Regole su richiesta e split DNS: VPN automatica senza overhead

La configurazione VPN più semplice è un interruttore: acceso o spento. Ma nella pratica, questo significa che gli utenti dimenticano di connettersi quando dovrebbero, oppure instradano tutto il traffico attraverso il tunnel quando non ne hanno bisogno — sprecando larghezza di banda e aggiungendo latenza per servizi che non richiedono accesso VPN.

Vylos 1.2.0 aggiunge regole di attivazione su richiesta e split DNS per risolvere entrambi i problemi.

Attivazione su richiesta

Le regole su richiesta indicano a Vylos quando connettere o disconnettere automaticamente un tunnel in base alle condizioni di rete. Nessuna commutazione manuale richiesta.

Ogni tunnel può essere configurato con regole per due tipi di rete:

• Cellulare (iOS) o Ethernet (macOS) — Connessione automatica su dati cellulari o connessione via cavo
• Wi-Fi — Quattro modalità:
  • Disattivato — Nessuna attivazione automatica su Wi-Fi
  • Qualsiasi SSID — Connessione su qualsiasi rete Wi-Fi
  • Solo questi SSID — Connessione solo su reti specifiche (whitelist)
  • Tranne questi SSID — Connessione su tutti i Wi-Fi tranne reti specifiche (blacklist)

Le modalità basate su SSID sono particolarmente utili per le organizzazioni. "Solo questi SSID" garantisce che la VPN si attivi sulla rete Wi-Fi dell'ufficio ma non sulle reti domestiche dei dipendenti. "Tranne questi SSID" fa il contrario — la VPN rimane attiva ovunque tranne che sulla rete aziendale di fiducia dove il traffico è già instradato internamente.

Rilevamento conflitti

Quando più tunnel hanno regole su richiesta abilitate, possono entrare in conflitto. Due tunnel entrambi impostati per attivarsi sulla rete cellulare, o due tunnel che reclamano lo stesso SSID — il risultato è imprevedibile.

Vylos rileva quattro tipi di sovrapposizione:

• Sovrapposizione cellulare o Ethernet
• Sovrapposizione Wi-Fi "Qualsiasi SSID"
• Sovrapposizione SSID specifico (due tunnel che reclamano lo stesso nome di rete)
• Sovrapposizione Wi-Fi ampia (un tunnel su "Qualsiasi" in conflitto con un altro su SSID specifici)

Quando viene rilevato un conflitto, Vylos mostra un avviso affinché amministratori o utenti possano risolvere il conflitto prima che causi comportamenti imprevisti. L'avviso è informativo — non impedisce il salvataggio della configurazione.

DNS diviso

Le configurazioni VPN standard instradano tutte le query DNS attraverso il tunnel. Questo funziona, ma significa che ogni ricerca DNS — anche per servizi pubblici — passa attraverso il server VPN. Per le organizzazioni con nomi host interni che si risolvono solo sul DNS aziendale, questo forza tutto il traffico attraverso il tunnel solo per raggiungere pochi servizi interni.

Lo split DNS cambia questo. Ogni tunnel può essere configurato con due insiemi di domini:

Domini di corrispondenza — Le query DNS per questi domini specifici vengono instradate attraverso il tunnel. Tutto il resto utilizza il DNS predefinito del dispositivo. Ad esempio, impostando corp.example.com come dominio di corrispondenza, solo le query per quel dominio (e i suoi sottodomini) passano attraverso la VPN.

Domini di ricerca — Aggiunti alle query con nome host semplice. Se un utente digita intranet in un browser, il dispositivo aggiunge il dominio di ricerca per provare intranet.example.com, che viene quindi risolto attraverso il DNS del tunnel.

Il risultato è che le risorse interne sono raggiungibili attraverso la VPN mentre il traffico esterno fluisce normalmente. Questo riduce il carico sul server VPN e migliora le prestazioni per tutto ciò che non richiede accesso al tunnel.

Il formato di file Vylos

I file .conf standard di WireGuard non supportano le regole su richiesta o lo split DNS — queste funzionalità semplicemente non esistono nella specifica di configurazione WireGuard. Anziché mescolare campi personalizzati nel formato .conf, il che comprometterebbe la compatibilità con altri client WireGuard, abbiamo creato il formato .vylos.

Un file .vylos è un archivio ZIP che raggruppa il file .conf WireGuard standard insieme a un file di impostazioni separato per le regole su richiesta e la configurazione split DNS. La configurazione WireGuard rimane intatta — nessun campo personalizzato, nessuna estensione proprietària. Le impostazioni aggiuntive risiedono nel proprio file all'interno dell'archivio.

Questo mantiene le cose uniformi e pulite. Un .conf esportato da Vylos funziona in qualsiasi client WireGuard. Un file .vylos porta la configurazione completa incluse le impostazioni su richiesta e split DNS, ma solo Vylos sa come leggerlo.

L'esportazione supporta tre opzioni di formato: solo .conf, solo .vylos o entrambi.

Per iniziare

Le regole su richiesta e lo split DNS sono disponibili in Vylos 1.2.0 per iOS, macOS e visionOS. Configurarli per tunnel attraverso il modulo di modifica del tunnel, o inviarli tramite MDM attraverso configurazioni di tunnel gestiti.

Consultare la guida utente per i dettagli di configurazione e la guida per amministratori per le opzioni di distribuzione MDM.