Android Enterprise-Geräteeinstellungen zum Konfigurieren von VPN in Intune

In diesem Artikel werden die verschiedenen VPN-Verbindungseinstellungen beschrieben, die Sie auf Android Enterprise-Geräten steuern können. Verwenden Sie im Rahmen Ihrer MDM-Lösung (Mobile Device Management) diese Einstellungen, um eine VPN-Verbindung zu erstellen, die Art der VPN-Authentifizierung auszuwählen, einen VPN-Servertyp auszuwählen und vieles mehr.

Diese Funktion gilt für:

• Persönliche Android Enterprise-Geräte mit einem Arbeitsprofil (BYOD)
• Unternehmenseigenes Android Enterprise-Arbeitsprofil (COPE)
• Unternehmenseigene, vollständig verwaltete Android Enterprise-Geräte (COBO)
• Unternehmenseigene, dedizierte Android Enterprise-Geräte (COSU)

Als Intune-Administrator können Sie VPN-Einstellungen erstellen und Android Enterprise-Geräten zuweisen. Weitere Informationen zu VPN-Profilen in Intune finden Sie unter VPN-Profile.

Bevor Sie beginnen

• Erstellen Sie ein Android Enterprise VPN-Gerätekonfigurationsprofil:

  • Vollständig verwaltetes, dediziertes und unternehmenseigenes Arbeitsprofil
  • Persönliches Arbeitsprofil

• Einige Microsoft 365-Dienste, wie z. B. Outlook, funktionieren möglicherweise nicht gut, wenn Sie VPNs von Drittanbietern oder Partnern verwenden. Wenn Sie ein Drittanbieter- oder Partner-VPN verwenden und ein Latenz- oder Leistungsproblem auftritt, entfernen Sie das VPN.

  Wenn das Verhalten durch das Entfernen des VPN behoben wird, haben Sie folgende Möglichkeiten:

  • Arbeiten Sie mit dem Drittanbieter- oder Partner-VPN zusammen, um mögliche Lösungen zu finden. Microsoft bietet keinen technischen Support für Drittanbieter- oder Partner-VPNs.
  • Verwenden Sie kein VPN für Outlook-Datenverkehr.
  • Wenn Sie ein VPN verwenden müssen, verwenden Sie ein VPN mit geteiltem Tunnel. Und lassen Sie zu, dass der Outlook-Datenverkehr das VPN umgeht.

  Weitere Informationen finden Sie unter:

  • Übersicht: Geteilter VPN-Tunneling für Microsoft 365
  • Verwenden von Netzwerkgeräten oder -lösungen von Drittanbietern mit Microsoft 365
  • Prinzipien der Microsoft 365-Netzwerkkonnektivität

• Wenn Sie diese Geräte für den Zugriff auf lokale Ressourcen mithilfe moderner Authentifizierung und bedingten Zugriff benötigen, können Sie Microsoft Tunnel verwenden, der geteiltes Tunneling unterstützt.

Vollständig verwaltetes, dediziertes und Corporate-Owned Arbeitsprofil

• Verbindungstyp: Wählen Sie den VPN-Verbindungstyp aus. Ihre Optionen:

  • Cisco AnyConnect
  • SonicWall Mobile Connect
  • F5 Access
  • Pulse Secure
  • Microsoft Tunnel (wird auf dedizierten Android Enterprise-Geräten nicht unterstützt.)

Die verfügbaren Einstellungen hängen vom ausgewählten VPN-Client ab. Einige Einstellungen sind nur für bestimmte VPN-Clients verfügbar.

Basis-VPN (vollständig verwaltetes, dediziertes und unternehmenseigenes Arbeitsprofil)

• Verbindungsname: Geben Sie einen Namen für diese Verbindung ein. Endbenutzer sehen diesen Namen, wenn sie auf ihrem Gerät nach verfügbaren VPN-Verbindungen suchen. Geben Sie beispielsweise Contoso VPN ein.

• VPN-Serveradresse oder FQDN: Geben Sie die IP-Adresse oder den vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) des VPN-Servers ein, mit dem Geräte eine Verbindung herstellen. Geben Sie z. B. oder 192.168.1.1vpn.contoso.comein.

• Authentifizierungsmethode: Wählen Sie aus, wie Geräte beim VPN-Server authentifiziert werden sollen. Ihre Optionen:

  • Zertifikate: Wählen Sie ein vorhandenes SCEP- oder PKCS-Zertifikatprofil aus, das die Verbindung authentifiziert. "Zertifikate konfigurieren" listet die Schritte zum Erstellen eines Zertifikatprofils auf.

  • Benutzername und Passwort: Wenn sich Endbenutzer beim VPN-Server anmelden, werden Benutzer aufgefordert, ihren Benutzernamen und ihr Passwort einzugeben.

  • Abgeleitete Anmeldeinformationen: Verwenden Sie ein Zertifikat, das vom Smart Karte eines Benutzers abgeleitet ist. Wenn kein abgeleiteter Anmeldeinformationsaussteller konfiguriert ist, fordert Intune Sie auf, einen hinzuzufügen.

    Weitere Informationen finden Sie unter Verwenden abgeleiteter Anmeldeinformationen in Intune.

• Geben Sie Schlüssel-Wert-Paare für die NetMotion Mobility VPN-Attribute ein: Fügen Sie Schlüssel und Werte hinzu oder importieren Sie sie, um Ihre VPN-Verbindung anzupassen. Diese Werte werden normalerweise von Ihrem VPN-Anbieter bereitgestellt.

• Microsoft Tunnel-Website (nur Microsoft Tunnel): Wählen Sie eine vorhandene Website aus. Der VPN-Client stellt eine Verbindung mit der öffentlichen IP-Adresse oder dem FQDN dieser Site her.

  Weitere Informationen finden Sie unter Microsoft-Tunnel für Intune.

VPN pro App (vollständig verwaltetes, dediziertes und unternehmenseigenes Arbeitsprofil)

• Hinzufügen: Wählen Sie verwaltete Apps aus der Liste aus. Wenn Benutzer die Apps starten, die Sie hinzufügen, wird der Datenverkehr automatisch über die VPN-Verbindung geleitet.

Weitere Informationen finden Sie unter Verwenden eines VPN und einer App-basierten VPN-Richtlinie auf Android Enterprise-Geräten.

Always-on-VPN (vollständig verwaltetes, dediziertes und unternehmenseigenes Arbeitsprofil)

• Always-on-VPN:Aktivieren aktiviert das Always-on-VPN, sodass VPN-Clients nach Möglichkeit automatisch eine Verbindung zum VPN herstellen und erneut herstellen. Wenn diese Einstellung auf "Nicht konfiguriert" festgelegt ist, ändert oder aktualisiert Intune diese Einstellung nicht. Das standardmäßig aktivierte VPN ist möglicherweise für alle VPN-Clients deaktiviert.

  Auf einem Gerät kann nur ein VPN-Client für Always-On-VPN konfiguriert werden. Stellen Sie sicher, dass auf einem einzelnen Gerät nicht mehr als eine Always-On-VPN-Richtlinie bereitgestellt wird.

Proxy (vollständig verwaltetes, dediziertes und unternehmenseigenes Arbeitsprofil)

• Skript für die automatische Konfiguration: Verwenden Sie eine Datei, um den Proxyserver zu konfigurieren. Geben Sie die Proxyserver-URL ein, die die Konfigurationsdatei enthält. Geben Sie beispielsweise http://proxy.contoso.com/pac ein.
• Adresse: Geben Sie die IP-Adresse oder den vollqualifizierten Hostnamen des Proxyservers ein. Geben Sie z. B. oder 10.0.0.3vpn.contoso.comein.
• Portnummer: Geben Sie die Portnummer ein, die dem Proxyserver zugeordnet ist. Geben Sie beispielsweise 8080 ein.

Persönliches Arbeitsprofil

• Verbindungstyp: Wählen Sie den VPN-Verbindungstyp aus. Ihre Optionen:

  • Check Point Capsule VPN

  • Cisco AnyConnect

    Hinweis

    Mit Cisco AnyConnect im persönlichen Arbeitsprofil gibt es möglicherweise einige zusätzliche Schritte für Endbenutzer, um die VPN-Verbindung abzuschließen. Weitere Informationen finden Sie unter VPN-Profile – Wie erfolgreiche VPN-Profile aussehen.

  • SonicWall Mobile Connect

  • F5 Access

  • Pulse Secure

  • NetMotion Mobility

  • Microsoft Tunnel

Die verfügbaren Einstellungen hängen vom ausgewählten VPN-Client ab. Einige Einstellungen sind nur für bestimmte VPN-Clients verfügbar.

Basis-VPN (persönliches Arbeitsprofil)

• Verbindungsname: Geben Sie einen Namen für diese Verbindung ein. Endbenutzer sehen diesen Namen, wenn sie auf ihrem Gerät nach verfügbaren VPN-Verbindungen suchen. Geben Sie beispielsweise Contoso VPN ein.

• VPN-Serveradresse: Geben Sie die IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) des VPN-Servers ein, mit dem Geräte eine Verbindung herstellen. Geben Sie z. B. oder 192.168.1.1vpn.contoso.comein.

• Authentifizierungsmethode: Wählen Sie aus, wie Geräte beim VPN-Server authentifiziert werden sollen. Ihre Optionen:

  • Zertifikate: Wählen Sie ein vorhandenes SCEP- oder PKCS-Zertifikatprofil aus, das die Verbindung authentifiziert. "Zertifikate konfigurieren" listet die Schritte zum Erstellen eines Zertifikatprofils auf.

  • Benutzername und Passwort: Wenn sich Endbenutzer beim VPN-Server anmelden, werden Benutzer aufgefordert, ihren Benutzernamen und ihr Passwort einzugeben.

  • Abgeleitete Anmeldeinformationen: Verwenden Sie ein Zertifikat, das vom Smart Karte eines Benutzers abgeleitet ist. Wenn kein abgeleiteter Anmeldeinformationsaussteller konfiguriert ist, fordert Intune Sie auf, einen hinzuzufügen.

    Weitere Informationen finden Sie unter Verwenden abgeleiteter Anmeldeinformationen in Intune.

• Fingerabdruck (nur Check Point Capsule VPN): Geben Sie die Fingerabdruckzeichenfolge ein, die Sie vom VPN-Anbieter erhalten haben, z. BContoso Fingerprint Code. . . Dieser Fingerabdruck überprüft, ob der VPN-Server vertrauenswürdig ist.

  Bei der Authentifizierung wird ein Fingerabdruck an den Client gesendet, damit der Client weiß, dass er jedem Server mit demselben Fingerabdruck vertraut. Wenn das Gerät nicht über den Fingerabdruck verfügt, wird der Benutzer aufgefordert, dem VPN-Server zu vertrauen, während der Fingerabdruck angezeigt wird. Der Benutzer überprüft den Fingerabdruck manuell und wählt "Vertrauen" aus, um eine Verbindung herzustellen.

• Geben Sie Schlüssel-Wert-Paare für die NetMotion Mobility VPN-Attribute ein: Fügen Sie Schlüssel und Werte hinzu oder importieren Sie sie, um Ihre VPN-Verbindung anzupassen. Diese Werte werden normalerweise von Ihrem VPN-Anbieter bereitgestellt.

• Microsoft Tunnel-Website (nur Microsoft Tunnel): Wählen Sie eine vorhandene Website aus. Der VPN-Client stellt eine Verbindung mit der öffentlichen IP-Adresse oder dem FQDN dieser Site her.

  Weitere Informationen finden Sie unter Microsoft-Tunnel für Intune.

Pro-App-VPN (persönliches Arbeitsprofil)

• Hinzufügen: Wählen Sie verwaltete Apps aus der Liste aus. Wenn Benutzer die Apps starten, die Sie hinzufügen, wird der Datenverkehr automatisch über die VPN-Verbindung geleitet.

Weitere Informationen finden Sie unter Verwenden eines VPN und einer App-basierten VPN-Richtlinie auf Android Enterprise-Geräten.

Always-on-VPN (persönliches Arbeitsprofil)

• Always-on-VPN:Aktivieren aktiviert das Always-on-VPN, sodass VPN-Clients nach Möglichkeit automatisch eine Verbindung zum VPN herstellen und erneut herstellen. Wenn diese Einstellung auf "Nicht konfiguriert" festgelegt ist, ändert oder aktualisiert Intune diese Einstellung nicht. Das standardmäßig aktivierte VPN ist möglicherweise für alle VPN-Clients deaktiviert.

  Auf einem Gerät kann nur ein VPN-Client für Always-On-VPN konfiguriert werden. Stellen Sie sicher, dass auf einem einzelnen Gerät nicht mehr als eine Always-On-VPN-Richtlinie bereitgestellt wird.

Proxy (persönliches Arbeitsprofil)

• Skript für die automatische Konfiguration: Verwenden Sie eine Datei, um den Proxyserver zu konfigurieren. Geben Sie die Proxyserver-URL ein, die die Konfigurationsdatei enthält. Geben Sie beispielsweise http://proxy.contoso.com/pac ein.
• Adresse: Geben Sie die IP-Adresse oder den vollqualifizierten Hostnamen des Proxyservers ein. Geben Sie z. B. oder 10.0.0.3vpn.contoso.comein.
• Portnummer: Geben Sie die Portnummer ein, die dem Proxyserver zugeordnet ist. Geben Sie beispielsweise 8080 ein.

Verwandte Artikel

• Weisen Sie das Profil zu, und überwachen Sie seinen Status.

• Erstellen Sie VPN-Profile für Android-Geräteadministratoren, iOS/iPadOS und macOS sowie Windows.

• Erfahren Sie, wie Sie VPN-Profilprobleme in Microsoft Intune behandeln.