VPN:n jakaminen valvotuille laitteille MDM:n avulla

VPN-profiilin asentaminen valvotulle laitteelle on suoraviivaista — Applen .mobileconfig-muoto hoitaa sen. Vaikeampi osa on sen hallinta, mitä tapahtuu VPN-asiakkaan sisällä. Voivatko käyttäjät lisätä omia tunneleita? Voivatko he muuttaa asetuksia? Mitä tapahtuu, jos laite on jailbreak-laite?

Vylos vastaa näihin kolmella hallitun sovelluskonfiguraation avaimella, jotka luetaan jokaisella sovelluksen käynnistyksellä ja etualalle siirtymisellä.

Hallittujen tunneleiden jakaminen

Hallitut tunnelit toimitetaan Applen vakiomuotoisten .mobileconfig-profiilien kautta, jotka sisältävät VPN-hyötykuormia. Nämä profiilit voidaan asentaa manuaalisesti, jakaa verkkoportaalin kautta tai lähettää MDM:n kautta. Jokainen tunneliasetuskonfiguraatio sisältää vakiomuotoiset WireGuard-kentät — liitännän yksityinen avain, vertaisen julkinen avain, päätepiste, sallitut IP-osoitteet — sekä valinnaiset automaattiset aktivointisäännöt.

Hallitut tunnelit näkyvät erillisessä "Hallitut tunnelit" -osiossa Vylosissa. Käyttäjät voivat nähdä tunnelin tilan ja yhteystiedot, mutta eivät voi muokata, poistaa tai manuaalisesti hallita hallittuja tunneleita.

Käyttäjien pääsyn rajoittaminen

Kolme rajoitusavainta hallitsevat, mitä käyttäjät voivat tehdä:

Manuaalisten tunneleiden estäminen

allowManualTunnels-avaimen asettaminen arvoon false poistaa kaikki käyttäjälle näkyvät tunneleiden hallintatoiminnot. "Omat tunnelit" -osio katoaa, Lisää tunneli -painike piilotetaan ja kaikki olemassa olevat sovelluksen tunneleiden VPN-merkinnät keskeytetään iOS:n Asetuksista. Tunnelitiedot itsessään säilytetään paikallisesti — kun rajoitus poistetaan, kaikki palautuu.

Tämä on avainasetus ympäristöille, joissa käyttäjien tulisi käyttää vain IT:n hyväksymiä VPN-konfiguraatioita. Koulut, jotka jakavat Vylosin oppilaiden iPadeille, vaatimustenmukaisuusvaatimuksia omaavat yritykset tai mikä tahansa organisaatio, joka tarvitsee ennakoitavaa VPN-käyttäytymistä eri laitteissa.

Asetusten lukitseminen

allowSettings-avaimen asettaminen arvoon false piilottaa Asetukset-kuvakkeen työkaluriviltä kokonaan. Puolustussyvyyden suojana, jos näkymään päästään muuta kautta, se näyttää "Asetuksia hallitsee organisaatiosi" -viestin. Käyttäjät eivät voi muuttaa sovelluksen suojausmenetelmää, viedä tunneliarkistoja tai tarkastella lokeja.

Laitteen eheyden pakottaminen

blockJailbrokenDevices-avaimen asettaminen arvoon true aktivoi jailbreak-tunnistuksen iOS:ssä. Vylos tarkistaa jailbreak-merkit neljällä menetelmällä: tunnetut jailbreak-tiedostopolut, rekisteröidyt URL-skeemat, hiekkalaatikon ohitusyritykset ja dynaamisten kirjastojen injektioskannaukset.

Jos jokin tarkistus epäonnistuu, sovellus näyttää koko näytön "Laitekäytännön rikkomus" -viestin, jota ei voi sulkea. Kaikki sovelluksen toiminnot estetään, kunnes laite palautetaan muokkaamattomaan tilaan. Tunnelitiedot säilytetään — mitään ei poisteta.

Tarkistus suoritetaan aloitusnäkymän latautuessa, joten se havaitsee jailbreakit, jotka tapahtuvat alkuperäisen käyttöönoton jälkeen.

Viivästyneen konfiguraation käsittely

MDM-konfiguraation toimitus ei ole aina välitöntä. Vylos sisältää uudelleenyritysmekanismin, joka pollaa hallittua konfiguraatiota enintään 30 sekuntia sovelluksen käynnistyksen ja etualalle siirtymisten jälkeen. Tämä käsittelee tapaukset, joissa MDM-profiili saapuu hieman sovelluksen avaamisen jälkeen — yleistä ensimmäisellä asennuksella tai laitteen uudelleenkäynnistyksen jälkeen.

Sovelluslukon ohitus

Kun mikä tahansa hallittu sovelluskonfiguraatio on käytössä, Vylos ohittaa automaattisesti sisäänrakennetun sovelluslukon (Face ID, Touch ID tai TOTP). Oletus on, että laitetason todennus on jo MDM-käytännön pakottama, joten toinen todennuskerros sovelluksen sisällä on tarpeeton.

Aloittaminen

Tunneliprofiilit käyttävät vakiomuotoisia .mobileconfig VPN -hyötykuormia — MDM ei ole välttämätön peruskäyttöönottoon. Rajoitusavaimille määritä ne MDM-ratkaisusi hallitun sovelluskonfiguraation kanavan kautta. Kaikki rajoitusavainten arvot ovat merkkijonoja — "false" ja "0" evaluoituvat epätodeksi, kaikki muu evaluoituu todeksi.

Katso ylläpidon opas täydellisen konfiguraatioavainten luettelon ja käyttöönottoesimerkkien osalta.