Mengonfigurasi VPN Per Aplikasi

Terapkan payload Apple com.apple.vpn.managed.applayer dengan ProviderType=packet-tunnel agar Apple memilih lalu lintas aplikasi yang ditetapkan dan Vylos membawanya melalui WireGuard.

Langkah Penerapan

1. Buat profil tunnel paket AppLayerVPN dari Menerapkan dengan Profil .mobileconfig.
2. Beri profil VPNUUID unik dan aktifkan OnDemandMatchAppEnabled jika lalu lintas aplikasi yang ditetapkan harus memulai tunnel secara otomatis.
3. Kirim profil VPN melalui MDM atau pasang langsung untuk pengujian.
4. Gunakan MDM untuk memasang setiap aplikasi target sebagai aplikasi terkelola dan tetapkan VPNUUID yang sama.
5. Buka Vylos dan pastikan tunnel terkelola menampilkan Per Aplikasi serta pengenal aplikasi yang diharapkan.
6. Buka aplikasi yang ditetapkan dan pastikan lalu lintasnya menggunakan WireGuard, sementara aplikasi yang tidak ditetapkan tetap di luar tunnel.

Pemasangan profil langsung dapat membuat entri VPN, tetapi hanya MDM yang dapat membuat penetapan aplikasi produksi.

Pembagian Tanggung Jawab

• Profil konfigurasi memasang tunnel AppLayerVPN melalui MDM atau pemasangan .mobileconfig langsung.
• MDM menetapkan VPNUUID profil ke aplikasi terkelola dan mengganti atau menghapus penetapan tersebut. Pemasangan profil langsung saja tidak dapat membuat pemetaan aplikasi-ke-VPN untuk produksi.
• Sistem operasi Apple membuat aturan aplikasi sumber, mengevaluasi kecocokan aplikasi dan domain, memulai tunnel sesuai permintaan, lalu hanya mengirim lalu lintas yang cocok ke penyedia.
• Vylos menampilkan VPN milik profil sebagai tunnel terkelola baca-saja dan membawa lalu lintasnya melalui WireGuard.
• Server WireGuard melihat paket WireGuard biasa dan tidak memerlukan implementasi server khusus AppLayerVPN.

Sistem menerapkan penetapan aplikasi sebelum lalu lintas yang cocok mencapai Vylos. Pilihan perutean ini otomatis, dan konfigurasi server WireGuard tetap sama seperti tunnel seluruh perangkat.

Vylos tidak membuat, mengedit, atau menghapus pemetaan aplikasi produksi. Tunnel AppLayerVPN juga tidak tersedia di Pintasan Siri karena siklus hidupnya dimiliki MDM dan Pengaturan Apple.

Yang Ditampilkan Vylos

Setiap layar detail tunnel memiliki bagian Perutean Aplikasi baca-saja:

• Tunnel AppLayerVPN menampilkan Per Aplikasi dan mencantumkan pengenal penandatanganan yang dilaporkan Apple untuk aplikasi yang ditetapkan MDM. Jika aturan berisi filter tujuan, Vylos juga menampilkan domain yang cocok. Pengenal seperti com.example.corporate-app dapat ditampilkan apa adanya karena Apple tidak menyediakan nama tampilan semua aplikasi.
• Tunnel paket berbasis IP tujuan biasa menampilkan Seluruh Perangkat dan Semua Aplikasi. Ini berarti lalu lintas perangkat yang memenuhi syarat mengikuti rute tunnel, bukan berarti Vylos memeriksa atau mencantumkan semua aplikasi yang berjalan.

API tunnel paket Apple tidak menyediakan daftar per proses yang andal untuk VPN seluruh perangkat. Karena itu, Vylos tidak dapat menampilkan aplikasi individu yang sedang menggunakan VPN biasa dan tidak menyimpulkan daftar tersebut dari penghitung lalu lintas.

Kemampuan Tunnel Paket yang Didukung

Jalur tunnel paket Vylos mendukung kemampuan AppLayerVPN berikut:

• Kaitan VPNUUID untuk aplikasi yang dikelola MDM.
• Aktivasi otomatis melalui OnDemandMatchAppEnabled ketika aplikasi yang ditetapkan memulai komunikasi jaringan.
• Perutean aplikasi sumber yang disediakan sistem operasi Apple.
• AssociatedDomains, ExcludedDomains, dan SafariDomains, sesuai persyaratan platform dan asosiasi domain Apple.
• SMBDomains serta bidang domain khusus layanan pada platform tempat Apple menyediakannya.
• Aturan pemutusan sesuai permintaan yang memberi tahu sistem kapan aplikasi yang cocok harus melewati tunnel.
• Status Vylos baca-saja, handshake WireGuard saat ini, penghitung lalu lintas, riwayat bandwidth, log, dan penamaan pemberitahuan untuk tunnel terkelola yang dihasilkan.
• Pengenal penandatanganan aplikasi dan domain cocok baca-saja yang dilaporkan sistem operasi.

Apple mengevaluasi aturan aplikasi dan domain sebelum paket mencapai Vylos. Karena itu, bidang profil tetap dimiliki MDM dan tidak muncul sebagai aturan sesuai permintaan Vylos yang dapat diedit.

Membuat Profil VPN

Buat payload AppLayerVPN dari referensi Profil .mobileconfig. Halaman tersebut menjadi sumber resmi untuk pengenal penyedia Vylos, VPNUUID, pengiriman konfigurasi WireGuard, dan contoh profil lengkap.

Atur OnDemandMatchAppEnabled ke true jika lalu lintas aplikasi yang ditetapkan harus memulai tunnel secara otomatis.

OnDemandMatchAppEnabled menjamin aktivasi otomatis, tetapi tidak menjamin iOS segera menghentikan tunnel ketika aplikasi ditutup. Sistem dapat mempertahankan sambungan untuk digunakan kembali, tetapi aturan aplikasi tetap membatasi aplikasi yang boleh mengirim lalu lintas melalui tunnel.

Aturan pemutusan sesuai permintaan yang cocok mengontrol perilaku bypass untuk kondisi jaringannya.

Menetapkan Aplikasi

iOS, iPadOS, dan visionOS

Pasang setiap aplikasi target sebagai aplikasi terkelola dan tetapkan VPNUUID yang sama seperti payload AppLayerVPN. Sistem membuat satu aturan aplikasi untuk setiap penetapan aplikasi terkelola yang cocok.

Safari merupakan kasus khusus: Apple menggunakan SafariDomains untuk memilih situs yang memakai tunnel. Pemetaan umum tidak dapat mengirim semua aplikasi sistem Apple melalui VPN per aplikasi.

Mengganti atau Menghapus Penetapan

Di iOS, iPadOS, dan visionOS, hubungan aplikasi-ke-VPN adalah atribut aplikasi terkelola yang terpisah dari profil AppLayerVPN. Karena itu, hanya mengganti atau menghapus profil VPN tidak menghapus hubungan VPNUUID aplikasi yang sudah ada.

Saat penetapan berubah, layanan MDM harus memperbarui ApplicationAttributes aplikasi target agar VPNUUID lama tidak lagi ada. Jika konsol MDM menunjukkan penetapan sudah dihapus tetapi Vylos masih menampilkan aplikasi, kirim ulang atau perbarui penetapan pemasangan atau konfigurasi aplikasi terkelola tersebut.

Beberapa produk MDM menamai tindakan ini Pasang Ulang, Perbarui, atau Kirim Ulang Perintah Pemasangan. Jangan hapus profil VPN hanya untuk menyembunyikan aturan aplikasi yang usang.

Vylos menampilkan aturan yang sedang dilaporkan sistem. Tidak Ada Aplikasi yang Ditetapkan baru muncul setelah Apple menghapus atribut aplikasi terkelola dan aturan yang dihasilkannya.

Jika layanan MDM menyediakan kueri Apple ManagedApplicationAttributes, administrator dapat memakainya untuk memastikan apakah perangkat masih melaporkan VPNUUID untuk aplikasi tersebut.

macOS

Terapkan payload com.apple.vpn.managed.appmapping bersama payload AppLayerVPN. Setiap pemetaan memberikan pengenal bundle, pengenal penandatanganan, designated requirement, dan VPNUUID yang cocok untuk aplikasi target.

Gunakan array opsional MatchTools bila hanya alat bantu tertentu yang diluncurkan aplikasi harus memakai VPN. Misalnya, administrator dapat memetakan alat baris perintah bertanda tangan yang diluncurkan dari Terminal tanpa memetakan semua sambungan Terminal.

Jenis Penyedia yang Tidak Didukung

Vylos tidak mendukung ProviderType=app-proxy, yang memerlukan penyedia penerusan aliran dan server tersendiri. Vylos membawa paket IP WireGuard melalui ProviderType=packet-tunnel.

Vylos juga tidak menyediakan implementasi IPsec atau IKEv2 bawaan Apple. Profil protokol tersebut memakai penyedia VPN bawaan sistem operasi, bukan ekstensi Vylos.

Untuk aturan platform dan bidang payload Apple, lihat referensi payload AppLayerVPN, payload pemetaan aplikasi, referensi ApplicationAttributes, kueri ManagedApplicationAttributes, dan panduan perutean lalu lintas VPN.