Desplegament de VPN a dispositius supervisats amb MDM

Instal·lar un perfil VPN en un dispositiu supervisat és senzill — el format .mobileconfig d'Apple s'encarrega d'això. La part més difícil és controlar el que passa dins del client VPN. Poden els usuaris afegir els seus propis túnels? Poden canviar la configuració? Què passa si el dispositiu té jailbreak?

Vylos respon aquestes preguntes a través de tres claus de configuració d'aplicació gestionada que es llegeixen a cada inici de l'aplicació i transició a primer pla.

Enviament de túnels gestionats

Els túnels gestionats es lliuren a través de perfils .mobileconfig estàndard d'Apple que contenen paquets VPN. Aquests perfils es poden instal·lar manualment, distribuir a través d'un portal web o enviar via MDM. Cada configuració de túnel inclou els camps WireGuard estàndard — clau privada d'interfície, clau pública del parell, punt d'extrem, IP permeses — més regles d'activació sota demanda opcionals.

Els túnels gestionats apareixen en una secció dedicada "Túnels gestionats" a Vylos. Els usuaris poden veure l'estat del túnel i els detalls de connexió, però no poden modificar, suprimir ni controlar manualment els túnels gestionats.

Restricció de l'accés dels usuaris

Tres claus de restricció controlen el que els usuaris poden fer:

Bloqueig dels túnels manuals

En definir allowManualTunnels com a false, se suprimeix tota la gestió de túnels visible per a l'usuari. La secció "Els meus túnels" desapareix, el botó Afegeix túnel s'amaga i totes les entrades VPN dels túnels de l'aplicació existents se suspenen de la Configuració d'iOS. Les dades dels túnels es preserven localment — quan la restricció s'aixeca, tot torna.

Aquesta és la configuració clau per a entorns on els usuaris només haurien d'emprar configuracions VPN aprovades per TI. Centres educatius que despleguen Vylos a iPads d'alumnes, empreses amb requisits de compliment normatiu, o qualsevol organització que necessiti un comportament VPN previsible a tots els dispositius.

Bloqueig de la configuració

En definir allowSettings com a false, la icona de Configuració s'amaga completament de la barra d'eines. Com a guarda de defensa en profunditat, si la pantalla s'accedeix per altres mitjans, mostra un missatge "La configuració és gestionada per la vostra organització". Els usuaris no poden canviar el mètode de protecció de l'aplicació, exportar arxius de túnels ni veure registres.

Aplicació de la integritat del dispositiu

En definir blockJailbrokenDevices com a true, s'activa la detecció de jailbreak a iOS. Vylos comprova indicadors de jailbreak emprant quatre mètodes: camins de fitxers de jailbreak coneguts, esquemes d'URL registrats, intents d'escapament de la sandbox i anàlisis d'injecció de biblioteques dinàmiques.

Si qualsevol comprovació falla, l'aplicació mostra un missatge a pantalla completa "Violació de la política del dispositiu" que no es pot descartar. Tota la funcionalitat de l'aplicació està bloquejada fins que el dispositiu es restaura a un estat no modificat. Les dades dels túnels es preserven — no se suprimeix res.

La comprovació s'executa quan es carrega la vista principal, de manera que detecta jailbreaks que es produeixen després del desplegament inicial.

Gestió del lliurament retardat de la configuració

El lliurament de la configuració MDM no sempre és instantani. Vylos inclou un mecanisme de reintent que sondeja la configuració gestionada fins a 30 segons després de l'inici de l'aplicació i les transicions a primer pla. Això gestiona els casos on el perfil MDM arriba lleugerament després que l'aplicació s'obri — habitual en la primera instal·lació o després d'un reinici del dispositiu.

Omissió del bloqueig de l'aplicació

Quan hi ha present qualsevol configuració d'aplicació gestionada, Vylos omet automàticament el seu bloqueig de l'aplicació integrat (Face ID, Touch ID o TOTP). Es pressuposa que l'autenticació a nivell de dispositiu ja es fa complir per la política MDM, de manera que una segona capa d'autenticació dins de l'aplicació és innecessària.

Primers passos

Els perfils de túnels empren paquets VPN .mobileconfig estàndard — no cal MDM per al desplegament bàsic. Per a les claus de restricció, configureu-les a través del canal de configuració d'aplicació gestionada de la vostra solució MDM. Tots els valors de les claus de restricció són cadenes — "false" i "0" s'avaluen com a fals, tot el resta s'avalua com a cert.

Consulteu la guia d'administració per a la llista completa de claus de configuració i exemples de desplegament.