MDMで監視対象デバイスにVPNをデプロイする

監視対象デバイスにVPNプロファイルをインストールすることは簡単です。Appleの.mobileconfigフォーマットがそれを処理します。難しいのは、VPNクライアント自体の中で起こることの制御です。ユーザが自分でトンネルを追加できるか？設定を変更できるか？デバイスが脱獄された場合はどうなるか？

Vylosは、アプリの起動とフォアグラウンド遷移のたびに読み取られる3つの管理対象アプリ構成キーでこれらに対応します。

管理対象トンネルのプッシュ

管理対象トンネルは、VPNペイロードを含む標準のApple .mobileconfigプロファイルを通じて配信されます。手動でのインストール、Webポータル経由の配布、またはMDM経由のプッシュが可能です。各トンネル構成には標準のWireGuardフィールド（インターフェイス秘密鍵、ピア公開鍵、エンドポイント、Allowed IPs）に加えて、オプションのオンデマンドアクティベーションルールが含まれます。

管理対象トンネルはVylosの専用「管理対象トンネル」セクションに表示されます。ステータスと接続の詳細は確認できますが、管理対象トンネルの変更、削除、手動制御はできません。

ユーザアクセスの制限

3つの制限キーでユーザが行える操作を制御します：

手動トンネルのブロック

allowManualTunnelsをfalseに設定すると、ユーザ向けのトンネル管理がすべて削除されます。「マイトンネル」セクションが消え、トンネル追加ボタンが非表示になり、既存のアプリトンネルVPNエントリがiOS設定から一時停止されます。トンネルデータ自体はローカルで保持されます。制限が解除されるとすべてが復元されます。

これは、ユーザがIT承認済みのVPN構成のみを使用すべき環境向けの主要な設定です。学生用iPadにVylosをデプロイする学校、コンプライアンス要件を持つ企業、デバイス全体で予測可能なVPN動作を必要とするあらゆる組織に適しています。

設定のロックダウン

allowSettingsをfalseに設定すると、設定アイコンがツールバーから完全に非表示になります。多層防御ガードとして、他の手段で画面にアクセスした場合、「設定は組織によって管理されています」というメッセージが表示されます。アプリ保護方式の変更、トンネルアーカイブのエクスポート、ログの表示はできなくなります。

デバイスの整合性の確保

blockJailbrokenDevicesをtrueに設定すると、iOSで脱獄検出がアクティベートされます。Vylosは4つの方法で脱獄の兆候を確認します：既知の脱獄ファイルパス、登録されたURLスキーム、サンドボックス脱出の試み、動的ライブラリインジェクションスキャン。

いずれかのチェックが失敗すると、アプリは閉じることのできない「デバイスポリシー違反」のフルスクリーンメッセージを表示します。デバイスが未改変の状態に復元されるまで、すべてのアプリ機能がブロックされます。トンネルデータは保持されます。何も削除されません。

チェックはホーム画面のロード時に実行されるため、初回デプロイ後に行われた脱獄も検出されます。

遅延構成への対応

MDM構成の配信は必ずしも即座ではありません。Vylosにはアプリ起動とフォアグラウンド遷移後に最大30秒間管理構成をポーリングするリトライメカニズムが含まれています。MDMプロファイルがアプリの起動よりもわずかに遅れて到着するケース（初回インストール時やデバイス再起動後に一般的）に対応します。

アプリロックバイパス

管理対象アプリ構成が存在すると、Vylosは組み込みのアプリロック（Face ID、Touch ID、TOTP）を自動的にバイパスします。デバイスレベルの認証が既にMDMポリシーによって適用されているため、アプリ内の2つ目の認証レイヤーは不要という前提です。

はじめに

トンネルプロファイルは標準の.mobileconfig VPNペイロードを使用します。基本的なデプロイメントにはMDMは不要です。制限キーについては、MDMソリューションの管理対象アプリ構成チャネルを通じて構成してください。すべての制限キーの値は文字列です。"false"と"0"はfalseと評価され、それ以外はすべてtrueと評価されます。

構成キーとデプロイメント例の完全なリストについては管理者ガイドを参照してください。