Règles à la demande et DNS fractionné : le VPN automatique sans surcharge
La configuration VPN la plus simple est une bascule : activé ou désactivé. En pratique, cela signifie que les utilisateurs oublient de se connecter quand ils le devraient, ou qu'ils acheminent tout le trafic via le tunnel alors qu'ils n'en ont pas besoin — gaspillant de la bande passante et ajoutant de la latence pour les services qui ne nécessitent pas d'accès VPN.
Vylos 1.2.0 ajoute les règles d'activation à la demande et le DNS fractionné pour résoudre ces deux problèmes.
Activation à la demande
Les règles à la demande indiquent à Vylos quand connecter ou déconnecter automatiquement un tunnel en fonction des conditions réseau. Aucune bascule manuelle n'est requise.
Chaque tunnel peut être configuré avec des règles pour deux types de réseau :
- Cellulaire (iOS) ou Ethernet (macOS) — Connexion automatique sur données cellulaires ou connexion filaire
- Wi-Fi — Quatre modes :
- Désactivé — Pas d'activation automatique sur Wi-Fi
- Tout SSID — Connexion sur tout réseau Wi-Fi
- Uniquement ces SSID — Connexion uniquement sur des réseaux spécifiques (liste blanche)
- Sauf ces SSID — Connexion sur tous les Wi-Fi sauf des réseaux spécifiques (liste noire)
Les modes basés sur le SSID sont particulièrement utiles pour les organisations. « Uniquement ces SSID » garantit que le VPN s'active sur le Wi-Fi du bureau mais pas sur les réseaux domestiques des employés. « Sauf ces SSID » fait l'inverse — le VPN reste actif partout sauf sur le réseau d'entreprise de confiance où le trafic est déjà acheminé en interne.
Détection de conflits
Lorsque plusieurs tunnels ont des règles à la demande activées, elles peuvent entrer en conflit. Deux tunnels configurés pour s'activer sur le réseau cellulaire, ou deux tunnels revendiquant le même SSID — le résultat est imprévisible.
Vylos détecte quatre types de chevauchement :
- Chevauchement cellulaire ou Ethernet
- Chevauchement Wi-Fi « Tout SSID »
- Chevauchement de SSID spécifique (deux tunnels revendiquant le même nom de réseau)
- Chevauchement Wi-Fi large (un tunnel sur « Tout » en conflit avec un autre sur des SSID spécifiques)
Lorsqu'un conflit est détecté, Vylos affiche un avertissement pour que les administrateurs ou les utilisateurs puissent résoudre le conflit avant qu'il ne provoque un comportement inattendu. L'avertissement est informatif — il n'empêche pas l'enregistrement de la configuration.
DNS fractionné
Les configurations VPN standard acheminent toutes les requêtes DNS via le tunnel. Cela fonctionne, mais chaque recherche DNS — même pour les services publics — passe par le serveur VPN. Pour les organisations avec des noms d'hôte internes ne se résolvant que sur les DNS de l'entreprise, cela force tout le trafic via le tunnel uniquement pour atteindre quelques services internes.
Le DNS fractionné change la donne. Chaque tunnel peut être configuré avec deux ensembles de domaines :
Domaines de correspondance — Les requêtes DNS de ces domaines spécifiques sont acheminées via le tunnel. Tout le reste utilise le DNS par défaut de l'appareil. Par exemple, définir corp.example.com comme domaine de correspondance signifie que seules les requêtes pour ce domaine (et ses sous-domaines) passent par le VPN.
Domaines de recherche — Ajoutés aux requêtes de noms d'hôte simples. Si un utilisateur tape intranet dans un navigateur, l'appareil ajoute le domaine de recherche pour essayer intranet.example.com, qui est ensuite résolu via les DNS du tunnel.
Le résultat est que les ressources internes sont accessibles via le VPN tandis que le trafic externe circule normalement. Cela réduit la charge sur le serveur VPN et améliore les performances pour tout ce qui ne nécessite pas d'accès au tunnel.
Le format de fichier Vylos
Les fichiers WireGuard .conf standard ne prennent pas en charge les règles à la demande ni le DNS fractionné — ces fonctionnalités n'existent tout simplement pas dans la spécification de configuration WireGuard. Plutôt que de mélanger des champs personnalisés dans le format .conf, ce qui casserait la compatibilité avec les autres clients WireGuard, nous avons créé le format .vylos.
Un fichier .vylos est une archive ZIP qui regroupe le fichier WireGuard .conf standard aux côtés d'un fichier de réglages séparé pour les règles à la demande et la configuration du DNS fractionné. La configuration WireGuard reste intacte — pas de champs personnalisés, pas d'extensions propriétaires. Les réglages additionnels vivent dans leur propre fichier au sein de l'archive.
L'approche reste uniforme et propre. Un .conf exporté depuis Vylos fonctionne dans tout client WireGuard. Un fichier .vylos porte la configuration complète incluant les règles à la demande et le DNS fractionné, mais seul Vylos sait le lire.
L'exportation prend en charge trois options de format : .conf uniquement, .vylos uniquement, ou les deux.
Premiers pas
Les règles à la demande et le DNS fractionné sont disponibles dans Vylos 1.2.0 pour iOS, macOS et visionOS. Configurez-les par tunnel via le formulaire de modification de tunnel, ou poussez-les via MDM via les configurations de tunnels gérés.
Consultez le guide utilisateur pour les détails de configuration et le guide administrateur pour les options de déploiement MDM.