Regles sota demanda i DNS dividit: VPN automàtic sense la sobrecarga

La configuració VPN més senzilla és un commutador: activat o desactivat. En la pràctica, però, això significa que els usuaris o s'obliden de connectar quan haurien de fer-ho, o encaminen tot el trànsit pel túnel quan no cal — malbaratant ample de banda i afegint latència per a serveis que no requereixen accés VPN.

Vylos 1.2.0 afegeix regles d'activació sota demanda i DNS dividit per resoldre ambdós problemes.

Activació sota demanda

Les regles sota demanda indiquen a Vylos quan connectar o desconnectar automàticament un túnel segons les condicions de xarxa. Sense commutació manual.

Cada túnel es pot configurar amb regles per a dos tipus de xarxa:

• Dades mòbils (iOS) o Ethernet (macOS) — Connexió automàtica amb dades mòbils o una connexió per cable
• Wi-Fi — Quatre modes:
  • Desactivat — Sense activació automàtica amb Wi-Fi
  • Qualsevol SSID — Connexió amb qualsevol xarxa Wi-Fi
  • Només aquests SSID — Connexió només amb xarxes concretes (llista blanca)
  • Excepte aquests SSID — Connexió amb tots els Wi-Fi excepte xarxes concretes (llista negra)

Els modes basats en SSID són particularment útils per a organitzacions. "Només aquests SSID" assegura que el VPN s'activi al Wi-Fi de l'oficina però no a les xarxes domèstiques dels empleats. "Excepte aquests SSID" fa el contrari — el VPN roman actiu arreu excepte a la xarxa corporativa de confiança on el trànsit ja s'encamina internament.

Detecció de conflictes

Quan diversos túnels tenen regles sota demanda activades, poden entrar en conflicte. Dos túnels configurats per activar-se amb dades mòbils, o dos túnels que reclamen el mateix SSID — el resultat és impredictible.

Vylos detecta quatre tipus de superposició:

• Superposició de dades mòbils o Ethernet
• Superposició de "Qualsevol SSID" Wi-Fi
• Superposició de SSID concret (dos túnels que reclamen el mateix nom de xarxa)
• Superposició ampla de Wi-Fi (un túnel amb "Qualsevol" en conflicte amb un altre amb SSID concrets)

Quan es detecta un conflicte, Vylos mostra un avís perquè els administradors o els usuaris puguin resoldre el conflicte abans que causi un comportament inesperat. L'avís és informatiu — no impedeix que la configuració es desi.

DNS dividit

Les configuracions VPN estàndard encaminen totes les consultes DNS pel túnel. Funciona, però significa que cada consulta DNS — fins i tot per a serveis públics — passa pel servidor VPN. Per a organitzacions amb noms d'amfitrió interns que només es resolen al DNS corporatiu, això força tot el trànsit pel túnel només per arribar a uns quants serveis interns.

El DNS dividit canvia això. Cada túnel es pot configurar amb dos conjunts de dominis:

Dominis de coincidència — Les consultes DNS per a aquests dominis concrets s'encaminen pel túnel. Tot el resta empra el DNS per defecte del dispositiu. Per exemple, si definiu corp.example.com com a domini de coincidència, només les consultes per a aquell domini (i els seus subdominis) passen pel VPN.

Dominis de cerca — S'afegeixen a consultes de noms d'amfitrió simples. Si un usuari escriu intranet al navegador, el dispositiu afegeix el domini de cerca per provar intranet.example.com, que després es resol pel DNS del túnel.

El resultat és que els recursos interns són accessibles pel VPN mentre el trànsit extern flueix normalment. Això redueix la càrrega al servidor VPN i millora el rendiment per a tot el que no necessita accés al túnel.

El format de fitxer Vylos

Els fitxers .conf estàndard de WireGuard no admeten regles sota demanda ni DNS dividit — aquestes funcionalitats no existeixen a l'especificació de configuració WireGuard. En lloc de barrejar camps personalitzats al format .conf, la qual cosa trencaria la compatibilitat amb altres clients WireGuard, hem creat el format .vylos.

Un fitxer .vylos és un arxiu ZIP que agrupa el fitxer .conf estàndard de WireGuard al costat d'un fitxer de configuració separat per a les regles sota demanda i la configuració de DNS dividit. La configuració WireGuard roman intacta — sense camps personalitzats, sense extensions propietàries. Les configuracions addicionals viuen al seu propi fitxer dins de l'arxiu.

Això manté les coses uniformes i netes. Un .conf exportat des de Vylos funciona a qualsevol client WireGuard. Un fitxer .vylos porta la configuració completa incloent-hi les opcions sota demanda i de DNS dividit, però només Vylos sap llegir-lo.

L'exportació admet tres opcions de format: només .conf, només .vylos o ambdós.

Primers passos

Les regles sota demanda i el DNS dividit estan disponibles a Vylos 1.2.0 per a iOS, macOS i visionOS. Configureu-los per túnel a través del formulari d'edició del túnel, o envieu-los via MDM a través de configuracions de túnels gestionats.

Consulteu la guia de l'usuari per als detalls de configuració i la guia d'administració per a les opcions de desplegament MDM.