Configurer à la demande
Choisissez les réseaux sur lesquels chaque tunnel doit se connecter automatiquement.
Configuration
- Ouvrez un tunnel créé par l’utilisateur et choisissez Modifier, ou commencez à créer un nouveau tunnel.
- Ouvrez l’onglet Vylos du formulaire du tunnel.
- Activez les conditions réseau prises en charge que le tunnel doit surveiller.
- Pour le Wi-Fi, choisissez Tout SSID, Uniquement ces SSID ou Sauf ces SSID, puis saisissez les noms de réseau requis.
- Activez éventuellement Bloquer les connexions sans VPN.
- Enregistrez le tunnel et activez son commutateur À la demande.
Les règles À la demande sont propres à chaque tunnel. Les tunnels gérés reçoivent leurs règles du profil VPN de l’organisation et ne peuvent pas être modifiés dans Vylos.
Fonctionnement
Lorsque les règles À la demande sont activées, le système d’exploitation surveille les changements de réseau et active ou désactive le tunnel sans intervention. Vylos conserve ces règles avec le DNS fractionné dans les réglages Vylos du tunnel.
Cellulaire
Le commutateur Cellulaire détermine si le tunnel s’active automatiquement sur une connexion cellulaire, et iOS évalue cette règle. macOS et visionOS affichent la valeur avec la mention iOS uniquement afin de pouvoir modifier, importer et exporter une configuration universelle sans la perdre.
Les modèles Apple Vision Pro actuels ne possèdent pas d’interface cellulaire. Cette règle ne peut donc pas se déclencher sous visionOS.
remarque
L’énumération des interfaces Network Extension d’Apple comprend le cas cellular afin de rendre les règles transportables. Il correspond uniquement lorsque l’interface réseau principale actuelle est cellulaire ; sa présence dans le SDK visionOS ne signifie pas que Vision Pro possède une radio cellulaire.
Ethernet
Le commutateur Ethernet détermine si le tunnel s’active automatiquement sur Ethernet, et macOS évalue cette règle. iOS et visionOS affichent la valeur avec la mention macOS uniquement et la conservent pour une utilisation sur Mac.
Les trois apps affichent les deux commutateurs. Une plateforme ignore une règle non prise en charge, mais conserve sa valeur dans le tunnel et dans le fichier .vylos exporté.
Sur le matériel Vision Pro actuel, le Wi-Fi est la seule interface réseau pouvant correspondre à une règle À la demande.
Wi-Fi
Le réglage Wi-Fi propose quatre modes :
| Mode | Comportement |
|---|---|
| Désactivé | Le tunnel ne s’active pas automatiquement en Wi-Fi. |
| Tout SSID | Le tunnel s’active sur tous les réseaux Wi-Fi. |
| Uniquement ces SSID | Le tunnel s’active uniquement sur l’un des SSID indiqués. |
| Sauf ces SSID | Le tunnel s’active sur tous les réseaux Wi-Fi sauf les SSID indiqués. |
Avec Uniquement ces SSID ou Sauf ces SSID, saisissez au moins un SSID. Le formulaire affiche un message de validation si la liste est vide.
Coupe-circuit
Activez Bloquer les connexions sans VPN pour appliquer à ce tunnel le routage de tous les réseaux au niveau du système d’Apple. Si un tunnel À la demande armé devient indisponible, le système d’exploitation bloque la majeure partie du trafic au lieu de revenir immédiatement au réseau non protégé.
La commande devient disponible après la configuration d’au moins une règle À la demande. La désactivation de la dernière règle désactive également le coupe-circuit, car ce comportement de blocage exige un tunnel surveillé automatiquement.
Le réglage s’applique uniquement au tunnel sélectionné créé par l’utilisateur et est enregistré dans son fichier .vylos. Pour un tunnel géré, l’organisation contrôle la valeur de profil Apple équivalente IncludeAllNetworks, que Vylos affiche en lecture seule.
Influence des adresses IP autorisées sur le coupe-circuit
Le coupe-circuit et AllowedIPs ont des rôles distincts : le premier interdit au système d’exploitation de contourner le VPN, tandis que AllowedIPs détermine toujours le pair capable d’acheminer chaque destination. Vylos n’ajoute, ne supprime ni n’élargit les AllowedIPs lorsque vous activez le coupe-circuit.
| Routes combinées des pairs | Connexions possibles | Libellé Vylos |
|---|---|---|
| Toutes les adresses IPv4 et IPv6 | IPv4 et IPv6 utilisent le VPN. | Protection du tunnel complet |
| Tout IPv4 seulement ou tout IPv6 seulement | La famille couverte utilise le VPN ; l’autre est bloquée sans route propre. | Accès réseau restreint |
| Réseaux ou hôtes sélectionnés | Seules les destinations comprises dans ces routes peuvent se connecter. | Accès réseau restreint |
| Aucune route | Le trafic IP ordinaire est bloqué. | Aucune route sortante |
La valeur habituelle d’un tunnel complet double pile est 0.0.0.0/0, ::/0. Chaque serveur DNS doit aussi être couvert par les AllowedIPs d’au moins un pair ; sinon, Vylos avertit qu’il sera bloqué.
info
Apple exclut du routage VPN de tous les réseaux le trafic nécessaire au contrôle du réseau et à certains services de l’appareil, notamment DHCP, la négociation des portails captifs, certains services cellulaires et la communication avec les appareils compagnons. Le coupe-circuit bloque donc la majeure partie du trafic ordinaire des apps, mais ne garantit pas que chaque paquet système entre dans le VPN. Consultez la documentation Apple sur includeAllNetworks.
Comportement d’un tunnel À la demande
Les états d’un tunnel dont les règles À la demande sont activées diffèrent de ceux d’un tunnel standard :
- À la demande (jaune) — Les règles À la demande sont actives, mais le tunnel n’est pas connecté. Le système surveille le réseau et se connectera lorsqu’une condition correspondra.
- Connexion en cours — Une règle correspondante a demandé au système d’exploitation de démarrer le tunnel.
- À la demande (vert dans la liste) / Connecté (vert dans les détails) — Le tunnel est connecté, car le réseau actuel correspond à une règle À la demande. La liste conserve l’indication d’activation automatique, tandis que les détails affichent l’état réel de la connexion.
- Déconnexion en cours — La connexion s’arrête parce que la condition n’est plus remplie ou que l’activation automatique a été désactivée.
- Déconnecté (gris) — Le tunnel possède encore des règles À la demande, mais l’activation automatique est désactivée.
Le commutateur d’un tunnel À la demande active ou désactive ses règles À la demande ; il ne connecte ni ne déconnecte directement le tunnel.
Réévaluation automatique au premier plan
Lorsque Vylos revient au premier plan, l’app vérifie que le système d’exploitation maintient les règles À la demande de chaque tunnel actives et rétablit cet état si nécessaire. Le système décide ensuite de se connecter selon le réseau et les règles actuels ; Vylos ne force pas la connexion en l’absence de correspondance.
Détection des conflits À la demande
Lorsque les règles À la demande actives de plusieurs tunnels se chevauchent, Vylos affiche un avertissement en haut de la liste sous iOS, macOS et visionOS. Le comportement peut devenir imprévisible, car le système peut ne pas savoir quel tunnel activer.
Les images suivantes présentent l’interface iOS.
Ouvrez l’avertissement pour afficher tous les conflits. Chaque entrée indique les deux tunnels concernés et la raison.
Types de conflits
| Type de conflit | Description |
|---|---|
| Chevauchement cellulaire | Les deux tunnels doivent s’activer sur le réseau cellulaire. |
| Chevauchement Ethernet | Les deux tunnels doivent s’activer sur Ethernet sous macOS. |
| Chevauchement Tout SSID | Les deux tunnels doivent s’activer sur tous les réseaux Wi-Fi. |
| Chevauchement de SSID précis | Les deux tunnels doivent s’activer sur au moins un même SSID. |
| Chevauchement de la plupart des réseaux Wi-Fi | Les deux tunnels utilisent des règles Wi-Fi larges, comme deux listes d’exclusion, qui couvrent la plupart des réseaux. |
Modifiez l’un des tunnels et ajustez ses règles À la demande afin qu’elles ne chevauchent plus celles de l’autre tunnel.
Règles À la demande dans .vylos
Les règles À la demande sont enregistrées avec le DNS fractionné dans l’entrée settings.conf de l’archive .vylos. Consultez Format de fichier Vylos pour la référence officielle des clés et les exemples.