2026年2月25日閱讀時間約 5 分鐘

透過 MDM 將 VPN 部署到受監管裝置

在受監管裝置上安裝 VPN 描述檔很直接 — Apple 的 .mobileconfig 格式處理了這件事。較困難的部分是控制 VPN 用戶端內部發生的事情。使用者可以新增自己的通道嗎？可以變更設定嗎？裝置越獄了會怎樣？

Vylos 透過三個受管理 App 設定鍵來回答這些問題，每次 App 啟動和前景轉換時都會讀取這些鍵。

推送受管理通道

受管理通道透過包含 VPN 承載資料的標準 Apple .mobileconfig 描述檔傳遞。這些描述檔可手動安裝、透過入口網站分發，或透過 MDM 推送。每個通道設定包含標準 WireGuard 欄位 — 介面私密金鑰、對等節點公開金鑰、端點、允許的 IP — 加上選用的隨選即用啟動規則。

受管理通道顯示在 Vylos 中專屬的「受管理通道」區段。使用者可以查看通道狀態和連線詳細資料，但無法修改、刪除或手動控制受管理通道。

三個限制鍵控制使用者可以做什麼：

將 allowManualTunnels 設為 false 會移除所有面向使用者的通道管理。「我的通道」區段消失、新增通道按鈕隱藏，任何現有的 App 通道 VPN 項目從 iOS 設定中暫停。通道資料本身保留在本機 — 當限制解除時，一切都會恢復。

這是使用者只應使用 IT 核准 VPN 設定的環境中的關鍵設定。將 Vylos 部署到學生 iPad 的學校、有合規要求的企業，或任何需要跨裝置可預測 VPN 行為的組織。

將 allowSettings 設為 false 會完全從工具列隱藏設定圖示。作為深度防禦措施，如果畫面透過其他方式被存取到，會顯示「設定由你的組織管理」訊息。使用者無法變更 App 保護方法、匯出通道封存檔或檢視記錄檔。

將 blockJailbrokenDevices 設為 true 會在 iOS 上啟動越獄偵測。Vylos 使用四種方法檢查越獄指標：已知的越獄檔案路徑、已註冊的 URL scheme、沙箱逃逸嘗試和動態程式庫注入掃描。

如果任何檢查失敗，App 會顯示無法關閉的全螢幕「裝置政策違規」訊息。在裝置還原為未修改狀態前，所有 App 功能都被封鎖。通道資料保留 — 不會刪除任何東西。

檢查在主畫面檢視載入時執行，因此可以捕捉到初始部署後才發生的越獄。

MDM 設定傳遞並不總是即時的。Vylos 包含一個重試機制，在 App 啟動和前景轉換後最多 30 秒內輪詢受管理設定。這處理了 MDM 描述檔在 App 開啟後略有延遲到達的情況 — 在首次安裝或裝置重啟後很常見。

當任何受管理 App 設定存在時，Vylos 會自動繞過其內建的 App 鎖定（Face ID、Touch ID 或 TOTP）。假設裝置層級的認證已由 MDM 政策執行，因此 App 內的第二個認證層是不必要的。

通道描述檔使用標準 .mobileconfig VPN 承載資料 — 基本部署不需要 MDM。對於限制鍵，請透過你的 MDM 解決方案的受管理 App 設定管道設定它們。所有限制鍵值都是字串 — "false" 和 "0" 判定為 false，其他所有值判定為 true。

完整的設定鍵列表和部署範例請參閱管理員指南。