للنشر الأساسي. لـ مفاتيح التقييد، هيّئها من خلال قناة إعدادات التطبيق المُدارة في حل MDM. جميع قيم مفاتيح التقييد هي نصوص — "false" و"0" تُقيَّم كـ false، وكل شيء آخر يُقيَّم كـ true.
انظر دليل المسؤول للقائمة الكاملة لمفاتيح الإعدادات وأمثلة النشر.