Despliegue de VPN en dispositivos supervisados con MDM
Instalar un perfil VPN en un dispositivo supervisado es sencillo: el formato .mobileconfig de Apple se encarga de eso. La parte más difícil es controlar lo que sucede dentro del propio cliente VPN. ¿Pueden los usuarios agregar sus propios túneles? ¿Pueden cambiar los ajustes? ¿Qué pasa si el dispositivo tiene jailbreak?
Vylos responde a estas preguntas mediante tres claves de configuración de aplicación gestionada que se leen en cada inicio de la aplicación y transición al primer plano.
Envío de túneles gestionados
Los túneles gestionados se entregan a través de perfiles .mobileconfig estándar de Apple que contienen payloads VPN. Estos perfiles se pueden instalar manualmente, distribuir a través de un portal web o enviar mediante MDM. Cada configuración de túnel incluye los campos WireGuard estándar — clave privada de interfaz, clave pública de peer, punto de conexión, IPs permitidas — más reglas de activación a petición opcionales.
Los túneles gestionados aparecen en una sección dedicada "Túneles gestionados" en Vylos. Los usuarios pueden ver el estado del túnel y los detalles de conexión, pero no pueden modificar, eliminar ni controlar manualmente los túneles gestionados.
Restricción del acceso de los usuarios
Tres claves de restricción controlan lo que los usuarios pueden hacer:
Bloquear túneles manuales
Establecer allowManualTunnels en false elimina toda la gestión de túneles visible para el usuario. La sección "Mis túneles" desaparece, el botón Agregar túnel se oculta y cualquier entrada VPN existente de túneles de la aplicación se suspende de los Ajustes de iOS. Los datos del túnel se conservan localmente; cuando se levanta la restricción, todo regresa.
Esta es la configuración clave para entornos donde los usuarios solo deberían usar configuraciones VPN aprobadas por TI. Instituciones educativas que despliegan Vylos en iPads de estudiantes, empresas con requisitos de cumplimiento, o cualquier organización que necesite un comportamiento VPN predecible en todos los dispositivos.
Bloquear los ajustes
Establecer allowSettings en false oculta el icono de Ajustes de la barra de herramientas por completo. Como protección de defensa en profundidad, si la pantalla se alcanza por otros medios, muestra un mensaje de "Los ajustes son gestionados por su organización". Los usuarios no pueden cambiar el método de protección de la aplicación, exportar archivos de túneles ni ver los registros.
Aplicar la integridad del dispositivo
Establecer blockJailbrokenDevices en true activa la detección de jailbreak en iOS. Vylos verifica indicadores de jailbreak utilizando cuatro métodos: rutas de archivos de jailbreak conocidas, esquemas de URL registrados, intentos de escape del sandbox y escaneos de inyección de bibliotecas dinámicas.
Si alguna verificación falla, la aplicación muestra un mensaje de "Violación de política del dispositivo" a pantalla completa que no se puede descartar. Toda la funcionalidad de la aplicación se bloquea hasta que el dispositivo se restaure a un estado sin modificar. Los datos del túnel se conservan; nada se elimina.
La verificación se ejecuta cuando se carga la vista de inicio, por lo que detecta jailbreaks que ocurren después del despliegue inicial.
Manejo de configuración retrasada
La entrega de configuración MDM no siempre es instantánea. Vylos incluye un mecanismo de reintento que sondea la configuración gestionada durante hasta 30 segundos después del inicio de la aplicación y las transiciones al primer plano. Esto maneja casos donde el perfil de MDM llega ligeramente después de que la aplicación se abre, algo común en la primera instalación o después de un reinicio del dispositivo.
Omisión del bloqueo de aplicación
Cuando cualquier configuración de aplicación gestionada está presente, Vylos omite automáticamente su bloqueo de aplicación integrado (Face ID, Touch ID o TOTP). La premisa es que la autenticación a nivel de dispositivo ya está aplicada por la política MDM, por lo que una segunda capa de autenticación dentro de la aplicación es innecesaria.
Primeros pasos
Los perfiles de túneles utilizan payloads VPN .mobileconfig estándar, sin necesidad de MDM para un despliegue básico. Para las claves de restricción, configúrelas a través del canal de configuración de aplicación gestionada de su solución MDM. Todos los valores de las claves de restricción son cadenas: "false" y "0" se evalúan como false, todo lo demás se evalúa como true.
Consulte la guía de administración para la lista completa de claves de configuración y ejemplos de despliegue.