Einstellungen für Windows- und Windows Holographic-Geräte zum Hinzufügen von VPN-Verbindungen mit Intune

Sie können VPN-Verbindungen für Geräte über Microsoft Intune hinzufügen und konfigurieren. In diesem Artikel werden einige der Einstellungen und Features beschrieben, die Sie beim Erstellen von virtuellen privaten Netzwerken (VPNs) konfigurieren können. Diese VPN-Einstellungen werden in Gerätekonfigurationsprofilen verwendet und dann per Push auf Geräte übertragen oder bereitgestellt.

Verwenden Sie im Rahmen Ihrer Mobile Device Management (MDM)-Lösung diese Einstellungen, um Features zuzulassen oder zu deaktivieren, z. B. die Verwendung eines bestimmten VPN-Anbieters, die Aktivierung von Always On, die Verwendung von DNS, das Hinzufügen eines Proxys und vieles mehr.

Diese Einstellungen gelten für Geräte mit folgendem Befehl:

• Windows
• Windows Holographic for Business

Bevor Sie beginnen

• Stellen Sie Ihre VPN-App bereit, und erstellen Sie ein Windows-Client-VPN-Gerätekonfigurationsprofil. Die verfügbaren Einstellungen hängen von der ausgewählten VPN-Client-App ab. Einige Einstellungen sind nur für bestimmte VPN-Clients verfügbar.

• Einige Microsoft 365-Dienste, wie z. B. Outlook, funktionieren möglicherweise nicht gut, wenn Sie VPNs von Drittanbietern oder Partnern verwenden. Wenn Sie ein Drittanbieter- oder Partner-VPN verwenden und ein Latenz- oder Leistungsproblem auftritt, entfernen Sie das VPN.

  Wenn das Verhalten durch das Entfernen des VPN behoben wird, haben Sie folgende Möglichkeiten:

  • Arbeiten Sie mit dem Drittanbieter- oder Partner-VPN zusammen, um mögliche Lösungen zu finden. Microsoft bietet keinen technischen Support für Drittanbieter- oder Partner-VPNs.
  • Verwenden Sie kein VPN für Outlook-Datenverkehr.
  • Wenn Sie ein VPN verwenden müssen, verwenden Sie ein VPN mit geteiltem Tunnel. Und lassen Sie zu, dass der Outlook-Datenverkehr das VPN umgeht.

  Weitere Informationen finden Sie unter:

  • Übersicht: Geteilter VPN-Tunneling für Microsoft 365
  • Verwenden von Netzwerkgeräten oder -lösungen von Drittanbietern mit Microsoft 365
  • Prinzipien der Microsoft 365-Netzwerkkonnektivität

• Diese Einstellungen verwenden den VPNv2-CSP.

Benutzerbereich oder Gerätebereich

• Verwenden Sie dieses VPN-Profil mit einem Benutzer-/Gerätebereich: Wenden Sie das Profil auf den Benutzer- oder Gerätebereich an:

  • Benutzerbereich: Das VPN-Profil wird im Benutzerkonto auf dem Gerät installiert, z. B user@contoso.com. . Wenn sich ein anderer Benutzer am Gerät anmeldet, ist das VPN-Profil nicht verfügbar.
  • Gerätebereich: Das VPN-Profil wird im Gerätekontext installiert und gilt für alle Benutzer auf dem Gerät. Windows Holographic-Geräte unterstützen nur den Gerätebereich.

Vorhandene VPN-Profile gelten für den vorhandenen Bereich. Standardmäßig werden neue VPN-Profile im Benutzerbereich installiert, mit Ausnahme der Profile mit aktiviertem Gerätetunnel. VPN-Profile mit aktiviertem Gerätetunnel verwenden den Gerätebereich.

Verbindungstyp

• Verbindungstyp: Wählen Sie den VPN-Verbindungstyp aus der folgenden Liste von Anbietern aus:

  • Check Point Capsule VPN
  • Cisco AnyConnect
  • Citrix
  • F5 Access
  • Palo Alto Networks – GlobalProtect
  • Pulse Secure
  • SonicWall Mobile Connect
  • Automatisch (systemeigener Typ)
  • IKEv2 (Nativer Typ)
  • L2TP (systemeigener Typ)
  • PPTP (systemeigener Typ)

Basis-VPN

Die folgenden Einstellungen werden je nach ausgewähltem Verbindungstyp angezeigt. Nicht alle Einstellungen sind für alle Verbindungstypen verfügbar.

• Verbindungsname: Geben Sie einen Namen für diese Verbindung ein. Endbenutzer sehen diesen Namen, wenn sie auf ihrem Gerät nach der Liste der verfügbaren VPN-Verbindungen suchen. Geben Sie beispielsweise Contoso VPN ein.

• Server: Fügen Sie einen oder mehrere VPN-Server hinzu, mit denen Geräte eine Verbindung herstellen. Wenn Sie einen Server hinzufügen, geben Sie die folgenden Informationen ein:

  • Importieren: Navigieren Sie zu einer durch Trennzeichen getrennten Datei, die eine Liste von Servern im folgenden Format enthält: Beschreibung, IP-Adresse oder FQDN, Standardserver. Wählen Sie OK aus, um diese Server in die Serverliste zu importieren.
  • Exportieren: Exportiert die vorhandene Liste von Servern in eine CSV-Datei (Comma-Separated Values).
  • Beschreibung: Geben Sie einen beschreibenden Namen für den Server ein, z. B. Contoso VPN-Server.
  • VPN-Serveradresse: Geben Sie die IP-Adresse oder den vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) des VPN-Servers ein, mit dem Geräte eine Verbindung herstellen, z. B. 192.168.1.1 oder vpn.contoso.com.
  • Standardserver: True aktiviert diesen Server als Standardserver, den Geräte zum Herstellen der Verbindung verwenden. Legen Sie nur einen Server als Standard fest. Bei "False " (Standard) wird dieser VPN-Server nicht als Standardserver verwendet.

• Registrieren von IP-Adressen beim internen DNS: Wählen Sie "Aktivieren" aus, um das VPN-Profil so zu konfigurieren, dass die IP-Adressen, die der VPN-Schnittstelle zugewiesen sind, dynamisch beim internen DNS registriert werden. Wählen Sie Deaktivieren , um die IP-Adressen nicht dynamisch zu registrieren.

• Always On: Aktiviert stellt automatisch eine Verbindung zur VPN-Verbindung her, wenn die folgenden Ereignisse eintreten:

  • Benutzer melden sich bei ihren Geräten an.
  • Das Netzwerk auf dem Gerät wird geändert.
  • Der Bildschirm auf dem Gerät wird nach dem Ausschalten wieder aktiviert.

  Aktivieren Sie diese Einstellung, um Gerätetunnelverbindungen wie IKEv2 zu verwenden.

  Durch Deaktivieren wird die VPN-Verbindung nicht automatisch aktiviert. Möglicherweise müssen Benutzer das VPN manuell aktivieren.

• Authentifizierungsmethode: Wählen Sie aus, wie sich Benutzer beim VPN-Server authentifizieren sollen. Ihre Optionen:

  • Zertifikate: Wählen Sie ein vorhandenes Benutzerclientzertifikatprofil aus, um den Benutzer zu authentifizieren. Diese Option bietet erweiterte Features wie Zero-Touch-Experience, On-Demand-VPN und VPN pro App.

    Informationen zum Erstellen von Zertifikatprofilen in Intune finden Sie unter Verwenden von Zertifikaten für die Authentifizierung.

  • Benutzername und Kennwort: Erfordern, dass Benutzer ihren Domänenbenutzernamen und ihr Kennwort eingeben, um sich zu authentifizieren, z. B user@contoso.com. , oder contoso\user.

  • Abgeleitete Anmeldeinformationen: Verwenden Sie ein Zertifikat, das vom Smart Karte eines Benutzers abgeleitet ist. Wenn kein abgeleiteter Anmeldeinformationsaussteller konfiguriert ist, fordert Intune Sie auf, einen hinzuzufügen. Weitere Informationen finden Sie unter Verwenden abgeleiteter Anmeldeinformationen in Intune.

    Hinweis

    Derzeit funktionieren abgeleitete Anmeldeinformationen als Authentifizierungsmethode für VPN-Profile auf Windows-Geräten nicht wie erwartet. Dieses Verhalten wirkt sich nur auf VPN-Profile auf Windows-Geräten aus und wird in einer zukünftigen Version (keine ETA) behoben.

  • EAP (nur IKEv2): Wählen Sie ein vorhandenes EAP-Clientzertifikatprofil (Extensible Authentication Protocol) für die Authentifizierung aus. Geben Sie die Authentifizierungsparameter in die EAP-XML-Einstellung ein.

    Weitere Informationen zur EAP-Authentifizierung finden Sie unter Extensible Authentication Protocol (EAP) für den Netzwerkzugriff und die EAP-Konfiguration.

  • Computerzertifikate (nur IKEv2): Wählen Sie ein vorhandenes Geräteclientzertifikatprofil aus, um das Gerät zu authentifizieren.

    Wenn Sie Gerätetunnelverbindungen verwenden, müssen Sie Computerzertifikate auswählen.

    Informationen zum Erstellen von Zertifikatprofilen in Intune finden Sie unter Verwenden von Zertifikaten für die Authentifizierung.

• Anmeldeinformationen bei jeder Anmeldung merken: Enable cachet die Anmeldeinformationen für die Authentifizierung. Wenn diese Einstellung auf "Nicht konfiguriert" festgelegt ist, ändert oder aktualisiert Intune diese Einstellung nicht. Standardmäßig speichert das Betriebssystem die Anmeldeinformationen für die Authentifizierung möglicherweise nicht zwischen.

• Benutzerdefiniertes XML: Geben Sie benutzerdefinierte XML-Befehle ein, die die VPN-Verbindung konfigurieren.

• EAP-XML: Geben Sie EAP-XML-Befehle ein, die die VPN-Verbindung konfigurieren.

  Weitere Informationen, einschließlich des Erstellens einer benutzerdefinierten EAP-XML-XML, finden Sie unter EAP-Konfiguration.

• Gerätetunnel (nur IKEv2): Aktivieren verbindet das Gerät automatisch mit dem VPN, ohne dass eine Benutzerinteraktion erforderlich ist oder eine Anmeldung erforderlich ist. Diese Einstellung gilt für Geräte, die mit Microsoft Entra ID verbunden sind.

  Um dieses Feature verwenden zu können, müssen Sie die folgenden Einstellungen konfigurieren:

  • Verbindungstyp: Festgelegt auf IKEv2.
  • Always On: Auf "Aktivieren" festlegen.
  • Authentifizierungsmethode: Auf Computerzertifikate festgelegt.

  Pro Gerät mit aktiviertem Gerätetunnel kann nur ein Profil zugewiesen werden.

IKE-Sicherheitszuordnungsparameter (nur IKEv2)

Diese Kryptografieeinstellungen werden bei IKE-Sicherheitszuordnungsverhandlungen (auch als main mode OR phase 1bezeichnet) für IKEv2-Verbindungen verwendet. Diese Einstellungen müssen mit den VPN-Servereinstellungen übereinstimmen. Wenn die Einstellungen nicht übereinstimmen, kann das VPN-Profil keine Verbindung herstellen.

• Verschlüsselungsalgorithmus: Wählen Sie den auf dem VPN-Server verwendeten Verschlüsselungsalgorithmus aus. Wenn Ihr VPN-Server beispielsweise AES 128 Bit verwendet, wählen Sie AES-128 aus der Liste aus.

  Wenn diese Einstellung auf "Nicht konfiguriert" festgelegt ist, ändert oder aktualisiert Intune diese Einstellung nicht.

• Integritätsprüfungsalgorithmus: Wählen Sie den Integritätsalgorithmus aus, der auf dem VPN-Server verwendet wird. Wenn Ihr VPN-Server beispielsweise SHA1-96 verwendet, wählen Sie SHA1-96 aus der Liste aus.

  Wenn diese Einstellung auf "Nicht konfiguriert" festgelegt ist, ändert oder aktualisiert Intune diese Einstellung nicht.

• Diffie-Hellman-Gruppe: Wählen Sie die Diffie-Hellman Berechnungsgruppe aus, die auf dem VPN-Server verwendet wird. Wenn Ihr VPN-Server beispielsweise Gruppe2 (1024 Bit) verwendet, wählen Sie 2 aus der Liste aus.

  Wenn diese Einstellung auf "Nicht konfiguriert" festgelegt ist, ändert oder aktualisiert Intune diese Einstellung nicht.

Parameter der Kindersicherheitszuordnung (nur IKEv2)

Diese Kryptografieeinstellungen werden bei Verhandlungen über untergeordnete Sicherheitszuordnungen (auch als quick mode OR phase 2bezeichnet) für IKEv2-Verbindungen verwendet. Diese Einstellungen müssen mit den VPN-Servereinstellungen übereinstimmen. Wenn die Einstellungen nicht übereinstimmen, kann das VPN-Profil keine Verbindung herstellen.

• Verschlüsselungstransformationsalgorithmus: Wählen Sie den auf dem VPN-Server verwendeten Algorithmus aus. Wenn Ihr VPN-Server beispielsweise AES-CBC 128 Bit verwendet, wählen Sie CBC-AES-128 aus der Liste aus.

  Wenn diese Einstellung auf "Nicht konfiguriert" festgelegt ist, ändert oder aktualisiert Intune diese Einstellung nicht.

• Authentifizierungstransformationsalgorithmus: Wählen Sie den auf dem VPN-Server verwendeten Algorithmus aus. Wenn Ihr VPN-Server beispielsweise AES-GCM 128 Bit verwendet, wählen Sie GCM-AES-128 aus der Liste aus.

  Wenn diese Einstellung auf "Nicht konfiguriert" festgelegt ist, ändert oder aktualisiert Intune diese Einstellung nicht.

• Perfect Forward Secrecy (PFS)-Gruppe: Wählen Sie die Diffie-Hellman Berechnungsgruppe aus, die für Perfect Forward Secrecy (PFS) auf dem VPN-Server verwendet wird. Wenn Ihr VPN-Server beispielsweise Gruppe2 (1024 Bit) verwendet, wählen Sie 2 aus der Liste aus.

  Wenn diese Einstellung auf "Nicht konfiguriert" festgelegt ist, ändert oder aktualisiert Intune diese Einstellung nicht.

Beispiel für Pulse Secure

<pulse-schema><isSingleSignOnCredential>true</isSingleSignOnCredential></pulse-schema>

Beispiel für F5 Edge-Client

<f5-vpn-conf><single-sign-on-credential /></f5-vpn-conf>

Beispiel für SonicWALL Mobile Connect

Anmeldegruppe oder Domäne: Diese Eigenschaft kann nicht im VPN-Profil festgelegt werden. Stattdessen analysiert Mobile Connect diesen Wert, wenn der Benutzername und die Domäne in die username@domain Formate oder DOMAIN\username eingegeben werden.

Beispiel:

<MobileConnect><Compression>false</Compression><debugLogging>True</debugLogging><packetCapture>False</packetCapture></MobileConnect>

Beispiel für ein CheckPoint Mobile VPN

<CheckPointVPN port="443" name="CheckPointSelfhost" sso="true" debug="3" />

Apps und Datenverkehrsregeln

• WIP oder Apps diesem VPN zuordnen: Aktivieren Sie diese Einstellung, wenn nur einige Apps die VPN-Verbindung verwenden sollen. Ihre Optionen:

  • Nicht konfiguriert (Standard): Intune ändert oder aktualisiert diese Einstellung nicht.
  • Dieser Verbindung einen WIP zuordnen: Alle Apps in der Windows Identity Protection-Domäne verwenden automatisch die VPN-Verbindung.
    • WIP-Domäne für diese Verbindung: Geben Sie eine Windows Identity Protection (WIP)-Domäne ein. Geben Sie beispielsweise contoso.com ein.
  • Apps mit dieser Verbindung verknüpfen: Die Apps, die Sie eingeben, verwenden automatisch die VPN-Verbindung.

    • VPN-Verbindung auf diese Apps beschränken: Deaktivieren (Standard) erlaubt allen Apps, die VPN-Verbindung zu verwenden. Aktivieren schränkt die VPN-Verbindung auf die von Ihnen eingegebenen Apps ein (Pro-App-VPN). Datenverkehrsregeln für die Apps, die Sie hinzufügen, werden automatisch zu den Netzwerkdatenverkehrsregeln für diese VPN-Verbindungseinstellung hinzugefügt.

      Wenn Sie "Aktivieren" auswählen, wird die App-ID-Liste schreibgeschützt. Bevor Sie diese Einstellung aktivieren, fügen Sie die zugehörigen Apps hinzu.

    • Zugeordnete Apps: Wählen Sie Importieren aus, um eine .csv Datei mit Ihrer Liste von Apps zu importieren. Ihr .csv Aussehen ähnelt der folgenden Datei:

      %windir%\system32\notepad.exe,desktop Microsoft.Office.OneNote_8wekyb3d8bbwe,universal

      Der App-Typ bestimmt den App-Bezeichner. Geben Sie für eine universelle App den Paketfamiliennamen ein, z. B Microsoft.Office.OneNote_8wekyb3d8bbwe. . . Geben Sie für eine Desktop-App den Dateipfad der App ein, z. B %windir%\system32\notepad.exe.

      Um den Paketfamiliennamen abzurufen, können Sie das Get-AppxPackage Windows PowerShell-Cmdlet verwenden. Um beispielsweise den Familiennamen des OneNote-Pakets abzurufen, öffnen Sie Windows PowerShell, und geben Sie Get-AppxPackage *OneNoteein. Weitere Informationen finden Sie unter Suchen eines PFN für eine App, die auf einem Windows-Clientcomputer installiert ist , und Get-AppxPackage Cmdlet.

  Wichtig

  Es wird empfohlen, alle App-Listen zu sichern, die für Per-App-VPNs erstellt wurden. Wenn ein nicht autorisierter Benutzer diese Liste ändert und Sie sie in die VPN-App-Liste importieren, autorisieren Sie möglicherweise den VPN-Zugriff für Apps, die keinen Zugriff haben sollten. Eine Möglichkeit zum Sichern von App-Listen ist die Verwendung einer Zugriffssteuerungsliste (Access Control List, ACL).

• Netzwerkdatenverkehrsregeln für diese VPN-Verbindung: Sie können Netzwerkregeln hinzufügen, die für diese VPN-Verbindung gelten. Verwenden Sie dieses Feature, um den Netzwerkdatenverkehr zu dieser VPN-Verbindung zu filtern.

  • Wenn Sie eine Netzwerkverkehrsregel erstellen, verwendet das VPN nur die Protokolle, Ports und IP-Adressbereiche, die Sie in dieser Regel eingeben.
  • Wenn Sie keine Netzwerkverkehrsregel erstellen, werden alle Protokolle, Ports und Adressbereiche für diese VPN-Verbindung aktiviert.

  Um VPN-Probleme zu vermeiden, empfiehlt es sich, beim Hinzufügen von Datenverkehrsregeln eine Catch-all-Regel hinzuzufügen, die die geringsten Einschränkungen aufweist.

  Wählen Sie "Hinzufügen" aus, um eine Regel zu erstellen, und geben Sie die folgenden Informationen ein. Sie können auch eine .csv Datei mit diesen Informationen importieren.

  • Name: Geben Sie einen Namen für die Netzwerkverkehrsregel ein.

  • Regeltyp: Geben Sie die Tunnelmethode für diese Regel ein. Diese Einstellung gilt nur, wenn diese Regel einer App zugeordnet ist. Ihre Optionen:

    • Keine (Standard)
    • Geteilter Tunnel: Mit dieser Option erhalten Clientgeräte zwei Verbindungen gleichzeitig. Eine Verbindung ist sicher und soll den Netzwerkverkehr privat halten. Die zweite Verbindung ist für das Netzwerk offen und lässt Internetdatenverkehr durch.
    • Tunnel erzwingen: Der gesamte Netzwerkdatenverkehr in dieser Regel läuft durch das VPN. Kein Netzwerkdatenverkehr in dieser Regel geht direkt ins Internet.

  • Richtung: Wählen Sie den Fluss des Netzwerkdatenverkehrs aus, den Ihre VPN-Verbindung zulässt. Ihre Optionen:

    • Eingehend: Ermöglicht nur Datenverkehr von externen Websites über das VPN. Ausgehender Datenverkehr kann nicht in das VPN gelangen.
    • Ausgehend (Standard): Ermöglicht nur Datenverkehr zu externen Websites über das VPN. Eingehender Datenverkehr wird daran gehindert, in das VPN zu gelangen.

    Erstellen Sie zwei separate Regeln, um Ein- und Ausgang zuzulassen. Erstellen Sie eine Regel für eingehend und eine andere Regel für ausgehend.

  • Protokoll: Geben Sie die Portnummer des Netzwerkprotokolls ein, das das VPN verwenden soll, von 0 bis 255. Geben Sie z. B. für TCP oder 17 für UDP ein6.

    Wenn Sie ein Protokoll eingeben, verbinden Sie zwei Netzwerke über dasselbe Protokoll. Wenn Sie die Protokolle TPC (6) oder UDP (17) verwenden, müssen Sie auch die zulässigen lokalen & Remoteportbereiche und die zulässigen lokalen & Remote-IP-Adressbereiche eingeben.

    Sie können auch eine .csv Datei mit diesen Informationen importieren.

  • Lokale Portbereiche: Wenn Sie die Protokolle TPC (6) oder UDP (17) verwenden, geben Sie die zulässigen Portbereiche für das lokale Netzwerk ein. Geben Sie z. B. für den unteren Port und 120 für den oberen Port ein100.

    Sie können eine Liste zulässiger Portbereiche erstellen, z. B. 100-120, 200, 300-320. Geben Sie für einen einzelnen Port in beide Felder dieselbe Portnummer ein.

    Sie können auch eine .csv Datei mit diesen Informationen importieren.

  • Remoteportbereiche: Wenn Sie die Protokolle TPC (6) oder UDP (17) verwenden, geben Sie die zulässigen Portbereiche für Remotenetzwerke ein. Geben Sie z. B. für den unteren Port und 120 für den oberen Port ein100.

    Sie können eine Liste zulässiger Portbereiche erstellen, z. B. 100-120, 200, 300-320. Geben Sie für einen einzelnen Port in beide Felder dieselbe Portnummer ein.

    Sie können auch eine .csv Datei mit diesen Informationen importieren.

  • Lokale Adressbereiche: Geben Sie die zulässigen IPv4-Adressbereiche für das lokale Netzwerk ein, die das VPN verwenden können. Nur die IP-Adressen von Clientgeräten in diesem Bereich verwenden dieses VPN.

    Geben Sie z. B. für den unteren Port und 10.0.0.122 für den oberen Port ein10.0.0.22.

    Sie können eine Liste der zulässigen IP-Adressen erstellen. Geben Sie für eine einzelne IP-Adresse dieselbe IP-Adresse in beide Felder ein.

    Sie können auch eine .csv Datei mit diesen Informationen importieren.

  • Remoteadressbereiche: Geben Sie die zulässigen IPv4-Adressbereiche für Remotenetzwerke ein, die das VPN verwenden können. Nur IP-Adressen in diesem Bereich verwenden dieses VPN.

    Geben Sie z. B. für den unteren Port und 10.0.0.122 für den oberen Port ein10.0.0.22.

    Sie können eine Liste der zulässigen IP-Adressen erstellen. Geben Sie für eine einzelne IP-Adresse dieselbe IP-Adresse in beide Felder ein.

    Sie können auch eine .csv Datei mit diesen Informationen importieren.

Bedingter Zugriff

• Bedingter Zugriff für diese VPN-Verbindung: Aktiviert den Gerätekonformitätsfluss vom Client. Wenn diese Option aktiviert ist, kommuniziert der VPN-Client mit Microsoft Entra ID, um ein Zertifikat für die Authentifizierung abzurufen. Das VPN sollte für die Verwendung der Zertifikatauthentifizierung eingerichtet sein, und der VPN-Server muss dem von Microsoft Entra ID zurückgegebenen Server vertrauen.

• Einmaliges Anmelden (Single Sign-On, SSO) mit alternativem Zertifikat: Verwenden Sie für die Gerätekonformität ein anderes Zertifikat als das VPN-Authentifizierungszertifikat für die Kerberos-Authentifizierung. Geben Sie das Zertifikat mit den folgenden Einstellungen ein:

  • Name: Name für die erweiterte Schlüsselverwendung (Extended Key Usage, EKU)
  • Objektbezeichner: Objektbezeichner für EKU
  • Ausstellerhash: Fingerabdruck für SSO-Zertifikat

DNS-Einstellungen

• DNS-Suffixsuchliste: Geben Sie unter DNS-Suffixe ein DNS-Suffix ein, und fügen Sie es hinzu. Sie können viele Suffixe hinzufügen.

  Bei Verwendung von DNS-Suffixen können Sie nach einer Netzwerkressource anhand ihres Kurznamens statt des vollqualifizierten Domänennamens (FQDN) suchen. Wenn Sie mit dem Kurznamen suchen, wird das Suffix automatisch vom DNS-Server bestimmt. Befindet sich beispielsweise utah.contoso.com in der DNS-Suffixliste. Sie pingen .DEV-comp In diesem Szenario wird sie in DEV-comp.utah.contoso.comaufgelöst.

  DNS-Suffixe werden in der angegebenen Reihenfolge aufgelöst und können geändert werden. Beispielsweise colorado.contoso.com sind sie utah.contoso.com in der DNS-Suffixliste enthalten und verfügen beide über eine Ressource namens DEV-comp. Da colorado.contoso.com es an erster Stelle in der Liste steht, wird es als DEV-comp.colorado.contoso.comaufgelöst.

  Wenn Sie die Reihenfolge ändern möchten, wählen Sie die Punkte links neben dem DNS-Suffix aus, und ziehen Sie das Suffix dann nach oben:

  

• Richtlinientabelle für die Namensauflösung (NRPT)-Regeln: NRPT-Regeln (Richtlinientabelle für die Namensauflösung) definieren, wie DNS Namen auflöst, wenn eine Verbindung mit dem VPN besteht. Nachdem die VPN-Verbindung hergestellt wurde, wählen Sie aus, welche DNS-Server von der VPN-Verbindung verwendet werden sollen.

  Sie können Regeln hinzufügen, die die Domäne, den DNS-Server, den Proxy und andere Details enthalten. Diese Regeln lösen die von Ihnen eingegebene Domäne auf. Die VPN-Verbindung verwendet diese Regeln, wenn Benutzer eine Verbindung mit den von Ihnen eingegebenen Domänen herstellen.

  Wählen Sie "Hinzufügen" aus, um eine neue Regel hinzuzufügen. Geben Sie für jeden Server Folgendes ein:

  • Domäne: Geben Sie den vollqualifizierten Domänennamen (FQDN) oder ein DNS-Suffix ein, um die Regel anzuwenden. Sie können auch am Anfang einen Punkt (.) für ein DNS-Suffix eingeben. Geben Sie z. B. oder contoso.com.allcontososubdomains.comein.
  • DNS-Server: Geben Sie die IP-Adresse oder den DNS-Server ein, der die Domäne auflöst. Geben Sie z. B. oder 10.0.0.3vpn.contoso.comein.
  • Proxy: Geben Sie den Webproxyserver ein, der die Domäne auflöst. Geben Sie beispielsweise http://proxy.com ein.
  • Automatisch verbinden: Wenn diese Option aktiviert ist, stellt das Gerät automatisch eine Verbindung zum VPN her, wenn ein Gerät eine Verbindung zu einer von Ihnen eingegebenen Domäne herstellt, z. B contoso.com. Wenn nicht konfiguriert (Standardeinstellung), stellt das Gerät nicht automatisch eine Verbindung zum VPN her
  • Persistent: Wenn diese Einstellung auf "Aktiviert" festgelegt ist, verbleibt die Regel in der Richtlinientabelle für die Namensauflösung (NRPT), bis die Regel manuell vom Gerät entfernt wird, auch wenn das VPN getrennt wurde. Wenn die Standardeinstellung "Nicht konfiguriert " festgelegt ist, werden NRPT-Regeln im VPN-Profil vom Gerät entfernt, wenn die VPN-Verbindung getrennt wird.

Proxy

• Skript für die automatische Konfiguration: Verwenden Sie eine Datei, um den Proxyserver zu konfigurieren. Geben Sie die Proxyserver-URL ein, die die Konfigurationsdatei enthält. Geben Sie beispielsweise http://proxy.contoso.com/pac ein.
• Adresse: Geben Sie die IP-Adresse oder den vollqualifizierten Hostnamen des Proxyservers ein. Geben Sie z. B. oder 10.0.0.3vpn.contoso.comein.
• Portnummer: Geben Sie die Portnummer ein, die von Ihrem Proxyserver verwendet wird. Geben Sie beispielsweise 8080 ein.
• Proxy für lokale Adressen umgehen: Diese Einstellung gilt, wenn Ihr VPN-Server einen Proxyserver für die Verbindung benötigt. Wenn Sie keinen Proxyserver für lokale Adressen verwenden möchten, wählen Sie Aktivieren.

Split-Tunneling

• Geteilter Tunneling: Aktivieren oder deaktivieren Sie diese Option, damit Geräte je nach Datenverkehr entscheiden können, welche Verbindung verwendet werden soll. Beispielsweise verwendet ein Benutzer in einem Hotel die VPN-Verbindung, um auf Arbeitsdateien zuzugreifen, verwendet jedoch das Standardnetzwerk des Hotels für regelmäßiges Surfen im Internet.
• Split-Tunneling-Routen für diese VPN-Verbindung: Fügen Sie optionale Routen für VPN-Drittanbieter hinzu. Geben Sie für jede Verbindung ein Zielpräfix und eine Präfixgröße ein.

Vertrauenswürdige Netzwerkerkennung

DNS-Suffixe vertrauenswürdiger Netzwerke: Wenn Benutzer bereits mit einem vertrauenswürdigen Netzwerk verbunden sind, können Sie verhindern, dass Geräte automatisch eine Verbindung zu anderen VPN-Verbindungen herstellen.

Geben Sie in DNS-Suffixe ein DNS-Suffix ein, dem Sie vertrauen möchten, z. B. contoso.com, und wählen Sie Hinzufügen aus. Sie können beliebig viele Suffixe hinzufügen.

Wenn ein Benutzer mit einem DNS-Suffix in der Liste verbunden ist, stellt der Benutzer nicht automatisch eine Verbindung zu einer anderen VPN-Verbindung her. Der Benutzer verwendet weiterhin die vertrauenswürdige Liste der von Ihnen eingegebenen DNS-Suffixe. Das vertrauenswürdige Netzwerk wird weiterhin verwendet, auch wenn automatische Trigger festgelegt sind.

Wenn der Benutzer beispielsweise bereits mit einem vertrauenswürdigen DNS-Suffix verbunden ist, werden die folgenden automatischen Trigger ignoriert. Insbesondere heben die DNS-Suffixe in der Liste alle anderen automatischen Verbindungstrigger auf, einschließlich:

• Immer aktiviert
• App-basierter Trigger
• Automatischer DNS-Trigger

Verwandte Artikel

Denken Sie daran, dass Sie das Profil zuweisen und seinen Status überwachen.

Konfigurieren Sie VPN-Einstellungen auf Android-, iOS/iPadOS- und macOS-Geräten .