Distribuzione VPN su dispositivi supervisionati con MDM

Installare un profilo VPN su un dispositivo supervisionato è semplice — il formato .mobileconfig di Apple gestisce questo aspetto. La parte più difficile è controllare cosa succede all'interno del client VPN stesso. Gli utenti possono aggiungere i propri tunnel? Possono cambiare le impostazioni? Cosa succede se il dispositivo è jailbroken?

Vylos risponde a queste domande attraverso tre chiavi di configurazione app gestita che vengono lette a ogni lancio dell'app e transizione in primo piano.

Invio di tunnel gestiti

I tunnel gestiti vengono consegnati attraverso profili Apple .mobileconfig standard contenenti payload VPN. Questi profili possono essere installati manualmente, distribuiti tramite un portale web o inviati via MDM. Ogni configurazione del tunnel include i campi WireGuard standard — chiave privata dell'interface, chiave pubblica del peer, endpoint, IP consentiti — più regole opzionali di attivazione su richiesta.

I tunnel gestiti compaiono in una sezione dedicata "Tunnel gestiti" in Vylos. Gli utenti possono vedere lo stato del tunnel e i dettagli della connessione, ma non possono modificare, eliminare o controllare manualmente i tunnel gestiti.

Limitazione dell'accesso degli utenti

Tre chiavi di restrizione controllano ciò che gli utenti possono fare:

Blocco dei tunnel manuali

Impostando allowManualTunnels su false si rimuove tutta la gestione dei tunnel rivolta all'utente. La sezione "I miei tunnel" scompare, il pulsante Aggiungi tunnel viene nascosto e tutte le voci VPN dei tunnel dell'app esistenti vengono sospese dalle Impostazioni iOS. I dati dei tunnel stessi vengono conservati localmente — quando la restrizione viene revocata, tutto torna disponibile.

Questa è l'impostazione chiave per gli ambienti dove gli utenti devono utilizzare solo configurazioni VPN approvate dall'IT. Scuole che distribuiscono Vylos sugli iPad degli studenti, aziende con requisiti di conformità, o qualsiasi organizzazione che necessiti di un comportamento VPN prevedibile su tutti i dispositivi.

Blocco delle impostazioni

Impostando allowSettings su false si nasconde completamente l'icona Impostazioni dalla toolbar. Come difesa in profondità, se la schermata viene raggiunta con altri mezzi, visualizza un messaggio "Le impostazioni sono gestite dalla tua organizzazione". Gli utenti non possono cambiare il metodo di protezione dell'app, esportare archivi di tunnel o visualizzare i log.

Applicazione dell'integrità del dispositivo

Impostando blockJailbrokenDevices su true si attiva il rilevamento del jailbreak su iOS. Vylos verifica la presenza di indicatori di jailbreak utilizzando quattro metodi: percorsi di file noti relativi al jailbreak, schemi URL registrati, tentativi di escape dalla sandbox e scansioni di iniezione di librerie dinamiche.

Se un qualsiasi controllo fallisce, l'app visualizza un messaggio a tutto schermo "Violazione della policy del dispositivo" che non può essere chiuso. Tutte le funzionalità dell'app vengono bloccate finché il dispositivo non viene ripristinato a uno stato non modificato. I dati dei tunnel vengono conservati — nulla viene eliminato.

Il controllo viene eseguito quando si carica la vista principale, intercettando così anche i jailbreak che avvengono dopo la distribuzione iniziale.

Gestione della configurazione ritardata

La consegna della configurazione MDM non è sempre istantanea. Vylos include un meccanismo di ripetizione che esegue il polling della configurazione gestita per un massimo di 30 secondi dopo il lancio dell'app e le transizioni in primo piano. Questo gestisce i casi in cui il profilo MDM arriva leggermente dopo l'apertura dell'app — comune alla prima installazione o dopo un riavvio del dispositivo.

Bypass del blocco app

Quando è presente una qualsiasi configurazione app gestita, Vylos bypassa automaticamente il proprio blocco app integrato (Face ID, Touch ID o TOTP). Il presupposto è che l'autenticazione a livello di dispositivo sia già applicata dalla policy MDM, rendendo superfluo un secondo livello di autenticazione all'interno dell'app.

Per iniziare

I profili tunnel utilizzano payload VPN .mobileconfig standard — non è richiesto MDM per la distribuzione base. Per le chiavi di restrizione, configurarle attraverso il canale configurazione app gestita della propria soluzione MDM. Tutti i valori delle chiavi di restrizione sono stringhe — "false" e "0" restituiscono falso, qualsiasi altro valore restituisce vero.

Consultare la guida per amministratori per l'elenco completo delle chiavi di configurazione e gli esempi di distribuzione.