オンデマンド接続を設定する
各トンネルを自動接続するネットワークを選びます。
設定方法
- ユーザーが作成したトンネルを開いて編集を選ぶか、新しいトンネルの作成を始めます。
- トンネルフォームのVylosタブを開きます。
- トンネルで監視する、対応しているネットワーク条件をオンにします。
- Wi-Fiでは、すべてのSSID、指定したSSIDのみ、または指定したSSID以外を選び、必要なネットワーク名を入力します。
- 必要に応じて、VPN を使用しない接続をブロックをオンにします。
- トンネルを保存し、オンデマンドのスイッチをオンにします。
オンデマンドルールはトンネルごとに設定されます。管理対象トンネルのルールは組織のVPNプロファイルから配信されるため、Vylos内では編集できません。
仕組み
オンデマンドルールが有効になると、オペレーティングシステムがネットワークの変化を監視し、手動操作なしでトンネルを有効または無効にします。VylosはこれらのルールをスプリットDNSとともにトンネルのVylos設定に保存します。
モバイルデータ通信
モバイルデータ通信スイッチでは、モバイルデータ通信時にトンネルを自動で有効にするかを設定します。このルールはiOSが評価します。macOSとvisionOSでは値にiOSのみと表示されるため、1つの共通設定を値を失わずに編集、読み込み、書き出しできます。
現在のApple Vision Proにはモバイル通信インターフェイスがないため、このルールはvisionOSでは実行されません。
注記
AppleのNetwork Extensionインターフェイス種別には、ルールデータをデバイス間で保持するためにcellularが含まれています。これは現在のプライマリネットワークインターフェイスがモバイル通信の場合にのみ一致します。visionOS SDKに定義があることは、Vision Proにモバイル通信機能があることを意味しません。
イーサネット
イーサネットスイッチでは、Ethernet接続時にトンネルを自動で有効にするかを設定します。このルールはmacOSが評価します。iOSとvisionOSでは値にmacOSのみと表示され、設定をMacで使うときのために値が保持されます。
3つのアプリはどちらのスイッチも表示します。各プラットフォームは非対応のルールを無視しますが、トンネルと書き出した.vylosファイルには値を保持します。
現在のVision Proでは、オンデマンドのネットワークルールに一致できるインターフェイスはWi-Fiだけです。
Wi-Fi
Wi-Fi設定には4つのモードがあります。
| モード | 動作 |
|---|---|
| オフ | Wi-Fiではトンネルを自動で有効にしません。 |
| すべてのSSID | すべてのWi-Fiネットワークでトンネルを有効にします。 |
| 指定したSSIDのみ | リスト内のSSIDに接続したときだけトンネルを有効にします。 |
| 指定したSSID以外 | リスト内のSSIDを除くすべてのWi-Fiネットワークでトンネルを有効にします。 |
指定したSSIDのみまたは指定したSSID以外を選ぶ場合は、SSIDを1つ以上入力します。リストが空の場合、フォームに確認メッセージが表示されます。
キルスイッチ
VPN を使用しない接続をブロックをオンにすると、このトンネルでAppleのシステムレベルの全ネットワークルーティングが使われます。待機状態のオンデマンドトンネルを利用できなくなった場合、オペレーティングシステムは保護されていないネットワークへすぐに戻らず、通信の大部分をブロックします。
この設定は、オンデマンドルールを1つ以上構成すると利用できます。最後のルールをオフにするとキルスイッチもオフになります。これは、安全側で遮断する動作に自動監視されるトンネルが必要なためです。
この設定は選択中のユーザー作成トンネルだけに適用され、その.vylosファイルに保存されます。管理対象トンネルでは、組織が同等のAppleプロファイル値IncludeAllNetworksを制御し、Vylosは読み取り専用で表示します。
許可されたIPがキルスイッチに与える影響
キルスイッチとAllowedIPsの役割は異なります。キルスイッチはオペレーティングシステムがVPNを迂回しないようにし、AllowedIPsは各宛先を転送できるピアを引き続き決定します。キルスイッチをオンにしても、VylosがAllowedIPsを追加、削除、拡張することはありません。
| ピアの経路を結合した結果 | 接続できる範囲 | Vylosの表示 |
|---|---|---|
| すべてのIPv4およびIPv6アドレス | IPv4とIPv6がVPNを使います。 | フルトンネル保護 |
| IPv4全体のみ、またはIPv6全体のみ | 対象のアドレスファミリはVPNを使い、もう一方は独自の経路がなければブロックされます。 | ネットワークアクセスを制限中 |
| 指定したネットワークまたはホスト | その経路に含まれる宛先だけが接続できます。 | ネットワークアクセスを制限中 |
| 経路なし | 通常のIP通信はブロックされます。 | 送信経路なし |
通常のデュアルスタックフルトンネル値は0.0.0.0/0, ::/0です。各DNSサーバーも、少なくとも1つのピアのAllowedIPsに含まれている必要があります。含まれていない場合、Vylosはそのサーバーがブロックされることを警告します。
備考
Appleは、ネットワーク制御や一部のデバイスサービスに必要な通信を、全ネットワークVPNルーティングの対象外にします。これにはDHCP、キャプティブポータルのネゴシエーション、一部のモバイル通信サービス、コンパニオンデバイスとの通信などが含まれることがあります。そのため、キルスイッチは通常のアプリ通信の大部分をブロックしますが、すべてのシステムパケットがVPNに入ることを保証するものではありません。AppleのincludeAllNetworksのドキュメントを参照してください。
オンデマンドトンネルの状態
オンデマンドルールが有効なトンネルでは、各状態の意味が通常のトンネルと異なります。
- オンデマンド（黄） — オンデマンドルールは有効ですが、トンネルは現在接続されていません。システムがネットワークを監視し、条件が一致すると接続します。
- 接続中 — 一致したルールがオペレーティングシステムにトンネルの開始を要求しました。
- オンデマンド（一覧では緑）/ 接続済み（詳細では緑） — 現在のネットワークがオンデマンドルールに一致したため、トンネルは接続されています。一覧は自動接続であることを示し続け、詳細画面は現在の接続状態を示します。
- 切断中 — 条件が一致しなくなったか、自動接続が無効になったため、接続を停止しています。
- 切断済み（グレー） — オンデマンドルールは設定されたままですが、自動接続はオフです。
オンデマンドトンネルのスイッチはオンデマンドルールをオンまたはオフにします。トンネルを直接接続または切断するものではありません。
アプリに戻ったときの自動確認
Vylosがフォアグラウンドに戻ると、各トンネルのオンデマンドルールがオペレーティングシステムで有効なままかを確認し、必要に応じて状態を修復します。その後、現在のネットワークとルールに基づいてオペレーティングシステムが接続の要否を判断します。ルールが一致しない場合、Vylosが接続を強制することはありません。
オンデマンドルールの競合を検出
複数のトンネルで有効なオンデマンドルールが重なると、VylosはiOS、macOS、visionOSのトンネル一覧上部に警告を表示します。どのトンネルを有効にするかをシステムが判断できず、動作が予測できなくなる可能性があります。
次の画像はiOSでの表示です。
警告を開くと、すべての競合を確認できます。各項目には、競合する2つのトンネルとその理由が表示されます。
競合の種類
| 競合の種類 | 説明 |
|---|---|
| モバイル通信の重複 | 両方のトンネルがモバイル通信で有効になるよう設定されています。 |
| Ethernetの重複 | 両方のトンネルがmacOSのEthernetで有効になるよう設定されています。 |
| すべてのSSIDの重複 | 両方のトンネルがすべてのWi-Fiネットワークで有効になるよう設定されています。 |
| 特定SSIDの重複 | 両方のトンネルが1つ以上の同じSSIDで有効になるよう設定されています。 |
| 大半のWi-Fiネットワークの重複 | 両方のトンネルに、2つの除外リストなど、大半のネットワークを対象にする広いWi-Fiルールがあります。 |
一方のトンネルを編集し、オンデマンドルールがもう一方のルールと重ならないように調整します。
.vylosファイルのオンデマンドルール
オンデマンドルールはスプリットDNSとともに.vylosアーカイブのsettings.confエントリに保存されます。正式なキー一覧と例については、Vylosファイル形式を参照してください。