Настройка подключения по запросу
Выберите сети, в которых каждый туннель должен подключаться автоматически.
Настройка
- Откройте созданный пользователем туннель и выберите Изменить либо начните создавать новый туннель.
- Откройте вкладку Vylos в форме туннеля.
- Включите поддерживаемые условия сети, которые должен отслеживать туннель.
- Для Wi-Fi выберите Любой SSID, Только эти SSID или Кроме этих SSID, затем укажите нужные имена сетей.
- При необходимости включите Блокировать подключения без VPN.
- Сохраните туннель и включите его переключатель «По запросу».
Правила подключения по запросу относятся к одному туннелю. Управляемые туннели получают правила из VPN-профиля организации, поэтому их нельзя изменить в Vylos.
Как это работает
Когда правила подключения по запросу включены, операционная система отслеживает смену сети и включает или отключает туннель без действий пользователя. Vylos хранит эти правила вместе с Раздельным DNS в настройках Vylos туннеля.
Сотовая сеть
Переключатель Сотовая сеть определяет, должен ли туннель автоматически включаться при подключении через сотовые данные; это правило оценивает iOS. macOS и visionOS показывают значение с пометкой Только iOS, чтобы единую конфигурацию можно было изменять, импортировать и экспортировать без потери данных.
В современных моделях Apple Vision Pro нет сотового интерфейса, поэтому это правило не может сработать в visionOS.
примечание
Перечисление типов интерфейсов Network Extension от Apple содержит вариант cellular, чтобы данные правил можно было переносить. Он соответствует условию только тогда, когда текущий основной сетевой интерфейс устройства — сотовый; его наличие в SDK visionOS не означает, что в Vision Pro есть сотовый модем.
Ethernet
Переключатель Ethernet определяет, должен ли туннель автоматически включаться через Ethernet; это правило оценивает macOS. iOS и visionOS показывают значение с пометкой Только macOS и сохраняют его для использования конфигурации на Mac.
Все три приложения показывают оба переключателя. Платформа игнорирует неподдерживаемое правило, но сохраняет его значение в туннеле и экспортированном файле .vylos.
На современном оборудовании Vision Pro единственным сетевым интерфейсом, который может соответствовать правилу подключения по запросу, является Wi-Fi.
Wi-Fi
У настройки Wi-Fi есть четыре режима:
| Режим | Поведение |
|---|---|
| Выкл. | Туннель не включается автоматически в сети Wi-Fi. |
| Любой SSID | Туннель включается в любой сети Wi-Fi. |
| Только эти SSID | Туннель включается только при подключении к одному из указанных SSID. |
| Кроме этих SSID | Туннель включается во всех сетях Wi-Fi, кроме указанных SSID. |
Для режимов Только эти SSID и Кроме этих SSID укажите хотя бы один SSID. Если список пуст, форма покажет сообщение о проверке.
Аварийный выключатель
Включите Блокировать подключения без VPN, чтобы применить к этому туннелю системную маршрутизацию Apple для всех сетей. Если активированный туннель по запросу станет недоступен, операционная система заблокирует большую часть трафика вместо немедленного возврата в незащищённую сеть.
Параметр становится доступен после настройки хотя бы одного правила по запросу. Отключение последнего правила также отключает аварийный выключатель, поскольку для такого защитного поведения нужен автоматически отслеживаемый туннель.
Параметр относится только к выбранному туннелю приложения и сохраняется в его файле .vylos. Для управляемого туннеля организация задаёт соответствующее значение профиля Apple IncludeAllNetworks, а Vylos показывает его только для чтения.
Влияние разрешённых IP-адресов на аварийный выключатель
У аварийного выключателя и AllowedIPs разные задачи: выключатель запрещает операционной системе обходить VPN, а AllowedIPs по-прежнему определяет, какой пир может передавать трафик к каждому адресу. При включении выключателя Vylos не добавляет, не удаляет и не расширяет AllowedIPs.
| Совокупные маршруты пиров | Доступные подключения | Метка Vylos |
|---|---|---|
| Все адреса IPv4 и IPv6 | IPv4 и IPv6 используют VPN. | Полная защита туннеля |
| Только весь IPv4 или только весь IPv6 | Охваченная семья адресов использует VPN; другая блокируется без собственного маршрута. | Ограниченный доступ к сети |
| Выбранные сети или узлы | Подключаться можно только к адресам в этих маршрутах. | Ограниченный доступ к сети |
| Нет маршрутов | Обычный IP-трафик блокируется. | Нет исходящих маршрутов |
Обычное значение для полного двухстекового туннеля — 0.0.0.0/0, ::/0. Каждый DNS-сервер также должен входить в AllowedIPs хотя бы одного пира; иначе Vylos предупредит, что сервер будет заблокирован.
к сведению
Apple исключает из маршрутизации VPN для всех сетей трафик, необходимый для управления сетью и некоторых служб устройства, включая DHCP, согласование captive portal, отдельные сотовые службы и связь с сопутствующими устройствами. Поэтому аварийный выключатель блокирует большую часть обычного трафика приложений, но не гарантирует прохождение каждого системного пакета через VPN. См. документацию Apple по includeAllNetworks.
Состояния туннеля по запросу
Состояния туннеля с включенными правилами подключения по запросу отличаются от состояний обычного туннеля:
- По запросу (желтый) — Правила подключения по запросу включены, но туннель сейчас не подключен. Система отслеживает сеть и подключится, когда условие совпадет.
- Подключение — Подходящее правило запросило у операционной системы запуск туннеля.
- По запросу (зеленый в списке) / Подключено (зеленый в сведениях) — Туннель подключен, поскольку текущая сеть соответствует правилу подключения по запросу. В списке сохраняется обозначение автоматического включения, а экран сведений показывает текущее состояние подключения.
- Отключение — Подключение завершается, потому что условие перестало выполняться или автоматическое включение было отключено.
- Отключено (серый) — Для туннеля по-прежнему настроены правила подключения по запросу, но автоматическое включение выключено.
Переключатель туннеля включает или отключает его правила подключения по запросу; он не подключает и не отключает туннель напрямую.
Автоматическая проверка при возврате в приложение
Когда Vylos возвращается на передний план, приложение проверяет, что операционная система по-прежнему держит правила подключения каждого туннеля включенными, и при необходимости восстанавливает это состояние. Затем система решает, нужно ли подключаться, исходя из текущей сети и правил; Vylos не навязывает подключение, если совпадений нет.
Поиск конфликтов правил по запросу
Если включенные правила подключения по запросу двух или более туннелей пересекаются, Vylos показывает предупреждение вверху списка в iOS, macOS и visionOS. Поведение может быть непредсказуемым, поскольку система может не понять, какой туннель нужно включить.
На следующих изображениях показан интерфейс iOS.
Откройте предупреждение, чтобы увидеть все конфликты. В каждой записи указаны два пересекающихся туннеля и причина.
Типы конфликтов
| Тип конфликта | Описание |
|---|---|
| Пересечение сотовой сети | Оба туннеля настроены на включение в сотовой сети. |
| Пересечение Ethernet | Оба туннеля настроены на включение через Ethernet в macOS. |
| Пересечение «Любой SSID» | Оба туннеля настроены на включение в любой сети Wi-Fi. |
| Пересечение отдельных SSID | Оба туннеля настроены на включение для одного или нескольких одинаковых SSID. |
| Пересечение большинства сетей Wi-Fi | У обоих туннелей заданы широкие правила Wi-Fi, например два списка исключений, охватывающие большинство сетей. |
Измените один из туннелей и скорректируйте его правила подключения по запросу, чтобы они больше не пересекались с правилами другого туннеля.
Правила по запросу в .vylos
Правила подключения по запросу хранятся вместе с Раздельным DNS в записи settings.conf архива .vylos. Официальный список ключей и примеры приведены на странице Формат файла Vylos.