メインコンテンツまでスキップ

用語集

Vylosドキュメント全体で使用されるWireGuard、Appleプラットフォーム、MDMに関する用語を定義します。

許可された IP

Allowed IPsは、WireGuardピアを経由してルーティングするIPアドレス範囲を設定するもので、AllowedIPsフィールドで構成します。Vylosでは、トンネルの詳細画面のピアセクションにこの値が表示されます。

アプリ作成トンネル

アプリ作成トンネルは、インポート、QRコード、または手動入力によって自分で追加するWireGuardトンネルで、内部的にはTunnelSource.appとして追跡されます。マイトンネルセクションに表示され、管理対象トンネルとは異なり完全に編集可能です。

App Group

App Groupは共有ストレージコンテナで、Vylosとそのエクステンション（ネットワークエクステンションやQuick Lookプレビューなど）がトンネル構成や通知設定などのデータを共有できるようにします。Quick Lookエクステンションは意図的にアクセス権を持たず、ファイルプレビューをライブトンネルリストから分離しています。

AppLayerVPN

AppLayerVPNはAppleの管理対象アプリ別VPN構成プロファイルで、com.apple.vpn.managed.applayerで識別されます。割り当てられたアプリの通信をオペレーティングシステムが選別する仕組みです。

Vylosはpacket-tunnelプロバイダモードに対応しています。MDMが共通のVPNUUIDで対象アプリを関連付け、Appleが一致するIPパケットをVylosへ送り、VylosがWireGuard経由で転送します。別方式のapp-proxyモードには対応していません。

アプリルーティング

アプリルーティングは、Appleが管理対象トンネルの使用を許可するアプリを示します。AppLayerVPNトンネルでは、Vylosにアプリごとと、システムが報告した署名識別子および一致ドメインが表示されます。

通常のデバイス全体トンネルにはデバイス全体とすべてのアプリが表示されます。Appleは、そのトンネルを使う個々のプロセスを確実に一覧化する仕組みを提供していないためです。

アプリロック

アプリロックは、Face ID、Touch ID、デバイスパスコード、または認証アプリからの6桁のTOTPコードでVylosを保護します。管理対象アプリ構成が存在する場合は自動的に無効になります。MDMシステムがすでにデバイスを保護しているためです。

競合検出

競合検出は、2つ以上の有効なトンネルのオンデマンドルールが重複している場合に警告を表示します。たとえば、同じWi-Fiネットワークで両方がアクティブになるような場合です。Vylosはホーム画面にバナーを表示し、競合するペアをリストアップして、ルールを調整できるようにします。

構成プロファイル

構成プロファイルは、MDMサーバがデバイスにインストールするAppleの.mobileconfigペイロードで、設定やVPNトンネルを配信するために使用します。Vylosは、管理対象アプリ構成とは別に、com.apple.vpn.managedペイロードタイプを使用して管理対象トンネルを作成します。

Continuity Camera

Continuity Cameraは、ペアリングしたiPhoneのカメラをMacの入力ソースとして使用する機能です。Vylosはこの機能を利用して、macOS 14以降でWireGuard QRコードをスキャンします。Macにはスキャンに適した位置のカメラが内蔵されていないためです。

フラップストーム

フラップストームは、不安定なネットワークによって引き起こされる接続と切断の急速なサイクルです。Vylosは各通知タイプを30秒に1回の配信に制限し、フラップストームによるアラートの洪水を防ぎます。

ハンドシェイク

ハンドシェイクは、WireGuardピアが安全な接続を確立するために完了する暗号鍵交換です。Vylosはトンネルのステータスセクションに、最新のハンドシェイクからの経過時間を「2分前」のように表示します。

インターフェイス

インターフェイスはWireGuard構成の[Interface]セクションで、ローカルデバイスの秘密鍵、アドレス、DNSサーバ、リッスンポートを保持します。Vylosはアプリトンネルの詳細画面のインターフェイスセクションにこれらのフィールドを表示します。

脱獄検出

脱獄検出は、4つの方法を使用してiOSデバイスの改ざんの兆候をチェックします：疑わしいファイルパス、URLスキーム登録、サンドボックス脱出テスト、およびロードされた動的ライブラリのスキャンです。Vylosは、blockJailbrokenDevices MDMキーが有効になっている場合にのみ、検出時にアプリのアクセスをブロックします。

Keychain連携ストレージ

Keychain連携ストレージは、トンネルの構成をデバイスのKeychainとアプリデータベースに保存します。システムエントリにはpasswordReferenceポインタのみが格納され、秘密鍵をセキュリティの低いシステムストレージから隔離します。

キルスイッチ

キルスイッチは、待機状態のオンデマンドトンネルを通常のネットワーク通信の大部分が迂回しないようにブロックします。ユーザーが作成したトンネルでは、この選択が.vylosファイルのRouting.KillSwitchとして保存されます。管理対象トンネルでは、AppleのプロファイルフィールドVPN.IncludeAllNetworksが使われます。WireGuardのAllowedIPsは引き続き、ピアを経由できる宛先を決定します。そのため、一部だけを含む経路セットはフルトンネルではなく、厳格な許可リストとして動作します。

Appleは、ネットワーク制御や一部のデバイスサービスに必要な通信を引き続き許可します。したがって、この用語は文字どおりすべてのシステムパケットがVPNに入ることを意味しません。

管理対象アプリ構成

管理対象アプリ構成は、MDMが配信する構成で、VylosはAppleのcom.apple.configuration.managedキーから読み取ります。この構成が存在するとアプリロックが自動的にバイパスされ、3つの制限キーを設定できます。

管理対象トンネル

管理対象トンネルは、組織が構成プロファイルを通じてデプロイするWireGuardトンネルで、内部的にはTunnelSource.managedとして追跡されます。管理対象トンネルセクションに読み取り専用で表示され、プロファイルが削除されると自動的に削除されます。

マッチドメイン

マッチドメインは、デフォルトのネットワークではなくトンネルのDNSサーバを経由してDNSクエリをルーティングするドメインです。マッチドメインとしてcorp.example.comを追加すると、server.corp.example.comのルックアップがトンネル経由でルーティングされます。

MDM

MDM（モバイルデバイス管理）は、Jamf、Kandji、Intune、Workspace ONE、Mosyleなどのエンタープライズシステムの総称で、IT管理者がデバイスフリートの構成とセキュリティ保護に使用します。Vylosは、管理対象アプリ構成と構成プロファイルをサポートするすべてのMDMと連携します。

ネットワークエクステンション

ネットワークエクステンションは、Vylosのメインアプリプロセスとは別に、実際のWireGuardトンネルを実行するバックグラウンドシステムプロセスです。Vylosはこのプロセスと通信して、プロバイダメッセージの送信、帯域幅スナップショットの収集、WireGuard診断ログの書き込みを行います。

オンデマンドルール

オンデマンドルールは、デバイスが一致するセルラー、Wi-Fi、またはEthernetネットワークに接続したときに、トンネルを自動的に接続します。各ルールはトンネルの.vylos設定ファイルの[OnDemandRule]セクションに格納され、いずれか1つのルールが一致するとトンネルがアクティブになります。

Optic ID

Optic IDは、Apple Vision Proの目ベースの生体認証システムです。Vylosのアプリロックは、visionOSではOptic IDを直接ラベル表示するのではなく、パスコードプロンプトにフォールバックします。

オーナメント

オーナメントは、ウィンドウのメインコンテンツの外側に浮かび、端の1つに固定されるvisionOS UIエレメントです。Vylosはメインシーンを4つのオーナメント（ステータス、アクティブトンネル、クイックアクション、コンテキストトンネルコントロール）で囲みます。

ピア

ピアはWireGuard構成の[Peer]セクションで、公開鍵、Allowed IPs、アドレスによって1つのリモートエンドポイントを記述します。1つのトンネルに複数のピアを定義でき、Vylosはトンネルの詳細画面に各ピアを表示します。

アプリごとのVPN

アプリごとのVPNは、AppleのAppLayerVPNルーティングモデルを利用者向けに表した名称です。MDMがVPNUUIDを使って特定の管理対象アプリをトンネルへ割り当てると、それらのアプリだけがWireGuardを使用し、未割り当てのアプリはトンネル外に残ります。

選別と起動ルールはオペレーティングシステムが管理します。Vylosは選ばれた通信をWireGuardで転送し、管理対象トンネルを読み取り専用で表示します。

パーシステントキープアライブ

パーシステントキープアライブは、NATとファイアウォールのマッピングを実際のトラフィック間で維持するために、ピアに定期的にパケットを送信します。Vylosはトンネルの詳細画面のピアセクションに、「25秒ごと」のように構成された間隔を表示します。

Quick Look

Quick Lookは、所有するアプリを開かずにファイルの内容をプレビューするAppleのシステムフレームワークです。VylosにはQuick Lookエクステンションが付属しており、FinderおよびファイルAppで.conf、.vylos、.zipトンネルファイルをプレビューできます。

制限キー

制限キーは、allowManualTunnels、allowSettings、blockJailbrokenDevicesの3つの設定で、MDM管理者が管理対象アプリ構成を通じて設定します。Vylosは各キーを文字列値から一貫したtrue/falseルールで解析します。

RxとTx

RxとTxは、Vylosが各トンネルについて追跡する受信バイト数と送信バイト数です。帯域幅チャートとトンネルリストのサマリーの両方で、アクティブなセッションの合計が表示されます。

サーチドメイン

サーチドメインは、ベアホスト名クエリの最初のルックアップが失敗したときにVylosが追加するフォールバックドメインです。サーチドメインとしてexample.comを追加すると、intranetに対する失敗したクエリがintranet.example.comとして再試行されます。

Siriショートカット

Siriショートカットを使用すると、音声コマンドやショートカットアプリを通じて、名前を指定したトンネルの接続、切断、トグル、編集が行えます。MDM管理対象デバイスでは、Siriショートカットは常に許可され、アプリロックをバイパスします。

スプリットDNS

スプリットDNSは、特定のドメインのDNSクエリをVPNトンネル経由でルーティングし、その他すべてのクエリはデフォルトのネットワークで処理します。.vylos設定ファイルの[SplitDNS]セクションで、マッチドメインとサーチドメインを使用してトンネルごとに構成します。

Spotlight

SpotlightはAppleのシステム全体の検索インデックスです。Vylosはアプリ作成トンネル名をSpotlightに公開し、検索に一致するとトンネルが直接開かれます。アプリロックが有効な間はインデックスが自動的にクリアされ、ロック中のデバイスでトンネル名が漏洩しません。

システムエントリ

システムエントリは、OS レベルのVPN構成レコード（NETunnelProviderManager）で、デバイスの設定Appに表示されます。Vylosが管理するすべてのトンネル（アプリ作成・管理対象を問わず）には、対応するシステムエントリがあります。

TOTP

TOTP（時間ベースのワンタイムパスワード）は、Google AuthenticatorやAuthyなどの認証アプリが30秒ごとに生成・更新する6桁のコードです。Vylosは、わずかな時刻のずれを許容するために、現在の期間に加えて前後1期間のコードを受け入れます。

VPNUUID

VPNUUIDは、AppLayerVPNプロファイルとMDMによる管理対象アプリの割り当てを結び付ける識別子です。VPNプロファイルと割り当て先の各アプリで同じ値を使用する必要があります。

VPNプロファイルを置き換えたり削除したりしても、アプリの割り当ては自動では消えません。MDM側でも、その管理対象アプリの属性を更新する必要があります。

.vylosフォーマット

.vylosフォーマットは、未変更のWireGuard .confファイルと、スプリットDNS、オンデマンドルール、キルスイッチの動作用のオプションのsettings.confファイルをペアにしたZIPアーカイブです。標準のWireGuard構成を変更せずに拡張するため、同じ.confは他のWireGuardクライアントでもそのまま使用できます。