Implementarea VPN pe dispozitive supervizate cu MDM
Instalarea unui profil VPN pe un dispozitiv supervizat este simplă — formatul Apple .mobileconfig se ocupă de aceasta. Partea mai dificilă este controlul a ceea ce se întâmplă în interiorul clientului VPN în sine. Pot utilizatorii adăuga propriile tuneluri? Pot schimba setările? Ce se întâmplă dacă dispozitivul are jailbreak?
Vylos răspunde la aceste întrebări prin trei chei de configurare de aplicație administrată care sunt citite la fiecare lansare a aplicației și tranziție în prim-plan.
Distribuirea tunelurilor administrate
Tunelurile administrate sunt livrate prin profile Apple .mobileconfig standard conținând payload-uri VPN. Aceste profile pot fi instalate manual, distribuite printr-un portal web sau distribuite prin MDM. Fiecare configurare de tunel include câmpurile WireGuard standard — cheia privată a interfeței, cheia publică a peer-ului, endpoint-ul, adresele IP permise — plus reguli opționale de activare la cerere.
Tunelurile administrate apar într-o secțiune dedicată „Tuneluri administrate" în Vylos. Utilizatorii pot vedea starea tunelului și detaliile conexiunii, dar nu pot modifica, șterge sau controla manual tunelurile administrate.
Restricționarea accesului utilizatorilor
Trei chei de restricție controlează ce pot face utilizatorii:
Blocarea tunelurilor manuale
Setarea allowManualTunnels la false elimină toată administrarea tunelurilor vizibilă utilizatorului. Secțiunea „Tunelurile mele" dispare, butonul Adăugare tunel este ascuns și orice intrări VPN ale tunelurilor din aplicație existente sunt suspendate din Setările iOS. Datele tunelurilor în sine sunt păstrate local — când restricția este ridicată, totul revine.
Aceasta este setarea cheie pentru mediile în care utilizatorii ar trebui să folosească doar configurații VPN aprobate de IT. Școlile care implementează Vylos pe iPad-urile studenților, afacerile cu cerințe de conformitate sau orice organizație care necesită un comportament VPN previzibil pe dispozitive.
Blocarea setărilor
Setarea allowSettings la false ascunde complet pictograma Setări din bara de instrumente. Dacă ecranul este deschis prin alte mijloace, apare mesajul „Setările sunt gestionate de organizația ta”. Utilizatorii nu pot schimba metoda de protecție a aplicației, exporta arhive de tuneluri sau vizualiza jurnalele.
Impunerea integrității dispozitivului
Setarea blockJailbrokenDevices la true activează detectarea jailbreak-ului pe iOS. Vylos verifică indicatorii de jailbreak folosind patru metode: căi de fișiere cunoscute de jailbreak, scheme URL înregistrate, încercări de evadare din sandbox și scanări de injectare de biblioteci dinamice.
Dacă orice verificare eșuează, aplicația afișează un mesaj „Încălcare politică dispozitiv" pe tot ecranul care nu poate fi respins. Toate funcționalitățile aplicației sunt blocate până când dispozitivul este restaurat la o stare nemodificată. Datele tunelurilor sunt păstrate — nimic nu este șters.
Verificarea rulează la încărcarea vizualizării principale, astfel încât detectează jailbreak-urile care au loc după implementarea inițială.
Gestionarea configurării întârziate
Livrarea configurării MDM nu este întotdeauna instantanee. Vylos include un mecanism de reîncercare care interoghează configurarea administrată timp de până la 30 de secunde după lansarea aplicației și tranzițiile în prim-plan. Aceasta gestionează cazurile în care profilul MDM sosește puțin după deschiderea aplicației — frecvent la prima instalare sau după o repornire a dispozitivului.
Ocolirea blocării aplicației
Când este prezentă orice configurare de aplicație administrată, Vylos ocolește automat blocarea aplicației integrată (Face ID, Touch ID sau TOTP). Presupunerea este că autentificarea la nivel de dispozitiv este deja impusă de politica MDM, astfel încât un al doilea nivel de autentificare în interiorul aplicației este inutil.
Primii pași
Profilele de tuneluri utilizează payload-uri VPN .mobileconfig standard — nu este necesar MDM pentru implementarea de bază. Pentru cheile de restricție, configurați-le prin canalul de configurare de aplicație administrată al soluției dumneavoastră MDM. Toate valorile cheilor de restricție sunt string-uri — "false" și "0" se evaluează la fals, orice altceva se evaluează la adevărat.
Consultați ghidul administratorului pentru lista completă de chei de configurare și exemple de implementare.