Reguli la cerere și DNS separat: VPN automat fără supraîncărcare

Cea mai simplă configurare VPN este un comutator: pornit sau oprit. Dar în practică, aceasta înseamnă că utilizatorii fie uită să se conecteze când ar trebui, fie direcționează tot traficul prin tunel când nu au nevoie — irosind lățime de bandă și adăugând latență pentru serviciile care nu necesită acces VPN.

Vylos 1.2.0 adaugă reguli de activare la cerere și DNS separat pentru a rezolva ambele probleme.

Activare la cerere

Regulile la cerere îi spun lui Vylos când să conecteze sau deconecteze automat un tunel pe baza condițiilor de rețea. Nu este necesară comutarea manuală.

Fiecare tunel poate fi configurat cu reguli pentru două tipuri de rețele:

• Celulară (iOS) sau Ethernet (macOS) — Conectare automată pe date celulare sau o conexiune cu fir
• Wi-Fi — Patru moduri:
  • Oprit — Fără activare automată pe Wi-Fi
  • Orice SSID — Conectare pe orice rețea Wi-Fi
  • Doar aceste SSID-uri — Conectare doar pe rețele specifice (listă de permise)
  • Cu excepția acestor SSID-uri — Conectare pe tot Wi-Fi-ul cu excepția rețelelor specifice (listă de blocate)

Modurile bazate pe SSID sunt deosebit de utile pentru organizații. „Doar aceste SSID-uri" asigură că VPN-ul se activează pe Wi-Fi-ul biroului, dar nu pe rețelele de acasă ale angajaților. „Cu excepția acestor SSID-uri" face opusul — VPN-ul rămâne pornit peste tot cu excepția rețelei corporative de încredere unde traficul este deja direcționat intern.

Detectarea conflictelor

Când mai multe tuneluri au reguli la cerere activate, pot apărea conflicte. Două tuneluri setate ambele să se activeze pe date celulare sau două tuneluri care revendică același SSID — rezultatul este imprevizibil.

Vylos detectează patru tipuri de suprapunere:

• Suprapunere celulară sau Ethernet
• Suprapunere Wi-Fi „Orice SSID"
• Suprapunere SSID specifică (două tuneluri revendicând același nume de rețea)
• Suprapunere Wi-Fi largă (un tunel pe „Orice" conflictând cu altul pe SSID-uri specifice)

Când un conflict este detectat, Vylos afișează un avertisment astfel încât administratorii sau utilizatorii pot rezolva conflictul înainte de a cauza un comportament neașteptat. Avertismentul este informativ — nu împiedică salvarea configurării.

DNS separat

Configurațiile VPN standard direcționează toate interogările DNS prin tunel. Aceasta funcționează, dar înseamnă că fiecare căutare DNS — chiar și pentru servicii publice — trece prin serverul VPN. Pentru organizațiile cu nume de gazdă interne care se rezolvă doar pe DNS-ul corporativ, aceasta forțează tot traficul prin tunel doar pentru a ajunge la câteva servicii interne.

DNS-ul separat schimbă aceasta. Fiecare tunel poate fi configurat cu două seturi de domenii:

Domenii de potrivire — Interogările DNS pentru aceste domenii specifice sunt direcționate prin tunel. Orice altceva utilizează DNS-ul implicit al dispozitivului. De exemplu, setarea corp.example.com ca domeniu de potrivire înseamnă că doar interogările pentru acel domeniu (și subdomeniile sale) trec prin VPN.

Domenii de căutare — Adăugate la interogările de nume de gazdă simple. Dacă un utilizator tastează intranet într-un browser, dispozitivul adaugă domeniul de căutare pentru a încerca intranet.example.com, care se rezolvă apoi prin DNS-ul tunelului.

Rezultatul este că resursele interne sunt accesibile prin VPN, în timp ce traficul extern circulă normal. Aceasta reduce încărcarea pe serverul VPN și îmbunătățește performanța pentru tot ce nu necesită acces prin tunel.

Formatul de fișier Vylos

Fișierele WireGuard .conf standard nu suportă reguli la cerere sau DNS separat — acele funcționalități pur și simplu nu există în specificația de configurare WireGuard. În loc să amestecăm câmpuri personalizate în formatul .conf, ceea ce ar rupe compatibilitatea cu alți clienți WireGuard, am creat formatul .vylos.

Un fișier .vylos este o arhivă ZIP care reunește fișierul WireGuard .conf standard alături de un fișier separat de setări pentru regulile la cerere și configurarea DNS-ului separat. Configurarea WireGuard rămâne neatinsă — fără câmpuri personalizate, fără extensii proprietare. Setările suplimentare se află în propriul fișier din interiorul arhivei.

Aceasta menține lucrurile uniforme și curate. Un .conf exportat din Vylos funcționează în orice client WireGuard. Un fișier .vylos conține configurarea completă inclusiv la cerere și DNS separat, dar doar Vylos știe să îl citească.

Exportul suportă trei opțiuni de format: doar .conf, doar .vylos sau ambele.

Primii pași

Regulile la cerere și DNS-ul separat sunt disponibile în Vylos 1.2.0 pentru iOS, macOS și visionOS. Configurați-le per tunel prin formularul de editare a tunelului sau distribuiți-le prin MDM prin configurații de tuneluri administrate.

Consultați ghidul utilizatorului pentru detalii de configurare și ghidul administratorului pentru opțiunile de implementare MDM.