On-Demand-Regeln und Split-DNS: Automatisches VPN ohne Overhead

Die einfachste VPN-Einrichtung ist ein Schalter: ein oder aus. In der Praxis bedeutet das jedoch, dass Benutzer entweder vergessen, sich zu verbinden, wenn sie sollten, oder dass sie den gesamten Datenverkehr durch den Tunnel leiten, obwohl sie es nicht müssen — was Bandbreite verschwendet und Latenz für Dienste hinzufügt, die keinen VPN-Zugang benötigen.

Vylos 1.2.0 fügt On-Demand-Aktivierungsregeln und Split-DNS hinzu, um beide Probleme zu lösen.

On-Demand-Aktivierung

On-Demand-Regeln teilen Vylos mit, wann ein Tunnel basierend auf Netzwerkbedingungen automatisch verbunden oder getrennt werden soll. Kein manuelles Umschalten erforderlich.

Jeder Tunnel kann mit Regeln für zwei Netzwerktypen konfiguriert werden:

• Mobilfunk (iOS) oder Ethernet (macOS) — Automatische Verbindung bei Mobilfunkdaten oder einer Kabelverbindung
• WLAN — Vier Modi:
  • Aus — Keine automatische Aktivierung über WLAN
  • Beliebige SSID — Verbindung in jedem WLAN-Netzwerk
  • Nur diese SSIDs — Verbindung nur in bestimmten Netzwerken (Whitelist)
  • Außer diesen SSIDs — Verbindung in allen WLAN-Netzwerken außer bestimmten (Blacklist)

Die SSID-basierten Modi sind besonders nützlich für Organisationen. "Nur diese SSIDs" stellt sicher, dass das VPN im Büro-WLAN aktiviert wird, aber nicht in den Heimnetzwerken der Mitarbeiter. "Außer diesen SSIDs" macht das Gegenteil — das VPN bleibt überall aktiv, außer im vertrauenswürdigen Unternehmensnetzwerk, in dem der Datenverkehr bereits intern geleitet wird.

Kollisionserkennung

Wenn mehrere Tunnel On-Demand-Regeln aktiviert haben, können sie in Konflikt geraten. Zwei Tunnel, die beide für die Aktivierung im Mobilfunknetz konfiguriert sind, oder zwei Tunnel, die dieselbe SSID beanspruchen — das Ergebnis ist unvorhersehbar.

Vylos erkennt vier Arten von Überlappungen:

• Mobilfunk- oder Ethernet-Überlappung
• WLAN-"Beliebige SSID"-Überlappung
• Spezifische SSID-Überlappung (zwei Tunnel beanspruchen denselben Netzwerknamen)
• Breite WLAN-Überlappung (ein Tunnel auf "Beliebig" kollidiert mit einem auf spezifischen SSIDs)

Wenn eine Kollision erkannt wird, zeigt Vylos eine Warnung an, damit Administratoren oder Benutzer den Konflikt lösen können, bevor er unerwartetes Verhalten verursacht. Die Warnung ist informativ — sie verhindert nicht, dass die Konfiguration gespeichert wird.

Split-DNS

Standard-VPN-Konfigurationen leiten alle DNS-Abfragen durch den Tunnel. Das funktioniert, bedeutet aber, dass jede DNS-Abfrage — auch für öffentliche Dienste — über den VPN-Server läuft. Für Organisationen mit internen Hostnamen, die nur über den Unternehmens-DNS aufgelöst werden, erzwingt dies, dass der gesamte Datenverkehr durch den Tunnel läuft, nur um einige wenige interne Dienste zu erreichen.

Split-DNS ändert das. Jeder Tunnel kann mit zwei Sätzen von Domains konfiguriert werden:

Übereinstimmungsdomänen — DNS-Abfragen für diese spezifischen Domains werden durch den Tunnel geleitet. Alles andere verwendet das Standard-DNS des Geräts. Wenn Sie beispielsweise corp.example.com als Übereinstimmungsdomäne festlegen, werden nur Abfragen für diese Domain (und deren Subdomains) über das VPN geleitet.

Suchdomänen — Werden an bloße Hostname-Abfragen angehängt. Wenn ein Benutzer intranet in einen Browser eingibt, hängt das Gerät die Suchdomäne an und versucht intranet.example.com, das dann über das DNS des Tunnels aufgelöst wird.

Das Ergebnis ist, dass interne Ressourcen über das VPN erreichbar sind, während externer Datenverkehr normal fließt. Dies reduziert die Last auf dem VPN-Server und verbessert die Leistung für alles, was keinen Tunnelzugang benötigt.

Das Vylos-Dateiformat

Standard-WireGuard-.conf-Dateien unterstützen keine On-Demand-Regeln oder Split-DNS — diese Funktionen existieren einfach nicht in der WireGuard-Konfigurationsspezifikation. Anstatt benutzerdefinierte Felder in das .conf-Format einzumischen, was die Kompatibilität mit anderen WireGuard-Clients brechen würde, haben wir das .vylos-Format erstellt.

Eine .vylos-Datei ist ein ZIP-Archiv, das die Standard-WireGuard-.conf-Datei zusammen mit einer separaten Einstellungsdatei für On-Demand-Regeln und Split-DNS-Konfiguration bündelt. Die WireGuard-Konfiguration bleibt unverändert — keine benutzerdefinierten Felder, keine proprietären Erweiterungen. Die zusätzlichen Einstellungen befinden sich in einer eigenen Datei innerhalb des Archivs.

Das hält die Dinge einheitlich und sauber. Eine aus Vylos exportierte .conf funktioniert in jedem WireGuard-Client. Eine .vylos-Datei enthält die vollständige Konfiguration einschließlich On-Demand und Split-DNS, aber nur Vylos kann sie lesen.

Der Export unterstützt drei Formatoptionen: nur .conf, nur .vylos oder beides.

Erste Schritte

On-Demand-Regeln und Split-DNS sind in Vylos 1.2.0 für iOS, macOS und visionOS verfügbar. Konfigurieren Sie sie pro Tunnel über das Tunnelbearbeitungsformular oder übermitteln Sie sie via MDM über verwaltete Tunnel-Konfigurationen.

Siehe das Benutzerhandbuch für Konfigurationsdetails und das Administratorhandbuch für MDM-Bereitstellungsoptionen.