Implementacija VPN-a na nadzirane uređaje putem MDM-a
Instaliranje VPN profila na nadzirani uređaj je jednostavno — Appleov .mobileconfig format to rješava. Teži dio je kontrola onoga što se događa unutar samog VPN klijenta. Mogu li korisnici dodavati vlastite tunele? Mogu li mijenjati postavke? Što se događa ako je uređaj jailbreakan?
Vylos odgovara na ova pitanja putem tri ključa upravljane konfiguracije aplikacije koji se čitaju pri svakom pokretanju aplikacije i prijelazu u prednji plan.
Isporuka upravljanih tunela
Upravljani tuneli isporučuju se putem standardnih Apple .mobileconfig profila koji sadrže VPN pakete. Ovi profili mogu se instalirati ručno, distribuirati putem web portala ili isporučiti putem MDM-a. Svaka konfiguracija tunela uključuje standardna WireGuard polja — privatni ključ sučelja, javni ključ peera, krajnju točku, dopuštene IP-jeve — plus opciona pravila aktivacije na zahtjev.
Upravljani tuneli pojavljuju se u namjenskom odjeljku "Upravljani tuneli" u Vylosu. Korisnici mogu vidjeti status tunela i detalje veze, ali ne mogu mijenjati, brisati ni ručno upravljati upravljanim tunelima.
Ograničavanje korisničkog pristupa
Tri ključa ograničenja kontroliraju što korisnici mogu raditi:
Blokiranje ručnih tunela
Postavljanje allowManualTunnels na false uklanja sve korisničke elemente upravljanja tunelima. Odjeljak "Moji tuneli" nestaje, gumb Dodaj tunel je skriven, a svi postojeći VPN unosi tunela aplikacije suspendirani su iz iOS Postavki. Sami podaci tunela sačuvani su lokalno — kada se ograničenje ukine, sve se vraća.
Ovo je ključna postavka za okruženja u kojima bi korisnici trebali koristiti samo IT-odobrene VPN konfiguracije. Škole koje implementiraju Vylos na učeničke iPade, tvrtke sa zahtjevima usklađenosti ili bilo koja organizacija kojoj je potrebno predvidivo VPN ponašanje među uređajima.
Zaključavanje postavki
Postavljanje allowSettings na false potpuno skriva ikonu Postavke s alatne trake. Kao zaštita dubinske obrane, ako se zaslonu pristupi na drugi način, prikazuje poruku "Postavkama upravlja vaša organizacija". Korisnici ne mogu mijenjati metodu zaštite aplikacije, izvoziti arhive tunela ni pregledavati zapise.
Provedba integriteta uređaja
Postavljanje blockJailbrokenDevices na true aktivira otkrivanje jailbreaka na iOS-u. Vylos provjerava indikatore jailbreaka pomoću četiri metode: poznate putanje datoteka jailbreaka, registrirane URL sheme, pokušaji proboja sandboxa i skeniranja ubacivanja dinamičkih biblioteka.
Ako bilo koja provjera ne uspije, aplikacija prikazuje poruku "Kršenje politike uređaja" preko cijelog zaslona koja se ne može odbaciti. Sva funkcionalnost aplikacije blokirana je dok se uređaj ne vrati u neizmijenjeno stanje. Podaci tunela sačuvani su — ništa se ne briše.
Provjera se pokreće kada se učita početni prikaz, pa otkriva jailbreakove koji se dogode nakon inicijalne implementacije.
Upravljanje odgodenom konfiguracijom
Isporuka MDM konfiguracije nije uvijek trenutna. Vylos uključuje mehanizam ponovnog pokušaja koji ispituje upravljanu konfiguraciju do 30 sekundi nakon pokretanja aplikacije i prijelaza u prednji plan. Ovo pokriva slučajeve u kojima MDM profil stigne malo nakon što se aplikacija otvori — uobičajeno pri prvoj instalaciji ili nakon ponovnog pokretanja uređaja.
Zaobilazenje zaključavanja aplikacije
Kada je prisutna bilo koja upravljana konfiguracija aplikacije, Vylos automatski zaobilazi ugrađeno zaključavanje aplikacije (Face ID, Touch ID ili TOTP). Pretpostavka je da je autentifikacija na razini uređaja već nametnuta MDM politikom, pa je drugi sloj autentifikacije unutar aplikacije nepotreban.
Početni koraci
Profili tunela koriste standardne .mobileconfig VPN pakete — MDM nije potreban za osnovnu implementaciju. Za ključeve ograničenja konfigurirajte ih putem kanala upravljane konfiguracije aplikacije vašeg MDM rješenja. Sve vrijednosti ključeva ograničenja su nizovi znakova — "false" i "0" procjenjuju se kao false, sve ostalo procjenjuje se kao true.
Pogledajte administratorski vodič za potpuni popis konfiguracijskih ključeva i primjere implementacije.