Reguły na żądanie i podzielony DNS: automatyczny VPN bez narzutu

Najprostsza konfiguracja VPN to przełącznik: włączony lub wyłączony. Ale w praktyce oznacza to, że użytkownicy albo zapominają się połączyć, gdy powinni, albo kierują cały ruch przez tunel, gdy nie muszą — marnując przepustowość i dodając opóźnienie dla usług niewymagających dostępu VPN.

Vylos 1.2.0 dodaje reguły aktywacji na żądanie i podzielony DNS, aby rozwiązać oba problemy.

Aktywacja na żądanie

Reguły na żądanie mówią Vylos, kiedy automatycznie łączyć lub rozłączać tunel na podstawie warunków sieciowych. Bez ręcznego przełączania.

Każdy tunel może być skonfigurowany z regułami dla dwóch typów sieci:

• Sieć komórkową (iOS) lub Ethernet (macOS) — Automatyczne łączenie w sieci komórkowej lub przewodowej
• Wi-Fi — Cztery tryby:
  • Wyl. — Bez automatycznej aktywacji w Wi-Fi
  • Dowolne SSID — Łączenie w dowolnej sieci Wi-Fi
  • Tylko te SSID — Łączenie tylko w określonych sieciach (biała lista)
  • Poza tymi SSID — Łączenie we wszystkich sieciach Wi-Fi z wyjątkiem określonych (czarna lista)

Tryby oparte na SSID są szczególnie przydatne dla organizacji. „Tylko te SSID" zapewnia aktywację VPN w biurowej sieci Wi-Fi, ale nie w domowych sieciach pracowników. „Poza tymi SSID" działa odwrotnie — VPN pozostaje włączony wszędzie z wyjątkiem zaufanej sieci korporacyjnej, w której ruch jest już kierowany wewnętrznie.

Wykrywanie konfliktów

Gdy wiele tuneli ma włączone reguły na żądanie, mogą one kolidować. Dwa tunele ustawione na aktywację w sieci komórkowej lub dwa tunele deklarujące to samo SSID — wynik jest nieprzewidywalny.

Vylos wykrywa cztery typy nakładania:

• Nakładanie się sieci komórkowej lub Ethernet
• Nakładanie się Wi-Fi „Dowolne SSID"
• Nakładanie się konkretnych SSID (dwa tunele deklarujące tę samą nazwę sieci)
• Szerokie nakładanie się Wi-Fi (jeden tunel na „Dowolne" kolidujący z innym na konkretnych SSID)

Gdy konflikt zostanie wykryty, Vylos wyświetla ostrzeżenie, aby administratorzy lub użytkownicy mogli rozwiązać problem przed wystąpieniem nieoczekiwanego zachowania. Ostrzeżenie ma charakter informacyjny — nie zapobiega zapisaniu konfiguracji.

Podzielony DNS (split DNS)

Standardowe konfiguracje VPN kierują wszystkie zapytania DNS przez tunel. To działa, ale oznacza, że każde wyszukiwanie DNS — nawet dla publicznych usług — przechodzi przez serwer VPN. Dla organizacji z wewnętrznymi nazwami hostów, które rozwiązują się tylko na korporacyjnym DNS, wymusza to kierowanie całego ruchu przez tunel tylko po to, aby dotrzeć do kilku wewnętrznych usług.

Podzielony DNS to zmienia. Każdy tunel może być skonfigurowany z dwoma zestawami domen:

Domeny dopasowania — Zapytania DNS dla tych konkretnych domen są kierowane przez tunel. Wszystko inne korzysta z domyślnego DNS urządzenia. Na przykład ustawienie corp.example.com jako domeny dopasowania oznacza, że tylko zapytania dla tej domeny (i jej subdomen) przechodzą przez VPN.

Domeny wyszukiwania — Dodawane do zapytań o nagie nazwy hostów. Jeśli użytkownik wpisze intranet w przeglądarce, urządzenie dodaje domenę wyszukiwania, aby spróbować intranet.example.com, która następnie rozwiązuje się przez DNS tunelu.

Efektem jest to, że zasoby wewnętrzne są osiągalne przez VPN, podczas gdy ruch zewnętrzny płynie normalnie. Zmniejsza to obciążenie serwera VPN i poprawia wydajność dla wszystkiego, co nie wymaga dostępu przez tunel.

Format pliku Vylos

Standardowe pliki WireGuard .conf nie obsługują reguł na żądanie ani podzielonego DNS — te funkcje po prostu nie istnieją w specyfikacji konfiguracji WireGuard. Zamiast mieszać niestandardowe pola w formacie .conf, co zepsułoby kompatybilność z innymi klientami WireGuard, stworzyliśmy format .vylos.

Plik .vylos to archiwum ZIP, które łączy standardowy plik WireGuard .conf z oddzielnym plikiem ustawień dla reguł na żądanie i konfiguracji podzielonego DNS. Konfiguracja WireGuard pozostaje nienaruszona — bez niestandardowych pól, bez własnych rozszerzeń. Dodatkowe ustawienia znajdują się we własnym pliku wewnątrz archiwum.

Utrzymuje to jednolitość i czystość. Plik .conf wyeksportowany z Vylos działa w każdym kliencie WireGuard. Plik .vylos niesie pełną konfigurację łącznie z regułami na żądanie i podzielonym DNS, ale tylko Vylos potrafi go odczytać.

Eksport obsługuje trzy opcje formatu: tylko .conf, tylko .vylos lub oba.

Pierwsze kroki

Reguły na żądanie i podzielony DNS są dostępne w Vylos 1.2.0 dla iOS, macOS i visionOS. Skonfiguruj je per tunel w formularzu edycji tunelu lub prześlij przez MDM w konfiguracjach tuneli zarządzanych.

Zobacz przewodnik użytkownika po szczegóły konfiguracji i przewodnik administratora po opcje wdrożenia MDM.