On-Demand einrichten
Legen Sie fest, auf welchen Netzwerken sich ein Tunnel automatisch verbinden soll.
Einrichten
- Öffnen Sie einen selbst erstellten Tunnel und wählen Sie Bearbeiten, oder erstellen Sie einen neuen Tunnel.
- Öffnen Sie im Tunnel-Formular den Tab Vylos.
- Aktivieren Sie die unterstützten Netzwerkbedingungen, die der Tunnel überwachen soll.
- Wählen Sie für WLAN Beliebige SSID, Nur diese SSIDs oder Außer diesen SSIDs und geben Sie bei Bedarf die Netzwerknamen ein.
- Aktivieren Sie optional Verbindungen ohne VPN blockieren.
- Sichern Sie den Tunnel und aktivieren Sie seinen On-Demand-Schalter.
On-Demand-Regeln gelten jeweils für einen einzelnen Tunnel. Verwaltete Tunnel erhalten ihre Regeln über das VPN-Profil der Organisation und können in Vylos nicht bearbeitet werden.
Funktionsweise
Wenn die On-Demand-Regeln aktiviert sind, überwacht das Betriebssystem Netzwerkwechsel und aktiviert oder deaktiviert den Tunnel ohne manuelles Eingreifen. Vylos speichert diese Regeln zusammen mit Split DNS in den Vylos-Einstellungen des Tunnels.
Mobilfunk
Der Schalter Mobilfunk bestimmt, ob der Tunnel über eine mobile Datenverbindung automatisch aktiviert wird. iOS wertet diese Regel aus. macOS und visionOS zeigen den Wert mit dem Hinweis Nur iOS, damit eine universelle Konfiguration ohne Datenverlust bearbeitet, importiert und exportiert werden kann.
Aktuelle Apple Vision Pro-Modelle besitzen keine Mobilfunkschnittstelle. Diese Regel kann unter visionOS daher nicht ausgelöst werden.
hinweis
Apples Enumeration für Network-Extension-Schnittstellen enthält für übertragbare Regeldaten den Fall cellular. Er stimmt nur überein, wenn Mobilfunk die aktuelle primäre Netzwerkschnittstelle ist; sein Vorhandensein im visionOS-SDK bedeutet nicht, dass Vision Pro ein Mobilfunkmodem besitzt.
Ethernet
Der Schalter Ethernet bestimmt, ob der Tunnel über Ethernet automatisch aktiviert wird. macOS wertet diese Regel aus. iOS und visionOS zeigen den Wert mit dem Hinweis Nur macOS und bewahren ihn für die Verwendung auf einem Mac auf.
Alle drei Apps zeigen beide Schalter. Eine Plattform ignoriert nicht unterstützte Regeln, behält ihren Wert aber im Tunnel und in exportierten .vylos-Dateien bei.
Auf aktueller Vision Pro-Hardware kann für On-Demand-Regeln nur WLAN als Netzwerkschnittstelle übereinstimmen.
WLAN
Für WLAN stehen vier Modi zur Verfügung:
| Modus | Verhalten |
|---|---|
| Aus | Der Tunnel wird über WLAN nicht automatisch aktiviert. |
| Beliebige SSID | Der Tunnel wird in jedem WLAN aktiviert. |
| Nur diese SSIDs | Der Tunnel wird nur bei einer der aufgeführten SSIDs aktiviert. |
| Außer diesen SSIDs | Der Tunnel wird in allen WLANs außer den aufgeführten SSIDs aktiviert. |
Bei Nur diese SSIDs und Außer diesen SSIDs müssen Sie mindestens eine SSID angeben. Ist die Liste leer, zeigt das Formular eine Validierungsmeldung.
Notausschalter
Aktivieren Sie Verbindungen ohne VPN blockieren, um Apples systemweites Routing für alle Netzwerke auf diesen Tunnel anzuwenden. Wenn ein aktivierter On-Demand-Tunnel nicht verfügbar ist, blockiert das Betriebssystem den meisten Datenverkehr, statt sofort auf das ungeschützte Netzwerk zurückzufallen.
Die Option wird verfügbar, sobald mindestens eine On-Demand-Regel eingerichtet ist. Wenn Sie die letzte Regel ausschalten, wird auch der Notausschalter deaktiviert, da das zugesicherte Sperrverhalten einen automatisch überwachten Tunnel erfordert.
Die Einstellung gilt nur für den ausgewählten selbst erstellten Tunnel und wird in dessen .vylos-Datei gespeichert. Bei einem verwalteten Tunnel steuert die Organisation den entsprechenden Apple-Profilwert IncludeAllNetworks; Vylos zeigt ihn schreibgeschützt an.
Auswirkung der erlaubten IPs auf den Notausschalter
Notausschalter und AllowedIPs erfüllen unterschiedliche Aufgaben: Der Notausschalter verhindert, dass das Betriebssystem das VPN umgeht; AllowedIPs bestimmt weiterhin, welcher Peer ein Ziel erreichen kann. Vylos fügt beim Aktivieren des Notausschalters keine AllowedIPs hinzu, entfernt sie nicht und erweitert sie nicht.
| Kombinierte Peer-Routen | Mögliche Verbindungen | Vylos-Bezeichnung |
|---|---|---|
| Alle IPv4- und IPv6-Adressen | IPv4 und IPv6 verwenden das VPN. | Vollständiger Tunnelschutz |
| Nur vollständiges IPv4 oder nur vollständiges IPv6 | Die abgedeckte Adressfamilie verwendet das VPN; die andere wird ohne eigene Route blockiert. | Eingeschränkter Netzwerkzugriff |
| Ausgewählte Netzwerke oder Hosts | Nur Ziele innerhalb dieser Routen sind erreichbar. | Eingeschränkter Netzwerkzugriff |
| Keine Routen | Gewöhnlicher IP-Verkehr wird blockiert. | Keine ausgehenden Routen |
Der übliche Wert für einen vollständigen Dual-Stack-Tunnel lautet 0.0.0.0/0, ::/0. Jeder DNS-Server muss ebenfalls von den AllowedIPs mindestens eines Peers abgedeckt sein; andernfalls warnt Vylos, dass der Server blockiert wird.
info
Apple nimmt Datenverkehr, der für Netzwerksteuerung und bestimmte Gerätedienste erforderlich ist, vom Routing aller Netzwerke durch das VPN aus. Dazu können DHCP, Captive-Portal-Aushandlung, bestimmte Mobilfunkdienste und die Kommunikation mit Begleitgeräten gehören. Der Notausschalter blockiert deshalb den meisten gewöhnlichen App-Verkehr, verspricht aber nicht, dass jedes Systempaket durch das VPN läuft. Weitere Informationen finden Sie in Apples Dokumentation zu includeAllNetworks.
Verhalten von On-Demand-Tunneln
Bei einem Tunnel mit aktivierten On-Demand-Regeln haben die Statusanzeigen eine andere Bedeutung als bei einem Standardtunnel:
- On-Demand (gelb) — Die On-Demand-Regeln sind aktiv, der Tunnel ist aber momentan nicht verbunden. Das System überwacht die Netzwerkbedingungen und verbindet sich bei einer passenden Bedingung.
- Verbindung wird hergestellt — Eine passende Regel hat das Betriebssystem aufgefordert, den Tunnel zu starten.
- On-Demand (grün in der Übersicht) / Verbunden (grün in den Details) — Der Tunnel ist verbunden, weil das aktuelle Netzwerk einer On-Demand-Regel entspricht. Die Übersicht kennzeichnet weiterhin die automatische Aktivierung; die Detailansicht zeigt den aktuellen Verbindungsstatus.
- Verbindung wird getrennt — Die Verbindung wird beendet, nachdem die Bedingung weggefallen ist oder die automatische Aktivierung deaktiviert wurde.
- Getrennt (grau) — Für den Tunnel sind weiterhin On-Demand-Regeln konfiguriert, die automatische Aktivierung ist jedoch ausgeschaltet.
Der Schalter eines On-Demand-Tunnels aktiviert oder deaktiviert die On-Demand-Regeln; er stellt nicht direkt eine Verbindung her und trennt sie auch nicht direkt.
Automatische Prüfung im Vordergrund
Wenn Vylos wieder in den Vordergrund kommt, prüft die App, ob das Betriebssystem die On-Demand-Regeln jedes Tunnels noch aktiviert hat, und stellt den gewünschten Zustand bei Bedarf wieder her. Anschließend entscheidet das Betriebssystem anhand des aktuellen Netzwerks und der Regeln über eine Verbindung; Vylos erzwingt keine Verbindung, wenn keine Regel passt.
Erkennung von On-Demand-Konflikten
Wenn sich die aktivierten On-Demand-Regeln von mindestens zwei Tunneln überschneiden, zeigt Vylos unter iOS, macOS und visionOS oben in der Tunnelliste eine Warnung. Solche Überschneidungen können unvorhersehbar sein, weil das System möglicherweise nicht eindeutig bestimmen kann, welcher Tunnel aktiviert werden soll.
Die folgenden Abbildungen zeigen die Darstellung unter iOS.
Öffnen Sie die Warnung, um alle Konflikte anzuzeigen. Jeder Eintrag nennt die beiden betroffenen Tunnel und den Grund.
Konfliktarten
| Konfliktart | Beschreibung |
|---|---|
| Mobilfunk-Überschneidung | Beide Tunnel sollen über Mobilfunk aktiviert werden. |
| Ethernet-Überschneidung | Beide Tunnel sollen unter macOS über Ethernet aktiviert werden. |
| Überschneidung „Beliebige SSID“ | Beide Tunnel sollen in jedem WLAN aktiviert werden. |
| Überschneidung bestimmter SSIDs | Beide Tunnel sollen bei mindestens einer identischen SSID aktiviert werden. |
| Überschneidung der meisten WLANs | Beide Tunnel besitzen breite WLAN-Regeln, etwa zwei Ausschlusslisten, die den Großteil der Netzwerke abdecken. |
Bearbeiten Sie einen der Tunnel und passen Sie seine On-Demand-Regeln so an, dass sie sich nicht mehr mit den Regeln des anderen Tunnels überschneiden.
On-Demand-Regeln in .vylos
On-Demand-Regeln werden zusammen mit Split DNS im Eintrag settings.conf des .vylos-Archivs gespeichert. Die verbindliche Übersicht der Schlüssel und Beispiele finden Sie unter Vylos-Dateiformat.