Hinzufügen von VPN-Einstellungen zu Apple-Geräten in Microsoft Intune

• Wenn Sie diese Geräte für den Zugriff auf lokale Ressourcen mithilfe moderner Authentifizierung und bedingten Zugriff benötigen, können Sie Microsoft Tunnel verwenden, der geteiltes Tunneling unterstützt.

• Diese Einstellungen sind für alle Registrierungstypen mit Ausnahme der Benutzerregistrierung verfügbar. Die Benutzerregistrierung ist auf VPN pro App beschränkt. Weitere Informationen zu den Registrierungstypen finden Sie unter iOS/iPadOS-Registrierung.

• Die verfügbaren Einstellungen hängen vom ausgewählten VPN-Client ab. Einige Einstellungen sind nur für bestimmte VPN-Clients verfügbar.

• Diese Einstellungen sind für alle Registrierungstypen verfügbar. Weitere Informationen zu den Registrierungstypen finden Sie unter macOS-Registrierung.

Verbindungstyp

Wählen Sie den VPN-Verbindungstyp aus der folgenden Anbieterliste aus:

• Verbindungsname: Endbenutzer sehen diesen Namen, wenn sie ihr Gerät nach einer Liste der verfügbaren VPN-Verbindungen durchsuchen.

• Benutzerdefinierter Domainname (nur Zscaler): Füllen Sie das Anmeldefeld der Zscaler-App vorab mit der Domäne aus, zu der Ihre Benutzer gehören. Wenn beispielsweise ein Benutzername ist Joe@contoso.net, wird die contoso.net Domäne statisch im Feld angezeigt, wenn die App geöffnet wird. Wenn Sie keinen Domänennamen eingeben, wird der Domänenteil des UPN in Microsoft Entra ID verwendet.

• VPN-Serveradresse: Die IP-Adresse oder der vollqualifizierte Domänenname (FQDN) des VPN-Servers, mit dem Geräte eine Verbindung herstellen. Geben Sie z. B. oder 192.168.1.1vpn.contoso.comein.

• Cloudname der Organisation (nur Zscaler): Geben Sie den Namen der Cloud ein, in der Ihre organization bereitgestellt wird. Die URL, die Sie zum Anmelden bei Zscaler verwenden, enthält den Namen.

• Authentifizierungsmethode: Wählen Sie aus, wie Geräte beim VPN-Server authentifiziert werden sollen.

  • Zertifikate: Wählen Sie unter Authentifizierungszertifikat ein vorhandenes SCEP- oder PKCS-Zertifikatprofil aus, um die Verbindung zu authentifizieren. Konfigurieren von Zertifikaten enthält einige Anleitungen zu Zertifikatprofilen.

  • Benutzername und Passwort: Endbenutzer müssen einen Benutzernamen und ein Passwort eingeben, um sich beim VPN-Server anzumelden.

    Hinweis

    Wenn Benutzername und Passwort als Authentifizierungsmethode für Cisco IPsec VPN verwendet werden, müssen sie das SharedSecret über ein benutzerdefiniertes Apple Configurator-Profil bereitstellen.

  • Abgeleitete Anmeldeinformationen: Verwenden Sie ein Zertifikat, das vom Smart Karte eines Benutzers abgeleitet ist. Wenn kein abgeleiteter Anmeldeinformationsaussteller konfiguriert ist, fordert Intune Sie auf, einen hinzuzufügen. Weitere Informationen finden Sie unter Verwenden abgeleiteter Anmeldeinformationen in Microsoft Intune.

• Ausgeschlossene URLs (nur Zscaler): Wenn Sie mit dem Zscaler VPN verbunden sind, sind die aufgelisteten URLs außerhalb der Zscaler-Cloud zugänglich. Sie können bis zu 50 URLs hinzufügen.

• Geteilter Tunneling: Aktivieren oder deaktivieren Sie die Option, damit Geräte je nach Datenverkehr entscheiden können, welche Verbindung verwendet werden soll. Beispielsweise verwendet ein Benutzer in einem Hotel die VPN-Verbindung, um auf Arbeitsdateien zuzugreifen, verwendet jedoch das Standardnetzwerk des Hotels für regelmäßiges Surfen im Internet.

• VPN-Bezeichner (Custom VPN, Zscaler und Citrix): Ein Bezeichner für die von Ihnen verwendete VPN-App, der von Ihrem VPN-Anbieter bereitgestellt wird.

• Geben Sie Schlüssel-Wert-Paare für die benutzerdefinierten VPN-Attribute Ihrer organization (Custom VPN, Zscaler und Citrix) ein: Fügen Sie Schlüssel und Werte zum Anpassen Ihrer VPN-Verbindung hinzu oder importieren Sie sie. Denken Sie daran, dass diese Werte normalerweise von Ihrem VPN-Anbieter bereitgestellt werden.

• Aktivieren der Netzwerkzugriffssteuerung (NAC) (Cisco AnyConnect, Citrix SSO, F5 Access): Wenn Sie "Ich stimme zu" auswählen, wird die Geräte-ID in das VPN-Profil aufgenommen. Diese ID kann für die Authentifizierung beim VPN verwendet werden, um den Netzwerkzugriff zuzulassen oder zu verhindern.

  Wenn Sie Cisco AnyConnect mit ISE verwenden, stellen Sie Folgendes sicher:

  • Integrieren Sie ISE mit Intune für NAC, wie unter Konfigurieren von Microsoft Intune als MDM-Server im Cisco Identity Services Engine-Administratorhandbuch beschrieben, sofern noch nicht geschehen.
  • Aktivieren Sie NAC im VPN-Profil.

  Wichtig

  Der Netzwerkzugriffssteuerungsdienst (Network Access Control, NAC) ist veraltet und wird durch den neuesten NAC-Dienst von Microsoft ersetzt, den Compliance Retrieval Service (CR Service). Um Änderungen innerhalb der Cisco ISE zu unterstützen, hat Intune das Geräte-ID-Format geändert. Ihre vorhandenen Profile mit dem ursprünglichen NAC-Dienst funktionieren also nicht mehr.

  Um den CR-Dienst zu verwenden und Ausfallzeiten Ihrer VPN-Verbindung zu vermeiden, stellen Sie dasselbe VPN-Gerätekonfigurationsprofil erneut bereit. Es sind keine Änderungen am Profil erforderlich. Sie müssen nur eine erneute Bereitstellung durchführen. Wenn das Gerät mit dem Intune-Dienst synchronisiert wird und das VPN-Konfigurationsprofil empfängt, werden die Änderungen des CR-Dienstes automatisch auf dem Gerät bereitgestellt. Und Ihre VPN-Verbindungen sollten weiterhin funktionieren.

  Wenn Sie Citrix SSO mit Gateway verwenden, stellen Sie Folgendes sicher:

  • Vergewissern Sie sich, dass Sie Citrix Gateway 12.0.59 oder höher verwenden.
  • Vergewissern Sie sich, dass Ihre Benutzer Citrix SSO 1.1.6 oder höher auf ihren Geräten installiert haben.
  • Integrieren Sie Citrix Gateway in Intune für NAC. Weitere Informationen finden Sie im Citrix-Bereitstellungshandbuch Integration von Microsoft Intune/Enterprise Mobility Suite mit NetScaler (LDAP+OTP-Szenario).
  • Aktivieren Sie NAC im VPN-Profil.

  Wenn Sie F5 Access verwenden, stellen Sie Folgendes sicher:

  • Vergewissern Sie sich, dass Sie F5 BIG-IP 13.1.1.5 oder höher verwenden.
  • Integrieren Sie BIG-IP in Intune für NAC. Weitere Informationen finden Sie im F5-Handbuch Übersicht: Konfigurieren von APM für die Überprüfung des Gerätestatus mit Endpunktmanagementsystemen .
  • Aktivieren Sie NAC im VPN-Profil.

  Für die VPN-Partner, die die Geräte-ID unterstützen, kann der VPN-Client, z. B. Citrix SSO, die ID abrufen. Anschließend kann es Intune abfragen, um zu bestätigen, dass das Gerät registriert ist und ob das VPN-Profil konform oder nicht kompatibel ist.

  • Um diese Einstellung zu entfernen, erstellen Sie das Profil neu, und wählen Sie nicht " Ich stimme zu" aus. Weisen Sie dann das Profil neu zu.

• Geben Sie Schlüssel-Wert-Paare für die NetMotion Mobility VPN-Attribute ein (nur NetMotion Mobility): Geben Sie Schlüssel-Wert-Paare ein oder importieren Sie sie. Diese Werte können von Ihrem VPN-Anbieter bereitgestellt werden.

• Microsoft Tunnel-Website (nur Microsoft Tunnel): Wählen Sie eine vorhandene Website aus. Der VPN-Client stellt eine Verbindung mit der öffentlichen IP-Adresse oder dem FQDN dieser Site her.

  Weitere Informationen finden Sie unter Microsoft-Tunnel für Intune.

• Bereitstellungskanal: Wählen Sie aus, wie Sie das Profil bereitstellen möchten. Diese Einstellung bestimmt auch den Schlüsselbund, in dem die Authentifizierungszertifikate gespeichert werden. Deshalb ist es wichtig, den richtigen Kanal auszuwählen. Es ist nicht möglich, den Bereitstellungskanal zu bearbeiten, nachdem Sie das Profil bereitgestellt haben. Um es zu ändern, müssen Sie ein neues Profil erstellen.

  Hinweis

  Es wird empfohlen, die Einstellung für den Bereitstellungskanal in vorhandenen Profilen erneut zu überprüfen, wenn die verknüpften Authentifizierungszertifikate erneuert werden sollen, um sicherzustellen, dass der gewünschte Kanal ausgewählt ist. Wenn dies nicht der Fall ist, erstellen Sie ein neues Profil mit dem richtigen Bereitstellungskanal.

  Sie haben zwei Möglichkeiten:

  • Benutzerkanal: Wählen Sie den Benutzerbereitstellungskanal immer in Profilen mit Benutzerzertifikaten aus. Mit dieser Option werden die Zertifikate im Schlüsselbund des Benutzers gespeichert.
  • Gerätekanal: Wählen Sie den Gerätebereitstellungskanal immer in Profilen mit Gerätezertifikaten aus. Mit dieser Option werden die Zertifikate im Systemschlüsselbund gespeichert.

• Verbindungsname: Geben Sie einen Namen für diese Verbindung ein. Endbenutzer sehen diesen Namen, wenn sie auf ihrem Gerät nach der Liste der verfügbaren VPN-Verbindungen suchen.

• VPN-Serveradresse: Geben Sie die IP-Adresse oder den vollqualifizierten Domänennamen des VPN-Servers ein, mit dem Geräte eine Verbindung herstellen. Geben Sie z. B. oder 192.168.1.1vpn.contoso.comein.

• Authentifizierungsmethode: Wählen Sie aus, wie Geräte beim VPN-Server authentifiziert werden sollen. Ihre Optionen:

  • Zertifikate: Wählen Sie unter Authentifizierungszertifikat ein SCEP- oder PKCS-Zertifikatprofil aus, das Sie zuvor zur Authentifizierung der Verbindung erstellt haben. Weitere Informationen zu Zertifikatprofilen finden Sie unter Konfigurieren von Zertifikaten. Wählen Sie die Zertifikate aus, die zu Ihrer Kanalauswahl für die Bereitstellung passen. Wenn Sie den Benutzerkanal ausgewählt haben, sind Ihre Zertifikatoptionen auf Benutzerzertifikatprofile beschränkt. Wenn Sie den Gerätekanal ausgewählt haben, stehen Ihnen sowohl Benutzer- als auch Gerätezertifikatprofile zur Auswahl. Es wird jedoch empfohlen, immer den Zertifikattyp auszuwählen, der zum ausgewählten Kanal passt. Das Speichern von Benutzerzertifikaten im Systemschlüsselbund erhöht die Sicherheitsrisiken.
  • Benutzername und Passwort: Endbenutzer müssen einen Benutzernamen und ein Passwort eingeben, um sich beim VPN-Server anzumelden.

• Verbindungstyp: Wählen Sie den VPN-Verbindungstyp aus der folgenden Liste von Anbietern aus:

  • Check Point Capsule VPN

  • Cisco AnyConnect

  • SonicWall Mobile Connect

  • F5 Access

  • NetMotion Mobility

  • Benutzerdefiniertes VPN: Wählen Sie diese Option aus, wenn Ihr VPN-Anbieter nicht aufgeführt ist. Konfigurieren Sie auch:

    • VPN-Kennung: Geben Sie eine Kennung für die verwendete VPN-App ein. Diese Kennung erhalten Sie von Ihrem VPN-Anbieter.
    • Geben Sie Schlüssel-Wert-Paare für die benutzerdefinierten VPN-Attribute ein: Fügen Sie Schlüssel und Werte zum Anpassen Ihrer VPN-Verbindung hinzu oder importieren Sie sie. Diese Werte werden normalerweise von Ihrem VPN-Anbieter bereitgestellt.

• Geteilter Tunneling: Mit dieser Option können Geräte je nach Datenverkehr entscheiden, welche Verbindung verwendet werden soll. Beispielsweise verwendet ein Benutzer in einem Hotel die VPN-Verbindung, um auf Arbeitsdateien zuzugreifen, verwendet jedoch das Standardnetzwerk des Hotels für regelmäßiges Surfen im Internet. Deaktivieren lässt den gesamten Datenverkehr den VPN-Tunnel verwenden, wenn die VPN-Verbindung aktiv ist.

IKEv2-Einstellungen

Diese Einstellungen werden angewendet, wenn Sie den Verbindungstyp>IKEv2 auswählen.

• Always-on-VPN:Aktiviert legt einen VPN-Client fest, der automatisch eine Verbindung zum VPN herstellt und die Verbindung wiederherstellt. Always-On-VPN-Verbindungen bleiben verbunden oder stellen sofort eine Verbindung her, wenn der Benutzer sein Gerät sperrt, das Gerät neu startet oder das Drahtlosnetzwerk geändert wird. Bei Einstellung " Deaktivieren" (Standard) ist das Always-On-VPN für alle VPN-Clients deaktiviert. Wenn aktiviert, konfigurieren Sie auch:

  • Netzwerkschnittstelle: Alle IKEv2-Einstellungen gelten nur für die von Ihnen ausgewählte Netzwerkschnittstelle. Ihre Optionen:

    • WLAN und Mobilfunk (Standard): Die IKEv2-Einstellungen gelten für die Wi-Fi- und Mobilfunkschnittstellen des Geräts.
    • Mobilfunk: Die IKEv2-Einstellungen gelten nur für die Mobilfunkschnittstelle auf dem Gerät. Wählen Sie diese Option aus, wenn Sie die Bereitstellung auf Geräten durchführen, auf denen die Wi-Fi-Schnittstelle deaktiviert oder entfernt ist.
    • WLAN: Die IKEv2-Einstellungen gelten nur für die Wi-Fi-Schnittstelle des Geräts.

  • Benutzer zum Deaktivieren der VPN-Konfiguration: Mit "Aktivieren " können Benutzer das Always-On-VPN deaktivieren. Deaktivieren (Standard) verhindert, dass Benutzer sie deaktivieren. Der Standardwert für diese Einstellung ist die sicherste Option.

  • Voicemail: Wählen Sie aus, was mit dem Voicemail-Datenverkehr geschieht, wenn das Always-on-VPN aktiviert ist. Ihre Optionen:

    • Netzwerkdatenverkehr über VPN erzwingen (Standard): Diese Einstellung ist die sicherste Option.
    • Netzwerkdatenverkehr von außerhalb des VPN passieren lassen
    • Netzwerkdatenverkehr verwerfen

  • AirPrint: Wählen Sie aus, was mit dem AirPrint-Datenverkehr passiert, wenn Always-on-VPN aktiviert ist. Ihre Optionen:

    • Netzwerkdatenverkehr über VPN erzwingen (Standard): Diese Einstellung ist die sicherste Option.
    • Netzwerkdatenverkehr von außerhalb des VPN passieren lassen
    • Netzwerkdatenverkehr verwerfen

  • Mobilfunkdienste: Wählen Sie unter iOS 13.0+ aus, was mit dem Mobilfunkverkehr passiert, wenn das Always-on-VPN aktiviert ist. Ihre Optionen:

    • Netzwerkdatenverkehr über VPN erzwingen (Standard): Diese Einstellung ist die sicherste Option.
    • Netzwerkdatenverkehr von außerhalb des VPN passieren lassen
    • Netzwerkdatenverkehr verwerfen

  • Datenverkehr von nicht-nativen Captive-Networking-Apps außerhalb des VPN passieren lassen: Ein Captive Network bezieht sich auf Wi-Fi Hotspots, die typischerweise in Restaurants und Hotels zu finden sind. Ihre Optionen:

    • Nein: Erzwingt den gesamten Datenverkehr der Captive Networking (CN)-App durch den VPN-Tunnel.

    • Ja, alle Apps: Ermöglicht der Umgehung des VPN durch den gesamten CN-App-Datenverkehr.

    • Ja, bestimmte Apps: Fügen Sie eine Liste von CN-Apps hinzu, deren Datenverkehr das VPN umgehen kann. Geben Sie die Paket-IDs der CN-App ein. Geben Sie beispielsweise com.contoso.app.id.package ein.

      Um die Paket-ID einer zu Intune hinzugefügten App abzurufen, können Sie das Intune Admin Center verwenden.

  • Datenverkehr von der Captive Websheet-App zum Weiterleiten von VPNs nach außen: Captive WebSheet ist ein integrierter Webbrowser, der die Captive-Anmeldung übernimmt. Wenn Sie diese Option aktivieren, kann der Browser-App-Datenverkehr das VPN umgehen. Durch Deaktivieren (Standard) wird erzwungen, dass WebSheet-Datenverkehr das Always-On-VPN verwendet. Der Standardwert ist die sicherste Option.

  • Keep-alive-Intervall (Sekunden) für Netzwerkadressübersetzung (NAT): Um mit dem VPN verbunden zu bleiben, sendet das Gerät Netzwerkpakete, um aktiv zu bleiben. Geben Sie einen Wert in Sekunden ein, wie oft diese Pakete gesendet werden, von 20 bis 1440. Geben Sie beispielsweise den Wert 60 ein, um die Netzwerkpakete alle 60 Sekunden an das VPN zu senden. Standardmäßig ist dieser Wert auf 110 Sekunden festgelegt.

  • NAT auslagern Keep-alive auf die Hardware, wenn sich das Gerät im Standbymodus befindet: Wenn sich ein Gerät im Standbymodus befindet, sendet NAT über Enable (Standard) kontinuierlich Keep-Alive-Pakete, damit das Gerät mit dem VPN verbunden bleibt. Deaktivieren deaktiviert dieses Feature.

• Remotebezeichner: Geben Sie die Netzwerk-IP-Adresse, den FQDN, den UserFQDN oder ASN1DN des IKEv2-Servers ein. Geben Sie z. B. oder 10.0.0.3vpn.contoso.comein. In der Regel geben Sie denselben Wert wie der Verbindungsname ein (in diesem Artikel). Dies hängt jedoch von Ihren IKEv2-Servereinstellungen ab.

• Lokaler Bezeichner: Geben Sie den Geräte-FQDN oder den allgemeinen Namen des IKEv2-VPN-Clients auf dem Gerät ein. Sie können diesen Wert auch leer lassen (Standard). In der Regel sollte der lokale Bezeichner mit der Identität des Benutzer- oder Gerätezertifikats übereinstimmen. Der IKEv2-Server benötigt möglicherweise eine Übereinstimmung der Werte, um die Identität des Clients überprüfen zu können.

• Clientauthentifizierungstyp: Wählen Sie aus, wie sich der VPN-Client beim VPN authentifiziert. Ihre Optionen:

  • Benutzerauthentifizierung (Standard): Benutzeranmeldeinformationen werden beim VPN authentifiziert.
  • Computerauthentifizierung: Die Geräteanmeldeinformationen authentifizieren sich beim VPN.

• Authentifizierungsmethode: Wählen Sie den Typ der Clientanmeldeinformationen aus, die an den Server gesendet werden sollen. Ihre Optionen:

  • Zertifikate: Verwendet ein vorhandenes Zertifikatprofil zur Authentifizierung beim VPN. Stellen Sie sicher, dass dieses Zertifikatprofil dem Benutzer oder Gerät bereits zugewiesen ist. Andernfalls schlägt die VPN-Verbindung fehl.

    • Zertifikattyp: Wählen Sie den vom Zertifikat verwendeten Verschlüsselungstyp aus. Stellen Sie sicher, dass der VPN-Server so konfiguriert ist, dass er diesen Zertifikatstyp akzeptiert. Ihre Optionen:
      • RSA (Standard)
      • ECDSA256
      • ECDSA384
      • ECDSA521

  • Gemeinsames Geheimnis (nur Computerauthentifizierung): Ermöglicht die Eingabe eines gemeinsamen Geheimnisses, das an den VPN-Server gesendet wird.

    • Gemeinsames Geheimnis: Geben Sie das gemeinsame Geheimnis ein, auch als vorinstallierter Schlüssel (PSK) bezeichnet. Stellen Sie sicher, dass der Wert mit dem auf dem VPN-Server konfigurierten gemeinsamen Geheimnis übereinstimmt.

• Allgemeiner Name des Serverzertifikatausstellers: Ermöglicht dem VPN-Server die Authentifizierung beim VPN-Client. Geben Sie den allgemeinen Namen (CN) des Zertifikatausstellers des VPN-Serverzertifikats ein, das an den VPN-Client auf dem Gerät gesendet wird. Stellen Sie sicher, dass der CN-Wert mit der Konfiguration auf dem VPN-Server übereinstimmt. Andernfalls schlägt die VPN-Verbindung fehl.

• Allgemeiner Name des Serverzertifikats: Geben Sie den CN für das Zertifikat selbst ein. Wenn das Feld leer gelassen wird, wird der Wert des Remotebezeichners verwendet.

• Erkennungsrate für tote Peers: Wählen Sie aus, wie oft der VPN-Client überprüft, ob der VPN-Tunnel aktiv ist. Ihre Optionen:

  • Nicht konfiguriert: Verwendet die iOS/iPadOS-Systemstandardeinstellung, was möglicherweise mit der Auswahl von "Mittel" identisch ist.
  • Keine: Deaktiviert die Erkennung toter Peers.
  • Niedrig: Sendet alle 30 Minuten eine "Keep-alive"-Nachricht.
  • Mittel (Standard): Sendet alle 10 Minuten eine "Keep-alive"-Nachricht.
  • Hoch: Sendet alle 60 Sekunden eine "Keep-alive"-Nachricht.

• Mindestens der TLS-Versionsbereich: Geben Sie die mindestens zu verwendende TLS-Version ein. Geben Sie 1.0, 1.1, oder 1.2ein. Wenn leer gelassen, wird der Standardwert von 1.0 verwendet. Wenn Sie Benutzerauthentifizierung und Zertifikate verwenden, müssen Sie diese Einstellung konfigurieren.

• Maximaler TLS-Versionsbereich: Geben Sie die maximal zu verwendende TLS-Version ein. Geben Sie 1.0, 1.1, oder 1.2ein. Wenn leer gelassen, wird der Standardwert von 1.2 verwendet. Wenn Sie Benutzerauthentifizierung und Zertifikate verwenden, müssen Sie diese Einstellung konfigurieren.

• Perfect Forward Secrecy: Wählen Sie "Aktivieren" aus, um Perfect Forward Secrecy (PFS) zu aktivieren. PFS ist ein IP-Sicherheitsfeature, das die Auswirkungen bei der Kompromittierung eines Sitzungsschlüssels reduziert. Deaktivieren (Standard) verwendet PFS nicht.

• Zertifikatsperrprüfung: Wählen Sie Aktivieren aus, um sicherzustellen, dass die Zertifikate nicht widerrufen werden, bevor die VPN-Verbindung erfolgreich hergestellt werden kann. Diese Überprüfung ist nach bestem Wissen und Gewissen möglich. Wenn der VPN-Server eine Zeitüberschreitung aufweist, bevor festgestellt wird, ob das Zertifikat gesperrt ist, wird der Zugriff gewährt. Deaktivieren (Standard) sucht nicht nach gesperrten Zertifikaten.

• Verwenden interner IPv4/IPv6-Subnetzattribute: Einige IKEv2-Server verwenden die INTERNAL_IP4_SUBNET ODER-Attribute INTERNAL_IP6_SUBNET . Durch Aktivieren wird die Verwendung dieser Attribute durch die VPN-Verbindung erzwungen. Durch Deaktivieren (Standard) wird die Verwendung dieser Subnetzattribute durch die VPN-Verbindung nicht erzwungen.

• Mobilität und Multihoming (MOBIKE): MOBIKE ermöglicht es VPN-Clients, ihre IP-Adresse zu ändern, ohne eine Sicherheitszuordnung zum VPN-Server neu zu erstellen. Enable (Standard) aktiviert MOBIKE, wodurch VPN-Verbindungen bei Reisen zwischen Netzwerken verbessert werden können. Deaktivieren schaltet MOBIKE aus.

• Umleitung: Enable (Standard) leitet die IKEv2-Verbindung um, wenn eine Umleitungsanforderung vom VPN-Server empfangen wird. Deaktivieren verhindert, dass die IKEv2-Verbindung umgeleitet wird, wenn eine Umleitungsanforderung vom VPN-Server empfangen wird.

• Maximale Übertragungseinheit: Geben Sie die maximale Übertragungseinheit (MTU) in Bytes von 1 bis 65536 ein. Wenn diese Einstellung auf "Nicht konfiguriert" festgelegt oder leer gelassen wird, ändert oder aktualisiert Intune diese Einstellung nicht. Apple legt diesen Wert möglicherweise standardmäßig auf 1280 fest.

  Diese Einstellung gilt für:

  • iOS/iPadOS 14 und höher

• Parameter für Sicherheitszuordnungen: Geben Sie die Parameter ein, die beim Erstellen von Sicherheitszuordnungen mit dem VPN-Server verwendet werden sollen:

  • Verschlüsselungsalgorithmus: Wählen Sie den gewünschten Algorithmus aus:

    • DES
    • 3DES
    • AES-128
    • AES-256 (Standard)
    • AES-128-GCM
    • AES-256-GCM

    Hinweis

    Wenn Sie den Verschlüsselungsalgorithmus auf AES-128-GCM oder AES-256-GCMfestlegen, wird der AES-256 Standardwert verwendet. Dieses Problem ist bekannt und wird in einer zukünftigen Version behoben. Es gibt keine ETA.

  • Integritätsalgorithmus: Wählen Sie den gewünschten Algorithmus aus:

    • SHA1-96
    • SHA1-160
    • SHA2-256 (Standard)
    • SHA2-384
    • SHA2-512

  • Diffie-Hellman-Gruppe: Wählen Sie die gewünschte Gruppe aus. Der Standardwert ist group 2.

  • Lebensdauer (Minuten): Geben Sie ein, wie lange die Sicherheitszuordnung aktiv bleibt, bis die Schlüssel rotiert werden. Geben Sie einen ganzen Wert zwischen 10 und 1440 ein (1440 Minuten sind 24 Stunden). Der Standardwert ist 1440.

• Parameter der untergeordneten Sicherheitszuordnung: Mit iOS/iPadOS können Sie separate Parameter für die IKE-Verbindung und alle untergeordneten Verbindungen konfigurieren. Geben Sie die Parameter ein, die beim Erstellen von untergeordneten Sicherheitszuordnungen für den VPN-Server verwendet werden:

  • Verschlüsselungsalgorithmus: Wählen Sie den gewünschten Algorithmus aus:

    • DES
    • 3DES
    • AES-128
    • AES-256 (Standard)
    • AES-128-GCM
    • AES-256-GCM

    Hinweis

    Wenn Sie den Verschlüsselungsalgorithmus auf AES-128-GCM oder AES-256-GCMfestlegen, wird der AES-256 Standardwert verwendet. Dieses Problem ist bekannt und wird in einer zukünftigen Version behoben. Es gibt keine ETA.

• Integritätsalgorithmus: Wählen Sie den gewünschten Algorithmus aus:

  • SHA1-96
  • SHA1-160
  • SHA2-256 (Standard)
  • SHA2-384
  • SHA2-512

  Konfigurieren Sie auch:

  • Diffie-Hellman-Gruppe: Wählen Sie die gewünschte Gruppe aus. Der Standardwert ist group 2.
  • Lebensdauer (Minuten): Geben Sie ein, wie lange die Sicherheitszuordnung aktiv bleibt, bis die Schlüssel rotiert werden. Geben Sie einen ganzen Wert zwischen 10 und 1440 ein (1440 Minuten sind 24 Stunden). Der Standardwert ist 1440.

Typ des automatischen VPN: Wählen Sie den VPN-Typ aus, den Sie konfigurieren möchten – On-Demand-VPN oder Per-App-VPN. Stellen Sie sicher, dass Sie nur eine Option verwenden. Wenn Sie beide gleichzeitig verwenden, entstehen Verbindungsprobleme. Wenn die Standardeinstellung Nicht konfiguriert festgelegt ist, wird sie von Intune nicht geändert oder aktualisiert.

On-Demand-VPN-Feature im automatischen VPN

On-Demand-VPN verwendet Regeln, um die VPN-Verbindung automatisch zu verbinden oder zu trennen. Wenn Ihre Geräte versuchen, eine Verbindung mit dem VPN herzustellen, sucht es nach Übereinstimmungen in den von Ihnen erstellten Parametern und Regeln, z. B. nach einem übereinstimmenden Domänennamen. Wenn es eine Übereinstimmung gibt, wird die von Ihnen ausgewählte Aktion ausgeführt.

Sie können beispielsweise eine Bedingung erstellen, bei der die VPN-Verbindung nur verwendet wird, wenn ein Gerät nicht mit einem Unternehmen Wi-Fi Netzwerk verbunden ist. Oder wenn ein Gerät nicht auf die von Ihnen eingegebene DNS-Suchdomäne zugreifen kann, wird die VPN-Verbindung nicht hergestellt.

• On-Demand-Regeln>Hinzufügen: Wählen Sie "Hinzufügen" aus, um eine Regel hinzuzufügen. Wenn keine VPN-Verbindung vorhanden ist, verwenden Sie diese Einstellungen, um eine On-Demand-Regel zu erstellen. Wenn eine Übereinstimmung mit Ihrer Regel vorliegt, führt das Gerät die von Ihnen ausgewählte Aktion aus.

  • Ich möchte Folgendes tun: Wenn eine Übereinstimmung zwischen dem Gerätewert und Ihrer On-Demand-Regel besteht, wählen Sie die Aktion aus, die das Gerät ausführen soll. Ihre Optionen:

    • VPN einrichten: Wenn eine Übereinstimmung zwischen dem Gerätewert und Ihrer On-Demand-Regel besteht, stellt das Gerät eine Verbindung mit dem VPN her.

    • VPN trennen: Wenn eine Übereinstimmung zwischen dem Gerätewert und Ihrer On-Demand-Regel besteht, wird die VPN-Verbindung getrennt.

    • Jeden Verbindungsversuch auswerten: Wenn es eine Übereinstimmung zwischen dem Gerätewert und Ihrer On-Demand-Regel gibt, verwenden Sie die Einstellung Auswählen, ob eine Verbindung hergestellt werden soll , um zu entscheiden, was bei jedem VPN-Verbindungsversuch geschieht:

      • Stellen Sie bei Bedarf eine Verbindung her: Wenn sich das Gerät in einem internen Netzwerk befindet oder bereits eine VPN-Verbindung mit dem internen Netzwerk besteht, kann das On-Demand-VPN keine Verbindung herstellen. Diese Einstellungen werden nicht verwendet.

        Sollte keine VPN-Verbindung vorhanden sein, müssen Sie bei jedem VPN-Verbindungsversuch entscheiden, ob Benutzer eine Verbindung mit einem DNS-Domänennamen herstellen sollen. Diese Regel gilt nur für Domänen in der Wenn Benutzer versuchen, auf diese Domänen zuzugreifen . Alle anderen Domänen werden ignoriert.

        • Wenn Benutzer versuchen, auf diese Domänen zuzugreifen: Geben Sie eine oder mehrere DNS-Domänen ein, z. B contoso.com. Wenn Benutzer versuchen, eine Verbindung mit einer Domäne in dieser Liste herzustellen, verwendet das Gerät DNS, um die von Ihnen eingegebenen Domänen aufzulösen. Wenn die Domäne nicht aufgelöst werden kann, was bedeutet, dass sie keinen Zugriff auf interne Ressourcen hat, dann stellt sie bei Bedarf eine Verbindung zum VPN her. Wenn die Domäne aufgelöst wird, was bedeutet, dass sie bereits Zugriff auf interne Ressourcen hat, wird keine Verbindung zum VPN hergestellt.

          Wenn Benutzer versuchen, auf diese Domänen zuzugreifen , ist die Einstellung leer	Das Gerät verwendet die im Netzwerkverbindungsdienst (WLAN/Ethernet) konfigurierten DNS-Server, um die Domäne aufzulösen. Die Idee ist, dass diese DNS-Server öffentliche Server sind. Die Domänen in der Liste Wenn Benutzer versuchen, auf diese Domänen zuzugreifen , sind interne Ressourcen. Interne Ressourcen befinden sich nicht auf öffentlichen DNS-Servern und können nicht aufgelöst werden. Das Gerät stellt also eine Verbindung mit dem VPN her. Jetzt wird die Domäne über die DNS-Server der VPN-Verbindung aufgelöst und die interne Ressource ist verfügbar. Wenn sich das Gerät im internen Netzwerk befindet, wird die Domäne aufgelöst und keine VPN-Verbindung erstellt, da die interne Domäne bereits verfügbar ist. Sie möchten keine VPN-Ressourcen für Geräte verschwenden, die sich bereits im internen Netzwerk befinden.
          Wenn Benutzer versuchen, auf diese Domänen zuzugreifen , wird die Einstellung ausgefüllt	Die DNS-Server in der Liste werden verwendet, um die Domänen in der Liste aufzulösen. Der Gedanke ist das Gegenteil der ersten Zeile (Wenn Benutzer versuchen, auf diese Domänen zuzugreifen , ist die Einstellung leer). Die Liste Wenn Benutzer versuchen, auf diese Domänen zuzugreifen, enthält instance interne DNS-Server. Ein Gerät in einem externen Netzwerk kann keine Weiterleitung zu den internen DNS-Servern durchführen. Die Zeitüberschreitung bei der Namensauflösung erfolgt und das Gerät stellt bei Bedarf eine Verbindung zum VPN her. Nun stehen die internen Ressourcen zur Verfügung. Denken Sie daran, dass diese Informationen nur für Domänen in der Liste gelten , wenn Benutzer versuchen, auf diese Domänen zuzugreifen . Alle anderen Domänen werden mit öffentlichen DNS-Servern aufgelöst. Wenn das Gerät mit dem internen Netzwerk verbunden ist, kann auf die DNS-Server in der Liste zugegriffen werden, und es ist keine VPN-Verbindung erforderlich.

        ---

        • Verwenden Sie die folgenden DNS-Server, um diese Domänen aufzulösen (optional): Geben Sie eine oder mehrere DNS-Server-IP-Adressen ein, z. B 10.0.0.22. Die von Ihnen eingegebenen DNS-Server werden verwendet, um die Domänen in der Einstellung "Wenn Benutzer versuchen, auf diese Domänen zuzugreifen " aufzulösen.

        • Wenn diese URL nicht erreichbar ist, erzwingen Sie die Verbindung mit dem VPN: Optional. Geben Sie eine HTTP- oder HTTPS-Test-URL ein, die von der Regel als Test verwendet wird. Geben Sie beispielsweise https://probe.Contoso.com ein. Diese URL wird jedes Mal überprüft, wenn ein Benutzer versucht, auf eine Domäne in der Einstellung Wenn Benutzer versuchen, auf diese Domänen zuzugreifen . Dem Benutzer wird die Testwebsite für die URL-Zeichenfolge nicht angezeigt.

          Wenn der Test fehlschlägt, weil die URL nicht erreichbar ist oder keinen HTTP-Statuscode 200 zurückgibt, stellt das Gerät eine Verbindung mit dem VPN her.

          Die Idee ist, dass die URL nur im internen Netzwerk zugänglich ist. Wenn auf die URL zugegriffen werden kann, wird keine VPN-Verbindung benötigt. Wenn auf die URL nicht zugegriffen werden kann, befindet sich das Gerät in einem externen Netzwerk, und es stellt bei Bedarf eine Verbindung mit dem VPN her. Sobald die VPN-Verbindung hergestellt ist, stehen interne Ressourcen zur Verfügung.

      • Nie verbinden: Wenn Benutzer bei jedem VPN-Verbindungsversuch versuchen, auf die von Ihnen eingegebenen Domänen zuzugreifen, stellt das Gerät keine Verbindung zum VPN her.

        • Wenn Benutzer versuchen, auf diese Domänen zuzugreifen: Geben Sie eine oder mehrere DNS-Domänen ein, z. B contoso.com. Wenn Benutzer versuchen, eine Verbindung mit einer Domäne in dieser Liste herzustellen, wird keine VPN-Verbindung erstellt. Wenn sie versuchen, eine Verbindung mit einer Domäne herzustellen, die nicht in dieser Liste enthalten ist, stellt das Gerät eine Verbindung mit dem VPN her.

    • Ignorieren: Wenn eine Übereinstimmung zwischen dem Gerätewert und Ihrer On-Demand-Regel besteht, wird eine VPN-Verbindung ignoriert.

  • Ich möchte beschränken auf: Wenn Sie in der Einstellung Ich möchte die folgende Einstellungverwenden, VPNtrennen oder Ignorieren auswählen, wählen Sie die Bedingung aus, die die Regel erfüllen muss. Ihre Optionen:

    • Bestimmte SSIDs: Geben Sie mindestens einen Namen für das drahtlose Netzwerk ein, für das die Regel gilt. Dieser Netzwerkname ist der Service Set Identifier (SSID). Geben Sie beispielsweise Contoso VPN ein.
    • Bestimmte Suchdomänen: Geben Sie mindestens eine DNS-Domäne ein, für die die Regel gilt. Geben Sie beispielsweise contoso.com ein.
    • Alle Domänen: Wählen Sie diese Option aus, um Ihre Regel auf alle Domänen in Ihrer organization anzuwenden.

  • Aber nur, wenn dieser URL-Test erfolgreich ist: Optional. Geben Sie eine URL ein, die von der Regel als Test verwendet wird. Geben Sie beispielsweise https://probe.Contoso.com ein. Wenn das Gerät ohne Umleitung auf diese URL zugreift, wird die VPN-Verbindung hergestellt. Dann stellt das Gerät eine Verbindung mit der Ziel-URL her. Dem Benutzer wird die Testwebsite für die URL-Zeichenfolge nicht angezeigt.

    Beispielsweise testet die URL die Fähigkeit des VPNs, eine Verbindung mit einer Website herzustellen, bevor das Gerät über das VPN eine Verbindung mit der Ziel-URL herstellt.

• Verhindern, dass Benutzer das automatische VPN deaktivieren: Ihre Optionen:

  • Nicht konfiguriert: Diese Einstellung wird von Intune nicht geändert oder aktualisiert.
  • Ja: Verhindert, dass Benutzer das automatische VPN deaktivieren. Es zwingt die Benutzer, das automatische VPN aktiviert und laufen zu lassen.
  • Nein: Ermöglicht Benutzern das Deaktivieren des automatischen VPN.

  Diese Einstellung gilt für:

  • iOS 14 und höher
  • iPadOS 14 und höher

Pro-App-VPN-Funktion im automatischen VPN

Aktiviert VPN pro App, indem diese VPN-Verbindung einer bestimmten App zugeordnet wird. Wenn die App ausgeführt wird, wird die VPN-Verbindung hergestellt. Sie können das VPN-Profil einer App zuordnen, wenn Sie der App Software oder Programm zuweisen. Weitere Informationen finden Sie unter Zuweisen und Überwachen von Apps.

VPN pro App wird bei einer IKEv2-Verbindung nicht unterstützt. Weitere Informationen finden Sie unter Einrichten von VPN pro App für iOS-/iPadOS-Geräte.

• Anbietertyp: Nur für Pulse Secure und Custom VPN verfügbar.

  Wenn Sie VPN-Profile pro App mit Pulse Secure oder einem benutzerdefinierten VPN verwenden, wählen Sie Tunneling auf App-Ebene (App-Proxy) oder Tunneling auf Paketebene (Packet-Tunnel):

  • app-proxy: Wählen Sie diese Option für App-Layer-Tunneling aus.
  • paket-tunnel: Wählen Sie diese Option für Paketschicht-Tunneling aus.

  Wenn Sie sich nicht sicher sind, welche Option Sie verwenden sollen, lesen Sie die Dokumentation Ihres VPN-Anbieters.

• Safari-URLs, die dieses VPN auslösen: Fügen Sie eine oder mehrere Website-URLs hinzu. Wenn diese URLs über den Safari-Browser auf dem Gerät besucht werden, wird die VPN-Verbindung automatisch hergestellt. Geben Sie beispielsweise contoso.com ein.

• Zugeordnete Domänen: Geben Sie die zugeordneten Domänen in das VPN-Profil ein, die mit dieser VPN-Verbindung verwendet werden sollen.

  Weitere Informationen finden Sie unter Zugeordnete Domänen.

• Ausgeschlossene Domänen: Geben Sie Domänen ein, die die VPN-Verbindung umgehen können, wenn ein VPN pro App verbunden ist. Geben Sie beispielsweise contoso.com ein. Der Datenverkehr zur contoso.com Domäne verwendet das öffentliche Internet, auch wenn das VPN verbunden ist.

• Verhindern, dass Benutzer das automatische VPN deaktivieren: Ihre Optionen:

  • Nicht konfiguriert: Diese Einstellung wird von Intune nicht geändert oder aktualisiert.
  • Ja: Verhindert, dass Benutzer den Umschalter "Bei Bedarf verbinden" in den VPN-Profileinstellungen deaktivieren. Sie zwingt die Benutzer, VPN- oder On-Demand-Regeln pro App aktiviert und ausgeführt zu lassen.
  • Nein: Ermöglicht Benutzern das Deaktivieren der Umschaltfläche "Bei Bedarf", womit VPN- und On-Demand-Regeln pro App deaktiviert werden.

  Diese Einstellung gilt für:

  • iOS 14 und höher
  • iPadOS 14 und höher

Wählen Sie den gewünschten automatischen VPN-Typ aus. Folgende Optionen sind verfügbar:

• Nicht konfiguriert: Diese Einstellung wird von Intune nicht geändert oder aktualisiert.

• On-Demand-VPN: On-Demand-VPN verwendet Regeln, um die VPN-Verbindung automatisch zu verbinden oder zu trennen. Wenn Ihre Geräte versuchen, eine Verbindung mit dem VPN herzustellen, sucht es nach Übereinstimmungen in den von Ihnen erstellten Parametern und Regeln, z. B. nach einer übereinstimmenden IP-Adresse oder einem übereinstimmenden Domänennamen. Wenn es eine Übereinstimmung gibt, wird die von Ihnen ausgewählte Aktion ausgeführt.

  Erstellen Sie beispielsweise eine Bedingung, bei der die VPN-Verbindung nur verwendet wird, wenn ein Gerät nicht mit einem Unternehmen Wi-Fi Netzwerk verbunden ist. Oder wenn ein Gerät nicht auf die von Ihnen eingegebene DNS-Suchdomäne zugreifen kann, wird die VPN-Verbindung nicht hergestellt.

  • Hinzufügen: Wählen Sie diese Option aus, und fügen Sie eine Regel hinzu.

  • Ich möchte Folgendes tun: Wenn eine Übereinstimmung zwischen dem Gerätewert und Ihrer On-Demand-Regel besteht, wählen Sie die Aktion aus. Ihre Optionen:

    • VPN verbinden
    • VPN trennen
    • Jeden Verbindungsversuch auswerten
    • Ignorieren

  • Ich möchte einschränken auf: Wählen Sie die Bedingung aus, die die Regel erfüllen muss. Ihre Optionen:

    • Bestimmte SSIDs: Geben Sie mindestens einen Namen für das drahtlose Netzwerk ein, für das die Regel gilt. Dieser Netzwerkname ist der Service Set Identifier (SSID). Geben Sie beispielsweise Contoso VPN ein.
    • Bestimmte Suchdomänen: Geben Sie mindestens eine DNS-Domäne ein, für die die Regel gilt. Geben Sie beispielsweise contoso.com ein.
    • Alle Domänen: Wählen Sie diese Option aus, um Ihre Regel auf alle Domänen in Ihrer organization anzuwenden.

  • Aber nur, wenn dieser URL-Test erfolgreich ist: Optional. Geben Sie eine URL ein, die von der Regel als Test verwendet wird. Wenn das Gerät ohne Umleitung auf diese URL zugreift, wird die VPN-Verbindung hergestellt. Dann stellt das Gerät eine Verbindung mit der Ziel-URL her. Dem Benutzer wird die Testwebsite für die URL-Zeichenfolge nicht angezeigt.

    Ein URL-Zeichenfolgentest ist beispielsweise eine überwachende Webserver-URL, die die Gerätekonformität überprüft, bevor eine Verbindung mit dem VPN hergestellt wird. Oder die URL testet die Fähigkeit des VPNs, eine Verbindung mit einer Website herzustellen, bevor das Gerät über das VPN eine Verbindung mit der Ziel-URL herstellt.

• Verhindern, dass Benutzer das automatische VPN deaktivieren: Ihre Optionen:

  • Nicht konfiguriert: Diese Einstellung wird von Intune nicht geändert oder aktualisiert.
  • Ja: Verhindert, dass Benutzer das automatische VPN deaktivieren. Es zwingt die Benutzer, das automatische VPN aktiviert und laufen zu lassen.
  • Nein: Ermöglicht Benutzern das Deaktivieren des automatischen VPN.

  Diese Einstellung gilt für:

  • macOS 11 und höher (Big Sur)

• Pro-App-VPN: Aktiviert VPN pro App, indem diese VPN-Verbindung einer macOS-App zugeordnet wird. Wenn die App ausgeführt wird, wird die VPN-Verbindung hergestellt. Sie können das VPN-Profil einer App zuordnen, wenn Sie die Software zuweisen. Weitere Informationen finden Sie unter Zuweisen und Überwachen von Apps.

  • Safari-URLs, die dieses VPN auslösen: Fügen Sie eine oder mehrere Website-URLs hinzu. Wenn diese URLs über den Safari-Browser auf dem Gerät besucht werden, wird die VPN-Verbindung automatisch hergestellt.

  • Zugeordnete Domänen: Geben Sie zugeordnete Domänen in das VPN-Profil ein, die die VPN-Verbindung automatisch starten. Geben Sie beispielsweise contoso.com ein. Geräte in der contoso.com Domäne bauen die VPN-Verbindung automatisch auf.

    Weitere Informationen finden Sie unter Zugeordnete Domänen.

  • Ausgeschlossene Domänen: Geben Sie Domänen ein, die die VPN-Verbindung umgehen können, wenn ein VPN pro App verbunden ist. Geben Sie beispielsweise contoso.com ein. Geräte in der contoso.com Domäne werden nicht gestartet oder verwenden die App-spezifische VPN-Verbindung nicht. Geräte in der contoso.com Domäne nutzen das öffentliche Internet.

  • Verhindern, dass Benutzer das automatische VPN deaktivieren: Ihre Optionen:

    • Nicht konfiguriert: Diese Einstellung wird von Intune nicht geändert oder aktualisiert.
    • Ja: Verhindert, dass Benutzer das automatische VPN deaktivieren. Es zwingt die Benutzer, das automatische VPN aktiviert und laufen zu lassen.
    • Nein: Ermöglicht Benutzern das Deaktivieren des automatischen VPN.

    Diese Einstellung gilt für:

    • macOS 11 und höher (Big Sur)

VPN pro App

Diese Einstellungen gelten für die folgenden VPN-Verbindungstypen:

• Microsoft Tunnel

Einstellungen:

• VPN pro App: Aktivieren ordnet eine bestimmte App dieser VPN-Verbindung zu. Wenn die App ausgeführt wird, wird der Datenverkehr automatisch über die VPN-Verbindung geleitet. Sie können das VPN-Profil einer App zuordnen, wenn Sie die Software zuweisen. Weitere Informationen finden Sie unter Zuweisen und Überwachen von Apps.

  Weitere Informationen finden Sie unter Microsoft-Tunnel für Intune.

• Safari-URLs, die dieses VPN auslösen: Fügen Sie eine oder mehrere Website-URLs hinzu. Wenn diese URLs über den Safari-Browser auf dem Gerät besucht werden, wird die VPN-Verbindung automatisch hergestellt. Geben Sie beispielsweise contoso.com ein.

• Zugeordnete Domänen: Geben Sie die zugeordneten Domänen in das VPN-Profil ein, die mit dieser VPN-Verbindung verwendet werden sollen.

  Weitere Informationen finden Sie unter Zugeordnete Domänen.

• Ausgeschlossene Domänen: Geben Sie Domänen ein, die die VPN-Verbindung umgehen können, wenn ein VPN pro App verbunden ist. Geben Sie beispielsweise contoso.com ein. Der Datenverkehr zur contoso.com Domäne verwendet das öffentliche Internet, auch wenn das VPN verbunden ist.