Terminologie

Definitionen der WireGuard-, Apple-Plattform- und MDM-Begriffe, die in der gesamten Vylos-Dokumentation verwendet werden.

Erlaubte IPs

Erlaubte IPs legen fest, welche IP-Bereiche durch einen WireGuard-Peer geleitet werden. Sie werden über das Feld AllowedIPs konfiguriert. Vylos zeigt diesen Wert im Peer-Bereich der Detailansicht eines Tunnels an.

App-Tunnel

Ein App-Tunnel ist ein WireGuard-Tunnel, den Sie selbst über Import, QR-Code oder manuelle Eingabe hinzufügen. Er wird intern als TunnelSource.app erfasst. Er erscheint im Bereich Meine Tunnel und ist vollständig bearbeitbar, im Gegensatz zu einem verwalteten Tunnel.

App Group

Eine App Group ist ein gemeinsam genutzter Speichercontainer, der Vylos und seinen Erweiterungen, wie der Netzwerkerweiterung und der Quick-Look-Vorschau, den Austausch von Daten wie Tunnelkonfigurationen und Benachrichtigungseinstellungen ermöglicht. Die Quick-Look-Erweiterung hat bewusst keinen Zugriff darauf, sodass Dateivorschauen von Ihrer aktiven Tunnelliste isoliert bleiben.

AppLayerVPN

AppLayerVPN ist Apples verwaltetes VPN-Konfigurationsprofil pro App und wird durch com.apple.vpn.managed.applayer gekennzeichnet. Auf dieser Betriebssystemebene wird der Verkehr zugewiesener Apps ausgewählt.

Vylos unterstützt den Provider-Modus packet-tunnel: Das MDM verknüpft Ziel-Apps über eine gemeinsame VPNUUID, Apple übergibt passende IP-Pakete an Vylos und Vylos transportiert sie durch WireGuard. Der separate Modus app-proxy wird nicht unterstützt.

App-Routing

App-Routing beschreibt, welche Apps Apple einen verwalteten Tunnel verwenden lässt. Bei einem AppLayerVPN-Tunnel zeigt Vylos Pro App sowie die vom System gemeldeten Signaturkennungen und übereinstimmenden Domains an.

Ein herkömmlicher geräteweiter Tunnel zeigt Geräteweit und Alle Apps, weil Apple dafür keine zuverlässige Liste der einzelnen verwendenden Prozesse bereitstellt.

App-Sperre

Die App-Sperre schützt Vylos mit Face ID, Touch ID, einem Gerätecode oder einem 6-stelligen TOTP-Code aus einer Authenticator-App. Sie deaktiviert sich automatisch, wenn eine verwaltete App-Konfiguration vorhanden ist, da das MDM-System das Gerät bereits absichert.

Kollisionserkennung

Die Kollisionserkennung warnt Sie, wenn zwei oder mehr aktivierte Tunnel überlappende On-Demand-Regeln haben, z. B. wenn beide im selben WLAN-Netzwerk aktiviert werden. Vylos zeigt ein Banner auf dem Startbildschirm mit jedem konfligierenden Paar an, damit Sie die Regeln anpassen können.

Konfigurationsprofil

Ein Konfigurationsprofil ist ein Apple-.mobileconfig-Payload, das ein MDM-Server auf einem Gerät installiert, um Einstellungen oder einen VPN-Tunnel bereitzustellen. Vylos verarbeitet den Payload-Typ com.apple.vpn.managed, um verwaltete Tunnel zu erstellen, getrennt von der verwalteten App-Konfiguration.

Continuity Camera

Continuity Camera ermöglicht es einem Mac, die Kamera eines gekoppelten iPhones als Eingangsquelle zu verwenden. Vylos nutzt diese Funktion zum Scannen von WireGuard-QR-Codes unter macOS 14 und neuer, da Macs keine integrierte Kamera haben, die zum Scannen positioniert ist.

Flap Storm

Ein Flap Storm ist ein schneller Zyklus von Verbindungs- und Trennungsereignissen, der durch ein instabiles Netzwerk verursacht wird. Vylos drosselt jeden Benachrichtigungstyp auf eine Zustellung alle 30 Sekunden, damit ein Flap Storm Sie nicht mit Meldungen überflutet.

Handshake

Ein Handshake ist der kryptografische Austausch, den WireGuard-Peers durchführen, um eine sichere Verbindung herzustellen. Vylos zeigt die Zeit seit dem letzten Handshake im Statusbereich eines Tunnels an, z. B. "vor 2 Minuten".

Schnittstelle

Das Interface ist der [Interface]-Abschnitt einer WireGuard-Konfiguration. Er enthält den privaten Schlüssel des lokalen Geräts, die Adresse, DNS-Server und den Überwachungsport. Vylos zeigt diese Felder im Interface-Bereich der Detailansicht eines App-Tunnels an.

Jailbreak-Erkennung

Die Jailbreak-Erkennung überprüft ein iOS-Gerät auf Anzeichen von Manipulation mithilfe von vier Methoden: verdächtige Dateipfade, URL-Schema-Registrierungen, ein Sandbox-Escape-Test und ein Scan geladener dynamischer Bibliotheken. Vylos blockiert den App-Zugriff bei positiver Erkennung nur dann, wenn der MDM-Schlüssel blockJailbrokenDevices aktiviert ist.

Schlüsselbund-gesicherter Speicher

Der Schlüsselbund-gesicherte Speicher bewahrt die Konfiguration eines Tunnels im Geräteschlüsselbund und in der App-Datenbank auf, anstatt im System-VPN-Speicher. Der Systemeintrag enthält nur einen passwordReference-Verweis, sodass private Schlüssel nicht im weniger sicheren Systemspeicher liegen.

Notausschalter

Ein Notausschalter verhindert, dass der meiste gewöhnliche Netzwerkverkehr einen aktivierten On-Demand-Tunnel umgeht. Selbst erstellte Tunnel speichern die Auswahl als Routing.KillSwitch in einer .vylos-Datei; verwaltete Tunnel verwenden dagegen Apples Profilfeld VPN.IncludeAllNetworks. Die WireGuard-AllowedIPs bestimmen weiterhin, welche Ziele über einen Peer erreichbar sind. Ein unvollständiger Routensatz wird deshalb zu einer strikten Positivliste und nicht zu einem vollständigen Tunnel.

Apple lässt weiterhin Datenverkehr zu, der für die Netzwerksteuerung und bestimmte Gerätedienste erforderlich ist. Der Begriff bedeutet daher nicht, dass buchstäblich jedes Systempaket durch das VPN geleitet wird.

Verwaltete App-Konfiguration

Die verwaltete App-Konfiguration ist eine über MDM bereitgestellte Konfiguration, die Vylos aus dem Apple-Schlüssel com.apple.configuration.managed liest. Ihr Vorhandensein umgeht die App-Sperre automatisch und kann jeden der drei Einschränkungsschlüssel setzen.

Verwalteter Tunnel

Ein verwalteter Tunnel ist ein WireGuard-Tunnel, den Ihre Organisation über ein Konfigurationsprofil bereitstellt. Er wird intern als TunnelSource.managed erfasst. Er erscheint schreibgeschützt im Bereich Verwaltete Tunnel und wird automatisch entfernt, wenn das Profil entfernt wird.

Übereinstimmungsdomänen

Übereinstimmungsdomänen sind die Domains, deren DNS-Abfragen anstelle des Standardnetzwerks über die DNS-Server eines Tunnels geleitet werden. Das Hinzufügen von corp.example.com als Übereinstimmungsdomäne leitet Abfragen für server.corp.example.com durch den Tunnel.

MDM

MDM (Mobilgeräteverwaltung) ist die Kategorie von Unternehmenssystemen wie Jamf, Kandji, Intune, Workspace ONE und Mosyle, die IT-Administratoren zur Konfiguration und Absicherung von Geräteflotten einsetzen. Vylos ist mit jedem MDM kompatibel, das verwaltete App-Konfiguration und Konfigurationsprofile unterstützt.

Netzwerkerweiterung

Eine Netzwerkerweiterung ist der Hintergrund-Systemprozess, der den eigentlichen WireGuard-Tunnel ausführt, getrennt vom Hauptprozess der Vylos-App. Vylos kommuniziert damit, um Provider-Nachrichten zu senden, Bandbreiten-Snapshots zu sammeln und das WireGuard-Diagnoseprotokoll zu schreiben.

On-Demand-Regeln

On-Demand-Regeln verbinden einen Tunnel automatisch, wenn Ihr Gerät einem passenden Mobilfunk-, WLAN- oder Ethernet-Netzwerk beitritt. Jede Regel befindet sich in einem [OnDemandRule]-Abschnitt der .vylos-Einstellungsdatei des Tunnels, und der Tunnel wird aktiviert, wenn eine beliebige Regel zutrifft.

Optic ID

Optic ID ist das augenbasierte biometrische Authentifizierungssystem der Apple Vision Pro. Die App-Sperre von Vylos greift auf visionOS auf eine Gerätecode-Abfrage zurück, anstatt die Aufforderung direkt als Optic ID zu bezeichnen.

Ornament

Ein Ornament ist ein visionOS-UI-Element, das außerhalb des Hauptinhalts eines Fensters schwebt und an einer seiner Kanten verankert ist. Vylos umgibt seine Hauptszene mit vier Ornamenten für Status, aktive Tunnel, Schnellaktionen und kontextbezogene Tunnelsteuerung.

Peer

Ein Peer ist ein [Peer]-Abschnitt einer WireGuard-Konfiguration, der einen entfernten Endpunkt durch seinen öffentlichen Schlüssel, erlaubte IPs und seine Adresse beschreibt. Ein Tunnel kann mehrere Peers definieren, und Vylos listet jeden einzelnen in der Detailansicht des Tunnels auf.

VPN pro App

VPN pro App ist die nutzernahe Bezeichnung für Apples AppLayerVPN-Routingmodell. Ein MDM weist ausgewählte verwaltete Apps über VPNUUID einem Tunnel zu. Diese Apps verwenden den WireGuard-Tunnel, nicht zugewiesene Apps bleiben außerhalb.

Das Betriebssystem verwaltet Auswahl und Aktivierungsregeln. Vylos transportiert den ausgewählten Verkehr durch WireGuard und zeigt den verwalteten Tunnel schreibgeschützt an.

Persistentes Keepalive

Persistentes Keepalive sendet regelmäßig ein Paket an einen Peer, damit NAT- und Firewall-Zuordnungen zwischen echtem Datenverkehr aktiv bleiben. Vylos zeigt das konfigurierte Intervall, z. B. "Alle 25 Sekunden", im Peer-Bereich der Detailansicht eines Tunnels an.

Quick Look

Quick Look ist Apples Systemframework zur Vorschau von Dateiinhalten, ohne die zugehörige App zu öffnen. Vylos enthält eine Quick-Look-Erweiterung, die .conf-, .vylos- und .zip-Tunneldateien im Finder und in der Dateien-App als Vorschau anzeigt.

Einschränkungsschlüssel

Einschränkungsschlüssel sind die drei Einstellungen allowManualTunnels, allowSettings und blockJailbrokenDevices, die ein MDM-Administrator über die verwaltete App-Konfiguration setzt. Vylos parst jeden Schlüssel aus einem String-Wert nach einer einheitlichen Wahr/Falsch-Regel.

Rx und Tx

Rx und Tx sind die empfangenen und gesendeten Bytezähler, die Vylos für jeden Tunnel erfasst. Bandbreitendiagramme und die Zusammenfassung in der Tunnelliste zeigen diese Gesamtwerte für die aktive Sitzung an.

Suchdomänen

Suchdomänen sind Fallback-Domains, die Vylos an eine Abfrage mit bloßem Hostnamen anhängt, wenn die erste Abfrage fehlschlägt. Das Hinzufügen von example.com als Suchdomäne bewirkt, dass eine fehlgeschlagene Abfrage für intranet als intranet.example.com wiederholt wird.

Siri-Kurzbefehle

Mit Siri-Kurzbefehlen können Sie einen benannten Tunnel per Sprachbefehl oder über die Kurzbefehle-App verbinden, trennen, umschalten oder bearbeiten. MDM-verwaltete Geräte erlauben Siri-Kurzbefehle immer und umgehen damit die App-Sperre, die sie andernfalls blockieren würde.

Split-DNS

Split-DNS leitet DNS-Abfragen für bestimmte Domains durch den VPN-Tunnel, während alle anderen Abfragen über Ihr Standardnetzwerk laufen. Sie konfigurieren es pro Tunnel mit Übereinstimmungsdomänen und Suchdomänen im [SplitDNS]-Abschnitt der .vylos-Einstellungsdatei.

Spotlight

Spotlight ist Apples systemweiter Suchindex, und Vylos veröffentlicht Ihre selbst erstellten Tunnelnamen darin, sodass eine passende Suche den Tunnel direkt öffnet. Der Index wird automatisch geleert, solange die App-Sperre aktiv ist, damit Tunnelnamen auf einem gesperrten Gerät nicht sichtbar werden.

Systemeintrag

Ein Systemeintrag ist der VPN-Konfigurationseintrag auf Betriebssystemebene, ein NETunnelProviderManager, der in der Einstellungen-App des Geräts erscheint. Jeder Tunnel, den Vylos verwaltet, ob App-Tunnel oder verwalteter Tunnel, hat einen entsprechenden Systemeintrag.

TOTP

TOTP (zeitbasiertes Einmalpasswort) ist ein 6-stelliger Code, den eine Authenticator-App wie Google Authenticator oder Authy erzeugt und alle 30 Sekunden erneuert. Vylos akzeptiert Codes aus dem aktuellen Zeitraum sowie jeweils einem Zeitraum davor und danach, um kleine Zeitunterschiede zu tolerieren.

VPNUUID

VPNUUID ist die Kennung, die ein AppLayerVPN-Profil mit seinen MDM-verwalteten App-Zuweisungen verknüpft. Das VPN-Profil und jede zugewiesene App müssen denselben Wert verwenden.

Wenn das VPN-Profil ersetzt oder entfernt wird, verschwindet die App-Zuweisung nicht automatisch. Das MDM muss auch die Attribute der verwalteten App aktualisieren.

.vylos-Format

Das .vylos-Format ist ein ZIP-Archiv, das eine unveränderte WireGuard-.conf-Datei mit einer optionalen settings.conf-Datei für Split-DNS, On-Demand-Regeln und das Verhalten des Notausschalters kombiniert. Es erweitert eine Standard-WireGuard-Konfiguration, ohne sie zu verändern, sodass dieselbe .conf-Datei weiterhin mit jedem anderen WireGuard-Client funktioniert.