Déployer le VPN sur des appareils supervisés avec le MDM

Installer un profil VPN sur un appareil supervisé est simple — le format Apple .mobileconfig s'en charge. La partie plus complexe est de contrôler ce qui se passe à l'intérieur du client VPN. Les utilisateurs peuvent-ils ajouter leurs propres tunnels ? Peuvent-ils modifier les réglages ? Que se passe-t-il si l'appareil est jailbreaké ?

Vylos répond à ces questions via trois clés de configuration d'application gérée lues à chaque lancement de l'application et passage au premier plan.

Pousser des tunnels gérés

Les tunnels gérés sont livrés via des profils Apple .mobileconfig standard contenant des payloads VPN. Ces profils peuvent être installés manuellement, distribués via un portail web, ou poussés via MDM. Chaque configuration de tunnel inclut les champs WireGuard standard — clé privée de l'interface, clé publique du pair, point de terminaison, adresses IP autorisées — plus des règles optionnelles d'activation à la demande.

Les tunnels gérés apparaissent dans une section dédiée « Tunnels gérés » dans Vylos. Les utilisateurs peuvent voir l'état du tunnel et les détails de connexion, mais ne peuvent pas modifier, supprimer ni contrôler manuellement les tunnels gérés.

Restreindre l'accès utilisateur

Trois clés de restriction contrôlent ce que les utilisateurs peuvent faire :

Bloquer les tunnels manuels

Définir allowManualTunnels à false retire toute la gestion de tunnels côté utilisateur. La section « Mes tunnels » disparaît, le bouton Ajouter un tunnel est masqué, et toutes les entrées VPN de tunnels applicatifs existants sont suspendues des Réglages iOS. Les données des tunnels sont préservées localement — lorsque la restriction est levée, tout est restauré.

Ce réglage est essentiel pour les environnements où les utilisateurs ne doivent utiliser que des configurations VPN approuvées par l'IT. Les établissements scolaires déployant Vylos sur des iPad d'élèves, les entreprises avec des exigences de conformité, ou toute organisation nécessitant un comportement VPN prévisible sur tous les appareils.

Verrouiller les réglages

Définir allowSettings à false masque entièrement l'icône Réglages de la barre d'outils. En mesure de défense en profondeur, si l'écran est atteint par d'autres moyens, il affiche le message « Les réglages sont gérés par votre organisation ». Les utilisateurs ne peuvent pas modifier la méthode de protection de l'application, exporter les archives de tunnels ni consulter les journaux.

Garantir l'intégrité de l'appareil

Définir blockJailbrokenDevices à true active la détection de jailbreak sur iOS. Vylos vérifie les indicateurs de jailbreak à l'aide de quatre méthodes : chemins de fichiers de jailbreak connus, schémas d'URL enregistrés, tentatives d'évasion de sandbox et scans d'injection de bibliothèques dynamiques.

Si l'un des contrôles échoue, l'application affiche un message « Violation de la politique de l'appareil » en plein écran qui ne peut pas être fermé. Toutes les fonctionnalités de l'application sont bloquées jusqu'à ce que l'appareil soit restauré dans un état non modifié. Les données des tunnels sont préservées — rien n'est supprimé.

Le contrôle s'exécute au chargement de la vue d'accueil, détectant ainsi les jailbreaks survenant après le déploiement initial.

Gestion de la configuration différée

La livraison de la configuration MDM n'est pas toujours instantanée. Vylos inclut un mécanisme de nouvelle tentative qui interroge la configuration gérée pendant 30 secondes maximum après le lancement de l'application et les passages au premier plan. Ce mécanisme gère les cas où le profil MDM arrive légèrement après l'ouverture de l'application — courant lors de la première installation ou après un redémarrage de l'appareil.

Contournement du verrouillage

Lorsqu'une configuration d'application gérée est présente, Vylos contourne automatiquement son verrouillage intégré (Face ID, Touch ID ou TOTP). Le principe est que l'authentification au niveau de l'appareil est déjà appliquée par la politique MDM, une seconde couche d'authentification dans l'application est donc inutile.

Premiers pas

Les profils de tunnel utilisent des payloads VPN .mobileconfig standard — aucun MDM n'est requis pour un déploiement de base. Pour les clés de restriction, configurez-les via le canal de configuration d'application gérée de votre solution MDM. Toutes les valeurs des clés de restriction sont des chaînes — "false" et "0" sont évalués à faux, tout le reste est évalué à vrai.

Consultez le guide administrateur pour la liste complète des clés de configuration et des exemples de déploiement.