Konfiguracija VPN-a po aplikaciji

Implementirajte Appleov payload com.apple.vpn.managed.applayer s ProviderType=packet-tunnel kako bi Apple odabrao promet dodijeljenih aplikacija, a Vylos ga prenosio kroz WireGuard.

Koraci implementacije

1. Izradite AppLayerVPN profil paketnog tunela prema .mobileconfig profilima.
2. Dodijelite profilu jedinstveni VPNUUID i uključite OnDemandMatchAppEnabled ako promet dodijeljene aplikacije treba automatski pokrenuti tunel.
3. Isporučite VPN profil putem MDM-a ili ga izravno instalirajte za testiranje.
4. Putem MDM-a instalirajte svaku ciljnu aplikaciju kao upravljanu i dodijelite joj isti VPNUUID.
5. Otvorite Vylos i provjerite prikazuje li upravljani tunel Po aplikaciji i očekivane identifikatore.
6. Otvorite dodijeljenu aplikaciju i provjerite prolazi li njezin promet kroz WireGuard dok nedodijeljena aplikacija ostaje izvan tunela.

Izravna instalacija profila može stvoriti VPN zapis, ali samo MDM može stvoriti produkcijske dodjele aplikacija.

Podjela odgovornosti

• Konfiguracijski profil instalira AppLayerVPN tunel putem MDM-a ili izravne instalacije .mobileconfig datoteke.
• MDM dodjeljuje VPNUUID profila upravljanim aplikacijama te mijenja ili uklanja dodjele. Sama izravna instalacija ne može stvoriti produkcijska mapiranja aplikacija na VPN.
• Appleov operacijski sustav stvara pravila izvornih aplikacija, provjerava podudaranje aplikacija i domena, pokreće tunel na zahtjev i pružatelju šalje samo odgovarajući promet.
• Vylos prikazuje VPN u vlasništvu profila kao upravljani tunel samo za čitanje i prenosi promet kroz WireGuard.
• WireGuard poslužitelj vidi obične WireGuard pakete i ne treba posebnu AppLayerVPN implementaciju.

Sustav primjenjuje dodjelu aplikacije prije nego što odgovarajući promet stigne do Vylosa. Odabir rute automatski je, a konfiguracija WireGuard poslužitelja ostaje ista kao za tunel na razini uređaja.

Vylos ne stvara, ne uređuje i ne uklanja produkcijska mapiranja aplikacija. AppLayerVPN tuneli nisu dostupni ni u Siri prečacima jer njihovim životnim ciklusom upravljaju MDM i Apple Postavke.

Što Vylos prikazuje

Svaki zaslon pojedinosti tunela sadrži odjeljak Usmjeravanje aplikacija samo za čitanje:

• AppLayerVPN tunel prikazuje Po aplikaciji i identifikatore potpisa koje Apple prijavljuje za aplikacije dodijeljene MDM-om. Ako pravilo sadrži filtre odredišta, Vylos prikazuje i odgovarajuće domene. Identifikator poput com.example.corporate-app može se prikazati doslovno jer Apple ne otkriva naziv svake aplikacije.
• Uobičajeni paketni tunel po odredišnoj IP adresi prikazuje Cijeli uređaj i Sve aplikacije. To znači da prikladan promet slijedi rute tunela, a ne da je Vylos pregledao ili popisao sve aktivne aplikacije.

Appleov API paketnog tunela ne pruža pouzdan popis procesa za VPN na razini uređaja. Vylos stoga ne može prikazati pojedinačne aplikacije koje koriste običan VPN i ne zaključuje takav popis iz brojača prometa.

Podržane mogućnosti

Vylos paketni tunel podržava sljedeće AppLayerVPN mogućnosti:

• VPNUUID veze za aplikacije kojima upravlja MDM.
• Automatsku aktivaciju putem OnDemandMatchAppEnabled kada dodijeljena aplikacija započne mrežnu komunikaciju.
• Usmjeravanje izvorne aplikacije koje pruža Appleov operacijski sustav.
• AssociatedDomains, ExcludedDomains i SafariDomains, uz Appleove zahtjeve za platformu i povezivanje domena.
• SMBDomains i polja domena pojedinih usluga na platformama na kojima ih Apple pruža.
• Pravila prekida veze na zahtjev koja sustavu govore kada odgovarajuće aplikacije trebaju zaobići tunel.
• Stanje Vylosa samo za čitanje, trenutačni WireGuard handshake, brojače prometa, povijest propusnosti, zapisnike i nazive obavijesti za nastali upravljani tunel.
• Identifikatore potpisa aplikacija i odgovarajuće domene koje prijavljuje sustav, samo za čitanje.

Apple procjenjuje pravila aplikacija i domena prije nego što paketi stignu do Vylosa. Polja profila ostaju u vlasništvu MDM-a i ne prikazuju se kao uređiva pravila Vylosa na zahtjev.

Izrada VPN profila

Izradite AppLayerVPN payload prema referenci .mobileconfig profili. Ta je stranica mjerodavan izvor identifikatora Vylos pružatelja, VPNUUID vrijednosti, prijenosa WireGuard konfiguracije i potpunog primjera profila.

Postavite OnDemandMatchAppEnabled na true kada promet dodijeljene aplikacije treba automatski pokrenuti tunel.

OnDemandMatchAppEnabled jamči automatsku aktivaciju, ali ne i trenutačno gašenje tunela nakon zatvaranja aplikacije. Sustav može zadržati vezu za ponovnu upotrebu, no pravila i dalje ograničavaju koje aplikacije mogu slati promet kroz tunel.

Odgovarajuće pravilo prekida veze na zahtjev upravlja zaobilaženjem u svojim mrežnim uvjetima.

Dodjela aplikacija

iOS, iPadOS i visionOS

Instalirajte svaku ciljnu aplikaciju kao upravljanu i dodijelite joj isti VPNUUID kao AppLayerVPN payload-u. Sustav stvara jedno pravilo za svaku odgovarajuću dodjelu.

Safari je poseban slučaj: Apple koristi SafariDomains za odabir web-mjesta koja koriste tunel. Opće mapiranje ne može sve Appleove sistemske aplikacije poslati kroz VPN po aplikaciji.

Zamjena ili uklanjanje dodjele

Na iOS-u, iPadOS-u i visionOS-u veza aplikacije s VPN-om atribut je upravljane aplikacije odvojen od AppLayerVPN profila. Stoga zamjena ili uklanjanje samo VPN profila ne uklanja postojeću VPNUUID vezu.

Kada se dodjela promijeni, MDM mora ažurirati ApplicationAttributes ciljane aplikacije tako da stari VPNUUID više ne postoji. Ako MDM konzola kaže da je dodjela uklonjena, a Vylos i dalje prikazuje aplikaciju, ponovno pošaljite ili ažurirajte njezinu instalacijsku ili konfiguracijsku dodjelu.

MDM proizvodi tu radnju mogu nazivati Ponovno instaliraj, Ažuriraj ili Ponovno pošalji naredbu instalacije. Ne uklanjajte VPN profil samo radi skrivanja zastarjelog pravila.

Vylos prikazuje pravila koja sustav trenutačno prijavljuje. Nema dodijeljenih aplikacija pojavljuje se tek nakon što Apple ukloni atribut i nastalo pravilo.

Ako MDM pruža Appleov upit ManagedApplicationAttributes, administrator može potvrditi prijavljuje li uređaj i dalje VPNUUID aplikacije.

macOS

Implementirajte com.apple.vpn.managed.appmapping payload uz AppLayerVPN payload. Svako mapiranje navodi identifikator paketa i potpisa, designated requirement te odgovarajući VPNUUID ciljane aplikacije.

Neobavezni niz MatchTools koristite kada VPN trebaju koristiti samo odabrani pomoćni alati koje aplikacija pokrene. Primjerice, možete mapirati potpisani alat naredbenog retka pokrenut iz Terminala bez mapiranja svih Terminalovih veza.

Nepodržane vrste pružatelja

Vylos ne podržava ProviderType=app-proxy, koji zahtijeva zaseban pružatelj prosljeđivanja tokova i poslužitelj. Umjesto toga WireGuard IP pakete prenosi putem ProviderType=packet-tunnel.

Vylos ne pruža ni Appleove ugrađene IPsec ili IKEv2 implementacije. Profili tih protokola koriste sistemske VPN pružatelje, ne Vylos proširenje.

Appleova pravila i polja opisana su u referenci AppLayerVPN, payload-u mapiranja aplikacija, referenci ApplicationAttributes, upitu ManagedApplicationAttributes i vodiču za usmjeravanje VPN prometa.