通过 MDM 向受监督设备部署 VPN

在受监督设备上安装 VPN 描述文件很简单——Apple 的 .mobileconfig 格式可以处理。更困难的部分是控制 VPN 客户端内部发生的事情。用户可以添加自己的隧道吗？可以更改设置吗？设备越狱后会怎样？

Vylos 通过三个托管应用配置密钥回答这些问题，这些密钥在每次应用启动和前台转换时被读取。

推送托管隧道

托管隧道通过包含 VPN 载荷的标准 Apple .mobileconfig 描述文件下发。这些描述文件可以手动安装、通过 Web 门户分发或通过 MDM 推送。每个隧道配置包含标准 WireGuard 字段——接口私钥、对等节点公钥、端点、允许的 IP——以及可选的按需激活规则。

托管隧道显示在 Vylos 中的专用"托管隧道"部分中。用户可以查看隧道状态和连接详情，但无法修改、删除或手动控制托管隧道。

限制用户访问

三个限制密钥控制用户可以执行的操作：

阻止手动隧道

将 allowManualTunnels 设置为 false 会移除所有面向用户的隧道管理功能。"我的隧道"部分消失，添加隧道按钮被隐藏，现有应用隧道的 VPN 条目从 iOS 设置中暂停。隧道数据本身在本地保留——当限制解除后，一切恢复。

这是用户应只使用 IT 批准 VPN 配置环境的关键设置。学校向学生 iPad 部署 Vylos、有合规要求的企业，或任何需要跨设备可预测 VPN 行为的组织。

锁定设置

将 allowSettings 设置为 false 会完全隐藏工具栏中的设置图标。作为纵深防御措施，即使通过其他方式到达该屏幕，也会显示"设置由你的组织管理"消息。用户无法更改应用保护方式、导出隧道归档或查看日志。

强制设备完整性

将 blockJailbrokenDevices 设置为 true 会在 iOS 上激活越狱检测。Vylos 使用四种方法检查越狱指标：已知的越狱文件路径、注册的 URL scheme、沙盒逃逸尝试和动态库注入扫描。

如果任何检查失败，应用显示一个无法关闭的全屏"设备策略违规"消息。所有应用功能被阻止，直到设备恢复到未修改状态。隧道数据被保留——不会被删除。

此检查在主视图加载时运行，因此可以捕获初始部署后发生的越狱。

处理延迟的配置

MDM 配置交付并非总是即时的。Vylos 包含一个重试机制，在应用启动和前台转换后轮询托管配置最长 30 秒。这处理了 MDM 描述文件在应用打开后略有延迟到达的情况——在首次安装或设备重启后很常见。

应用锁定绕过

当存在任何托管应用配置时，Vylos 自动绕过其内置的应用锁定（Face ID、Touch ID 或 TOTP）。假设设备级别的认证已由 MDM 策略强制执行，因此应用内的第二层认证是不必要的。

开始使用

隧道描述文件使用标准 .mobileconfig VPN 载荷——基本部署无需 MDM。对于限制密钥，通过 MDM 解决方案的托管应用配置通道进行配置。所有限制密钥值均为字符串——"false" 和 "0" 解析为 false，其他值均解析为 true。

完整的配置密钥列表和部署示例请参阅管理员指南。