Voraussetzungen für Microsoft Tunnel in Intune

Bevor Sie das Microsoft Tunnel-VPN-Gateway für Microsoft Intune installieren können, überprüfen und konfigurieren Sie die Voraussetzungen. Zu den Voraussetzungen gehört die Verwendung eines Linux-Servers, auf dem Container zum Hosten der Tunnel-Serversoftware ausgeführt werden. Planen Sie außerdem die Konfiguration Ihres Netzwerks, Ihrer Firewalls und Proxys für die Unterstützung der Kommunikation für Microsoft Tunnel.

Auf hoher Ebene erfordert der Microsoft Tunnel:

• Ein Azure-Abonnement.

• Ein Microsoft Intune Plan 1-Abonnement.

  Hinweis

  Diese Voraussetzung gilt für Microsoft Tunnel und umfasst nicht Microsoft Tunnel für die mobile Anwendungsverwaltung, eine erweiterte Funktion von Microsoft Intune, die zusätzliche Lizenzen über Microsoft Intune hinaus erfordert.

• Um die Einrichtung von Microsoft Tunnel abzuschließen, muss dem Konto, das Sie zum Registrieren von Tunnel Gateway bei Microsoft Intune verwenden, und Ihrem Intune-Mandanten muss die Microsoft Entra ID-Rolle des Intune-Administrators und eine Intune-Lizenz zugewiesen werden.

• Ein Linux-Server, auf dem Container ausgeführt werden. Der Server kann lokal oder in der Cloud sein und unterstützt einen der folgenden Containertypen:

  • Podman für Red Hat Enterprise Linux (RHEL). Weitere Informationen finden Sie in den Serveranforderungen für Linux.
  • Docker für alle anderen Linux-Distributionen.

• Ein TLS-Zertifikat (Transport Layer Security) für den Linux-Server, um Verbindungen zwischen Geräten und dem Tunnel Gateway-Server zu schützen.

• Geräte, auf denen Android oder iOS/iPadOS ausgeführt wird.

Nach der Konfiguration der erforderlichen Komponenten sollten Sie das Vorbereitungstool ausführen, um zu überprüfen, ob Ihre Umgebung für eine erfolgreiche Installation gut konfiguriert ist.

In den folgenden Abschnitten werden die Voraussetzungen für Microsoft Tunnel und die Verwendung des Bereitschaftstools erläutert.

Support für Government Cloud

Microsoft Tunnel wird von den folgenden souveränen Cloudumgebungen unterstützt:

• U.S. Government Community Cloud (GCC) Hoch

Microsoft Tunnel wird in Microsoft Azure, das von 21Vianet betrieben wird, nicht unterstützt.

Weitere Informationen finden Sie unter Microsoft Intune für US Government GCC-Dienstbeschreibung.

Linux-Server

Richten Sie einen Linux-basierten virtuellen Computer oder einen physischen Server ein, auf dem Microsoft Tunnel-Gateway installiert werden soll.

• Unterstützte Linux-Distributionen – In der folgenden Tabelle wird aufgeführt, welche Linux-Versionen für den Tunnel Server unterstützt werden, und welche Container sie benötigen:

  Verteilungsversion	Containeranforderungen	Überlegungen
  Red Hat (RHEL) 8.9	Podman 4.4.1	Der Support endet im November 2025. Diese Version von RHEL lädt das ip_tables-Modul nicht automatisch in den Linux-Kernel. Wenn Sie diese Version verwenden, planen Sie, die ip_tables manuell zu laden, bevor Tunnel installiert wird. Container, die von Podman v3 und früher erstellt wurden, können nicht mit Podman v4.2 und höher verwendet werden. Wenn Sie Container aktualisieren und ändern, planen Sie, neue Container zu erstellen und Microsoft Tunnel zu deinstallieren und dann neu zu installieren.
  Red Hat (RHEL) 8.10	Podman 4.9.4-rhel (Standard)	Diese Version von RHEL lädt das ip_tables-Modul nicht automatisch in den Linux-Kernel. Wenn Sie diese Version verwenden, planen Sie, die ip_tables manuell zu laden, bevor Tunnel installiert wird. Container, die von Podman v3 und früher erstellt wurden, können nicht mit Podman v4.2 und höher verwendet werden. Wenn Sie Container aktualisieren und ändern, planen Sie, neue Container zu erstellen und Microsoft Tunnel zu deinstallieren und dann neu zu installieren.
  Red Hat (RHEL) 9.3	Podman 4.6.1. (Standard)	Der Support endet im November 2025. Diese Version von RHEL lädt das ip_tables-Modul nicht automatisch in den Linux-Kernel. Wenn Sie diese Version verwenden, planen Sie, die ip_tables manuell zu laden, bevor Tunnel installiert wird. Container, die von Podman v3 und früher erstellt wurden, können nicht mit Podman v4.2 und höher verwendet werden. Wenn Sie Container aktualisieren und ändern, planen Sie, neue Container zu erstellen und Microsoft Tunnel zu deinstallieren und dann neu zu installieren.
  Red Hat (RHEL) 9.4	Podman 4.9.4-rhel (Standard)	Der Support endet im November 2025. Diese Version von RHEL lädt das ip_tables-Modul nicht automatisch in den Linux-Kernel. Wenn Sie diese Version verwenden, planen Sie, die ip_tables manuell zu laden, bevor Tunnel installiert wird. Container, die von Podman v3 und früher erstellt wurden, können nicht mit Podman v4.2 und höher verwendet werden. Wenn Sie Container aktualisieren und ändern, planen Sie, neue Container zu erstellen und Microsoft Tunnel zu deinstallieren und dann neu zu installieren.
  Red Hat (RHEL) 9.5	Podman 5.2.2 (Standard)	Diese Version von RHEL lädt das ip_tables-Modul nicht automatisch in den Linux-Kernel. Wenn Sie diese Version verwenden, planen Sie, die ip_tables manuell zu laden, bevor Tunnel installiert wird. Container, die von Podman v3 und früher erstellt wurden, können nicht mit Podman v4.2 und höher verwendet werden. Wenn Sie Container aktualisieren und ändern, planen Sie, neue Container zu erstellen und Microsoft Tunnel zu deinstallieren und dann neu zu installieren.
  Red Hat (RHEL) 9.6	Podman 5.4.0 (Standard)	Diese Version von RHEL lädt das ip_tables-Modul nicht automatisch in den Linux-Kernel. Wenn Sie diese Version verwenden, planen Sie, die ip_tables manuell zu laden, bevor Tunnel installiert wird. Container, die von Podman v3 und früher erstellt wurden, können nicht mit Podman v4.2 und höher verwendet werden. Wenn Sie Container aktualisieren und ändern, planen Sie, neue Container zu erstellen und Microsoft Tunnel zu deinstallieren und dann neu zu installieren.
  Red Hat (RHEL) 9.7	Podman 5.8.2 (Standard)	Diese Version von RHEL lädt das ip_tables-Modul nicht automatisch in den Linux-Kernel. Wenn Sie diese Version verwenden, planen Sie, die ip_tables manuell zu laden, bevor Tunnel installiert wird. Container, die von Podman v3 und früher erstellt wurden, können nicht mit Podman v4.2 und höher verwendet werden. Wenn Sie Container aktualisieren und ändern, planen Sie, neue Container zu erstellen und Microsoft Tunnel zu deinstallieren und dann neu zu installieren.
  Red Hat (RHEL) 9.8	Podman 5.8.2+ (Standard)	Diese Version von RHEL lädt das ip_tables-Modul nicht automatisch in den Linux-Kernel. Wenn Sie diese Version verwenden, planen Sie, die ip_tables manuell zu laden, bevor Tunnel installiert wird. Container, die von Podman v3 und früher erstellt wurden, können nicht mit Podman v4.2 und höher verwendet werden. Wenn Sie Container aktualisieren und ändern, planen Sie, neue Container zu erstellen und Microsoft Tunnel zu deinstallieren und dann neu zu installieren.
  Red Hat (RHEL) 10.0	Podman 5.4.0 (Standard)	Diese Version von RHEL lädt das ip_tables-Modul nicht automatisch in den Linux-Kernel. Wenn Sie diese Version verwenden, planen Sie, die ip_tables manuell zu laden, bevor Tunnel installiert wird. Container, die von Podman v3 und früher erstellt wurden, können nicht mit Podman v4.2 und höher verwendet werden. Wenn Sie Container aktualisieren und ändern, planen Sie, neue Container zu erstellen und Microsoft Tunnel zu deinstallieren und dann neu zu installieren.
  Ubuntu 24.04	Docker CE
  Ubuntu 26.04	Docker CE

  Wichtig

  Im April 2023 wird Ubuntu die Unterstützung für Ubuntu 18.04 einstellen. Mit dem Ende des Supports von Ubuntu beendet Intune auch die Unterstützung für Ubuntu 18.04 zur Verwendung mit Microsoft Tunnel. Weitere Informationen finden Sie unter https://wiki.ubuntu.com/Releases.

• Größe des Linux-Servers anpassen:Verwenden Sie die folgenden Anleitungen, um die erwartete Verwendung zu erfüllen:

  Anzahl Geräte	Anzahl CPUs	Arbeitsspeicher (GB)	Anzahl Server	Anzahl Sites	Speicherplatz auf dem Datenträger in GB
  1 000	4	4	1	1	30
  2,000	4	4	1	1	30
  5,000	8	8	2	1	30
  10,000	8	8	3	1	30
  20,000	8	8	4	1	30
  40.000	8	8	8	1	30

  Die Unterstützung wird linear skaliert. Während jeder Microsoft-Tunnel bis zu 64.000 gleichzeitige Verbindungen unterstützt, können einzelne Geräte mehrere Verbindungen öffnen.

• CPU: 64-Bit-AMD/Intel-Prozessor.

• Installieren Sie Docker CE oder Podman: Installieren Sie abhängig von der Version von Linux, die Sie für Ihren Tunnel-Server verwenden, eine der folgenden Optionen auf dem Server:

  • Docker-Version 19.03 CE oder höher.
  • Podman-Version 3.0 oder 4.0, je nach RHEL-Version.

  Microsoft Tunnel erfordert Docker oder Podman auf dem Linux-Server, um Unterstützung für Container bereitzustellen. Container bieten eine konsistente Ausführungsumgebung, Integritätsüberwachung und proaktive Wiederherstellung sowie ein sauberes Upgradeszenario.

  Weitere Informationen zum Installieren und Konfigurieren von Docker oder Podman finden Sie in den folgenden Artikeln:

  • Installieren Sie Docker Engine unter CentOS oder Red Hat Enterprise Linux 7.

    Hinweis

    Der vorherige Link leitet Sie zum Download und den Installationsanweisungen für CentOS weiter. Verwenden Sie die gleichen Anweisungen für RHEL 7.4. Die standardmäßig auf RHEL 7.4 installierte Version ist zu alt, um Microsoft Tunnel Gateway zu unterstützen.

  • Installieren Sie Docker Engine unter Ubuntu.

  • Installieren Sie Podman unter Red Hat Enterprise Linux 8.4 und höher (scrollen Sie nach unten zu RHEL8).

    Diese Versionen von RHEL unterstützen Docker nicht. Stattdessen verwenden diese Versionen Podman, und Podman ist Teil eines Moduls namens „Containertools“. In diesem Kontext ist ein Modul ein Satz von U/Min-Paketen, die eine Komponente darstellen und in der Regel zusammen installiert werden. Ein typisches Modul enthält Pakete mit einer Anwendung, Pakete mit den anwendungsspezifischen Abhängigkeitsbibliotheken, Pakete mit der Dokumentation für die Anwendung und Pakete mit Hilfsprogrammen. Weitere Informationen finden Sie unter Einführung in Module in der Red Hat-Dokumentation.

    Hinweis

    Rootless Podman: Microsoft Tunnel unterstützt die Verwendung eines rootless Podman-Containers.

    Die Verwendung von rootless Podman erfordert zusätzliche Voraussetzungen zu den in diesem Artikel beschriebenen und die Verwendung einer geänderten Befehlszeile, wenn Sie das Skript für die Tunnelinstallation starten. Informationen zu den zusätzlichen Voraussetzungen und zur Installationsbefehlszeile finden Sie unter Verwenden eines rootless Podman-Containers im Artikel Konfigurieren von Microsoft Tunnel für Intune.

• TLS (Transport Layer Security)-Zertifikat:Der Linux-Server benötigt ein vertrauenswürdiges TLS-Zertifikat, um die Verbindung zwischen Geräten und dem Tunnel Gatewayserver zu sichern. Während der Installation des Tunnelgateways fügen Sie dem Server das TLS-Zertifikat und die vollständige vertrauenswürdige Zertifikatskette hinzu.

  • Der SAN (Subject Alternative Name) des TLS-Zertifikats, das Sie zum Schützen des Tunnel-Gatewayendpunkts verwenden, muss mit der IP-Adresse oder dem FQDN des Tunnel-Gatewayservers übereinstimmen.

  • Für iOS-Geräte müssen öffentliche TLS-Zertifikate von der Stammzertifizierungsstelle ausgestellt werden und ein maximales Ablaufdatum von 398 Tagen haben. Zertifikate, die von Benutzern oder Administratoren ausgestellt wurden Stammzertifizierungsstellen können ein maximales Ablaufdatum von bis zu zwei Jahren (730 Tagen) haben. Weitere Informationen zu diesen Anforderungen an TLS-Zertifikate finden Sie unter Informationen zu bevorstehenden Grenzwerten für vertrauenswürdige Zertifikate bei support.apple.com.

  • Für Android-Geräte wird empfohlen, dass öffentliche TLS-Zertifikate, die von der Stammzertifizierungsstelle ausgestellt wurden, ein maximales Ablaufdatum von 398 Tagen haben.

  • Die Unterstützung von Platzhaltern ist begrenzt. Beispielsweise wird *.contoso.com unterstützt, aber cont*.com wird nicht unterstützt.

  • Während der Installation des Tunnel Gateway-Servers müssen Sie die gesamte vertrauenswürdige Zertifikatkette auf Ihren Linux-Server kopieren. Das Installationsskript gibt den Speicherort an, in den Sie die Zertifikatdateien kopieren müssen, und fordert Sie zum Kopieren auf.

  • Wenn Sie ein TLS-Zertifikat verwenden, das nicht öffentlich vertrauenswürdig ist, müssen Sie die gesamte Vertrauenskette mithilfe eines Intune Trusted-Zertifikatprofils auf Geräte übertragen.

  • Das TLS-Zertifikat kann PEM- oder PFX-Format vorliegen.

  • Um die Integritätsprüfung für die Sperrung des TLS-Zertifikats zu unterstützen, stellen Sie sicher, dass auf die vom TLS-Zertifikat definierte Adresse des Online Certificate Status-Protokolls (OCSP) oder der CRL-Adresse (Certificate Revocation List, Zertifikatssperrliste) vom Server aus zugegriffen werden kann.

  • Konfigurieren Sie das Zertifikat des Tunnelclients mit einem Schlüssel mit mindestens 2048 Bit. Wir empfehlen größere Schlüssel, damit Ihre Bereitstellung zukünftige und sich entwickelnde SSL/TLS-Anforderungen durch verschiedene SSL/TLS-Bibliothekslösungen weiterhin unterstützt.

    Tipp

    Überprüfen Sie regelmäßig die Anforderungen der von Ihnen gewählten SSL/TLS-Bibliothek, um sicherzustellen, dass Ihre Infrastruktur und Zertifikate weiterhin unterstützt werden und den letzten Änderungen für diese Bibliothek entsprechen, und stellen Sie Tunnel-Clientzertifikate bei Bedarf neu aus, um mit den sich entwickelnden Anforderungen Ihrer Lösungen Schritt zu halten.

• TLS-Version: Standardmäßig verwenden Verbindungen zwischen Microsoft Tunnel-Clients und -Servern TLS 1.3. Wenn TLS 1.3 nicht verfügbar ist, kann die Verbindung auf die Verwendung von TLS 1.2 zurückgreifen.

Standardbrückennetzwerk

Sowohl Podman- als auch Docker-Container verwenden ein Brückennetzwerk, um Datenverkehr über den Linux-Host weiterzuleiten. Wenn die Container Netzwerkkonflikte mit einem Unternehmensnetzwerk überbrücken, kann Tunnelgateway den Datenverkehr nicht erfolgreich an dieses Unternehmensnetzwerk weiterleiten.

Die Standardbrückennetzwerke sind:

• Docker: 172.17.0.0/16
• Podman: 10.88.0.0/16

Um Konflikte zu vermeiden, können Sie sowohl Podman als auch Docker neu konfigurieren, um ein von Ihnen angegebenes Brückennetzwerk zu verwenden.

Ändern des von Docker verwendeten Standardbrückennetzwerks

Docker verwendet die Datei /etc/docker/daemon.json, um eine neue Standard-IP-Adresse der Brücke zu konfigurieren. In der Datei muss die IP-Adresse der Brücke in CIDR-Notation (Classless inter-domain routing) angegeben werden. Dies ist eine kompakte Möglichkeit, eine IP-Adresse zusammen mit der zugeordneten Subnetzmaske und dem Routingpräfix darzustellen.

1. Verwenden Sie den folgenden Befehl, um den MS Tunnel Gateway-Container zu beenden: sudo mst-cli server stop ; sudo mst-cli agent stop

2. Führen Sie als Nächstes den folgenden Befehl aus, um das vorhandene Docker-Brückengerät zu entfernen: sudo ip link del docker0

3. Wenn die Datei /etc/docker/daemon.json auf Ihrem Server vorhanden ist, verwenden Sie einen Datei-Editor wie vi oder nano, um die Datei zu ändern. Führen Sie den Datei-Editor mit root- oder sudo-Berechtigungen aus:

   • Wenn der Eintrag "bip": mit einer IP-Adresse vorhanden ist, ändern Sie ihn, indem Sie eine neue IP-Adresse in CIDR-Notation hinzufügen.
   • Wenn der Eintrag "bip": nicht vorhanden ist, müssen Sie sowohl den Wert "bip": als auch die neue IP-Adresse in CIDR-Notation hinzufügen.

   Das folgende Beispiel zeigt die Struktur einer daemon.json Datei mit einem aktualisierten "bip"-Eintrag, der eine geänderte IP-Adresse von "192.168.128.1/24" verwendet.

   Beispiel für „daemon.json“:

   {
   "bip": "192.168.128.1/24"
   }
   

4. Wenn die Datei /etc/docker/daemon.json auf Ihrem Server nicht vorhanden ist, führen Sie einen Befehl ähnlich dem folgenden Beispiel aus, um die Datei zu erstellen und die Brücken-IP zu definieren, die Sie verwenden möchten.

   Beispiel: sudo echo '{ "bip":"192.168.128.1/24" }' > /etc/docker/daemon.json

5. Verwenden Sie den folgenden Befehl, um den MS Tunnel Gateway-Container zu starten: sudo mst-cli agent start ; sudo mst-cli server start

Weitere Informationen finden Sie unter Verwenden von Brückennetzwerken in der Docker-Dokumentation.

Ändern des von Podman verwendeten Standardbrückennetzwerks

Podman verwendet die Datei /etc/cni/net.d as 87-podman-bridge.conflist, um eine neue Standard-IP-Adresse der Brücke zu konfigurieren.

1. Verwenden Sie den folgenden Befehl, um den MS Tunnel Gateway-Container zu beenden: sudo mst-cli server stop ; sudo mst-cli agent stop

2. Führen Sie als Nächstes den folgenden Befehl aus, um das vorhandene Podman-Brückengerät zu entfernen: sudo ip link del cni-podman0

3. Ändern Sie mit Root-Berechtigungen und einem Dateieditor wie vi oder nano/etc/cni/net.d als 87-podman-bridge.conflist , um die Standardwerte für "subnet:" und "gateway:" zu aktualisieren, indem Sie die Podman-Standardwerte durch Ihre gewünschten Subnetz- und Gatewayadressen ersetzen. Die Subnetzadresse muss in CIDR-Notation angegeben werden.

   Die Podman-Standardwerte sind:

   • subnet: 10.88.0.0/16
   • gateway: 10.88.0.1

4. Verwenden Sie den folgenden Befehl, um die MS Tunnel Gateway-Container neu zu starten: sudo mst-cli agent start ; sudo mst-cli server start

Weitere Informationen finden Sie unter Konfigurieren von Containernetzwerken mit Podman in der Red Hat-Dokumentation.

Linux System Auditing

Die Linux-Systemüberwachung kann dazu beitragen, sicherheitsrelevante Informationen oder Sicherheitsverletzungen auf einem Linux-Server zu identifizieren, der Microsoft Tunnel hostet. Die Linux-Systemüberwachung wird für Microsoft Tunnel empfohlen, ist aber nicht erforderlich. Um die Systemüberwachung verwenden zu können, muss auf einem Linux-Server das auditd-Paket installiert /etc/audit/auditd.confsein.

Jedes Mal, wenn Sie das mst-Readiness-Tool ausführen, zeigt das Tool möglicherweise eine Warnung an, die angibt, dass auditd fehlt. Um die Überwachung tunnelspezifischer Verzeichnisse zu aktivieren, stellen Sie sicher, dass Sie das auditd-Paket installieren, bevor Sie mstunnel-setup ausführen.

Details zum Implementieren der Überwachung hängen von der verwendeten Linux-Plattform ab:

• Red Hat: Versionen von Red Had Enterprise Linux 7 und höher installieren standardmäßig das auditd-Paket. Wenn das Paket jedoch nicht installiert ist, können Sie die folgende Befehlszeile auf dem Linux-Server verwenden, um es zu installieren:sudo dnf install audit audispd-plugins

  In der Regel ist das auditd-Paket im Standardrepository jeder REHL-Version verfügbar.

  Weitere Informationen zur Verwendung der Systemüberwachung auf RHEL finden Sie unter Konfigurieren der Linux-Systemüberwachung mit auditd im Red Hat-Blog.

• Ubuntu: Um die Systemüberwachung mit Ubuntu zu verwenden, müssen Sie das auditd-Paket manuell installieren. Verwenden Sie dazu die folgende Befehlszeile auf dem Linux-Server:sudo apt install auditd audispd-plugins

  In der Regel ist das auditd-Paket im Standardrepository jeder Ubuntu-Version verfügbar.

  Weitere Informationen zur Verwendung der Systemüberwachung in Ubuntu finden Sie unter Einrichten und Installieren von Auditd in Ubuntu, ein Artikel, der auf der dev.to-Website verfügbar ist, die ursprünglich am kubefront.com veröffentlicht wurde.

Netzwerk

• Erweitern der Paketweiterleitung für IPv4: Auf jedem Linux-Server, der die Tunnel-Serversoftware hostet, muss die IP-Weiterleitung für IPv4 aktiviert sein. Um den Status der IP-Weiterleitung zu überprüfen, führen Sie auf dem Server einen der folgenden generischen Befehle als root oder sudo aus. Beide Befehle geben den Wert 0 für deaktiviert und den Wert 1 für aktiviert zurück:

  • sysctl net.ipv4.ip_forward
  • cat /proc/sys/net/ipv4/ip_forward

  Wenn diese Option nicht aktiviert ist, können Sie die IP-Weiterleitung vorübergehend aktivieren, indem Sie einen der folgenden generischen Befehle als root oder sudo auf dem Server ausführen. Diese Befehle können die IP-Weiterleitungskonfiguration ändern, bis der Server neu gestartet wird. Nach einem Neustart setzt der Server das IP-Weiterleitungsverhalten in den vorherigen Zustand zurück. Verwenden Sie für beide Befehle den Wert 1, um die Weiterleitung zu aktivieren. Mit dem Wert "0 " wird die Weiterleitung deaktiviert. In den folgenden Befehlsbeispielen wird der Wert 1 verwendet, um die Weiterleitung zu aktivieren:

  • sysctl -w net.ipv4.ip_forward=1
  • echo 1 > /proc/sys/net/ipv4/ip_forward

  Um die IP-Weiterleitung dauerhaft zu aktivieren, bearbeiten Sie auf jedem Linux-Server die Datei /etc/sysctl.conf, indem Sie das führende Rautenzeichen (#) aus #net.ipv4.ip_forward=1 entfernen, um die Paketweiterleitung zu aktivieren. Nach der Bearbeitung sollte der Eintrag wie folgt aussehen:

  # Uncomment the next line to enable packet forwarding for IPv4
  net.ipv4.ip_forward=1
  

  Damit diese Änderung wirksam wird, müssen Sie entweder den Server neu starten oder sysctl -p ausführen.

  Wenn der erwartete Eintrag nicht in der Datei „sysctl.conf“ vorhanden ist, konsultieren Sie die Dokumentation der von Ihnen verwendeten Distribution hinsichtlich Aktivierung der IP-Weiterleitung. In der Regel können Sie sysctl.conf bearbeiten und die fehlende Zeile am Ende der Datei hinzufügen, um die IP-Weiterleitung dauerhaft zu aktivieren.

• Konfigurieren Sie mehrere Netzwerkkarten pro Server(optional): Es wird empfohlen, zwei Netzwerkschnittstellencontroller (Network Interface Controller, NICs) pro Linux-Server zu verwenden, um die Leistung zu verbessern. Die Verwendung von zwei ist jedoch optional.

  • NIC 1: Dieser NIC verarbeitet den Datenverkehr von ihren verwalteten Geräten und sollte sich in einem öffentlichen Netzwerk mit öffentlicher IP-Adresse befinden.  Diese IP-Adresse ist die Adresse, die Sie in der Sitekonfiguration konfigurieren. Diese Adresse kann einen einzelnen Server oder ein Lastenausgleichsmodul darstellen.

  • Nic 2: Dieser NIC verarbeitet den Datenverkehr zu Ihren lokalen Ressourcen und sollte sich in Ihrem privaten internen Netzwerk ohne Netzwerksegmentierung befinden.

• Sicherstellen, dass cloudbasierte Linux-VMs auf Ihr lokales Netzwerk zugreifen können: Wenn Sie Linux als virtuellen Computer in einer Cloud ausführen, stellen Sie sicher, dass der Server auf Ihr lokales Netzwerk zugreifen kann. Für eine VM in Azure können Sie beispielsweise Azure ExpressRoute oder ein ähnliches Tool verwenden, um Zugriff bereitzustellen. Azure ExpressRoute ist nicht erforderlich, wenn Sie den Server lokal auf einer VM ausführen.

• Load Balancer(Optional): Wenn Sie einen Load Balancer hinzufügen möchten, lesen Sie die Dokumentation Ihres Anbieters für Konfigurationsdetails. Berücksichtigen Sie den Netzwerkverkehr und die Firewallports, die für Intune und die Microsoft Tunnel-Instanz spezifisch sind.

  Der Tunnelserver reagiert auf GET-Anforderungen mit einer statischen Seite. Die Antwort wird von Load Balancern als Test verwendet, um die Liveness des Tunnelservers zu überprüfen. Die Antwort ist statisch und enthält keine vertraulichen Informationen.

• Unterstützung von VPN pro App und Top-Level-Domain – Die Verwendung von Pro-App-VPN mit interner Verwendung lokaler Domänen der obersten Ebene wird von Microsoft Tunnel nicht unterstützt.

Firewall

Standardmäßig verwenden die Microsoft Tunnel-Instanz und der Server die folgenden Ports:

Ports für eingehenden Datenverkehr:

• TCP 443 – für Microsoft Tunnel erforderlich.
• UDP 443 – für Microsoft Tunnel erforderlich.
• TCP 22 – optional. Wird für SSH/SCP zum Linux-Server verwendet.

Ports für ausgehenden Datenverkehr:

• TCP 443 – für den Zugriff auf Intune-Dienste erforderlich. Für Docker oder Podman zum Abrufen von Bildern erforderlich.

Beim Erstellen der Serverkonfiguration für den Tunnel können Sie einen anderen Port als den Standardport 443 angeben. Wenn Sie einen anderen Port angeben, konfigurieren Sie die Firewalls so, dass Ihre Konfiguration unterstützt wird.

Weitere Anforderungen:

Um auf den Sicherheitstokendienst und den Azure-Speicher für Protokolle zuzugreifen, gewähren Sie Zugriff auf die folgenden FQDNs:

• Sicherheitstokendienst: *.sts.windows.net
• Azure-Speicher für Tunnelprotokolle: *.blob.core.windows.net
• Andere Speicherendpunkt-URLs: *.blob.storage.azure.net
• Microsoft Intune:*.manage.microsoft.com
• Microsoft-Authentifizierung: login.microsoftonline.com
• Microsoft Graph: graph.microsoft.com
• Konfigurieren Sie Firewallregeln, um die Konfigurationen zu unterstützen, die in Microsoft-Artefaktregistrierung (MAR) Konfiguration der Clientfirewallregeln beschrieben werden.

Proxy

Sie können einen Proxyserver mit Microsoft Tunnel verwenden.

Die folgenden Überlegungen können Ihnen helfen, den Linux-Server und Ihre Umgebung erfolgreich zu konfigurieren:

Konfigurieren eines ausgehenden Proxys für Docker

• Wenn Sie einen internen Proxy verwenden, müssen Sie den Linux-Host möglicherweise mithilfe von Umgebungsvariablen so konfigurieren, dass der Proxyserver verwendet wird. Um die Variablen zu verwenden, bearbeiten Sie die Datei /etc/environment auf dem Linux-Server, fügen Sie die folgenden Zeilen hinzu, wobei Sie die Adresse in jeder Zeile durch die Adresse Ihrer Proxy-IP-Adresse ersetzen:port:

  http_proxy=address
https_proxy=address

• Authentifizierte Proxys werden nicht unterstützt.

• Der Proxy kann keine Unterbrechung und Überprüfung durchführen, da der Linux-Server beim Herstellen einer Verbindung mit Intune die gegenseitige TLS-Authentifizierung verwendet.

• Konfigurieren Sie Docker so, dass der Proxy zum Pullen von Images verwendet wird. Bearbeiten Sie hierzu die Datei /etc/systemd/System/docker.service.d/http-proxy.conf auf dem Linux-Server, und fügen Sie die folgenden Zeilen hinzu:

  [Service]
  Environment="HTTP_PROXY=http://your.proxy:8080/"
  Environment="HTTPS_PROXY=https://your.proxy:8080/"
  Environment="NO_PROXY=127.0.0.1,localhost"
  

  Hinweis

  Microsoft Tunnel unterstützt keinen Microsoft Entra-Anwendungsproxy oder ähnliche Proxylösungen.

Konfigurieren eines ausgehenden Proxys für Podman

Die folgenden Details können Ihnen bei der Konfiguration eines internen Proxys helfen, wenn Sie Podman verwenden:

• Authentifizierte Proxys werden nicht unterstützt.

• Der Proxy kann keine Unterbrechung und Überprüfung durchführen, da der Linux-Server beim Herstellen einer Verbindung mit Intune die gegenseitige TLS-Authentifizierung verwendet.

• Podman liest HTTP-Proxyinformationen, die in /etc/profile.d/http_proxy.shgespeichert sind. Wenn diese Datei nicht auf Ihrem Server vorhanden ist, erstellen Sie sie. Bearbeiten Sie http_proxy.sh, um die folgenden beiden Zeilen hinzuzufügen. In den folgenden Zeilen ist 10.10.10.1:3128 ein Beispiel für „address:port entry“. Wenn Sie diese Zeilen hinzufügen, ersetzen Sie 10.10.10.1:3128 durch die Werte für Ihre Proxy-IP address:port:

  export HTTP_PROXY=http://10.10.10.1:3128
export HTTPS_PROXY=http://10.10.10.1:3128

  Wenn Sie Zugriff auf das Red Hat-Kundenportal haben, können Sie den Knowledge Base-Artikel anzeigen, der dieser Lösung zugeordnet ist. Weitere Informationen finden Sie unter Einrichten von HTTP-Proxyvariablen für Podman – Red Hat Customer Portal.

• Wenn Sie diese beiden Zeilen zu http_proxy.sh hinzufügen, bevor Sie Microsoft Tunnel Gateway durch Ausführen von mstunnel-setup installieren, konfiguriert das Skript automatisch die Tunnel Gateway-Proxy-Umgebungsvariablen in /etc/mstunnel/env.sh.

  Führen Sie die folgenden Aktionen aus, um einen Proxy zu konfigurieren, nachdem die Einrichtung des Microsoft Tunnel-Gateways abgeschlossen ist:

  1. Ändern oder erstellen Sie die Datei /etc/profile.d/http_proxy.sh, und fügen Sie die beiden Zeilen aus dem vorherigen Aufzählungspunkt hinzu.

  2. Bearbeiten Sie /etc/mstunnel/env.sh, und fügen Sie am Ende der Datei die folgenden beiden Zeilen hinzu. Ersetzen Sie wie in den vorherigen Zeilen den Beispielwert address :port10.10.10.1:3128 durch die Werte für Ihre Proxy-IP-Adresse :port:

     HTTP_PROXY=http://10.10.10.1:3128
HTTPS_PROXY=http://10.10.10.1:3128

  3. Tunnelgatewayserver neu starten: mst-cli server restart ausführen

  Beachten Sie, dass RHEL SELinux verwendet. Da ein Proxy, der nicht auf einem SELinux-Port für http_port_t ausgeführt wird, eine zusätzliche Konfiguration erfordern kann, überprüfen Sie die Verwendung von verwalteten SELinux-Ports für HTTP. Führen Sie zum Anzeigen der Konfigurationen den folgenden Befehl aus: sudo semanage port -l | grep "http_port_t"

  Beispiel für die Ergebnisse des Portüberprüfungsbefehls. In diesem Beispiel verwendet der Proxy 3128 und ist nicht aufgeführt:

  

  • Wenn Ihr Proxy auf einem der SELinux-Ports für http_port_t ausgeführt wird, können Sie mit dem Tunnelgateway-Installationsvorgang fortfahren.

  • Wenn Ihr Proxy nicht auf einem SELinux-Port für http_port_t ausgeführt wird, wie im vorherigen Beispiel, müssen Sie zusätzliche Konfigurationen vornehmen.

    Wenn Ihr Proxyport für http_port_t nicht aufgeführt ist, überprüfen Sie, ob der Proxyport von einem anderen Dienst verwendet wird. Verwenden Sie den Befehl semanage, um zuerst den Port zu überprüfen, den Ihr Proxy verwendet, und später, falls erforderlich, um ihn dann zu ändern. Führen Sie Folgendes aus, um den von Ihrem Proxy verwendeten Port zu überprüfen: sudo semanage port -l | grep "your proxy port"

    Beispiel für die Ergebnisse der Überprüfung auf einen Dienst, der den Port verwenden kann:

    

    • In dem Beispiel wird der erwartete Port (3128) von einem Squid, einem OSS-Proxydienst. Die Squid Proxy-SELinux-Richtlinien sind Teil vieler gängiger Distributionen. Da Squid den Port 3128 (unser Beispielport) verwendet, müssen wir die http_port_t Ports ändern und Port 3128 so hinzufügen, dass er über SELinux für den vom Tunnel verwendeten Proxy zugelassen ist. Führen Sie den folgenden Befehl aus, um die Portanwendung zu ändern: sudo semanage port -m -t http_port_t -p tcp "your proxy port"

      Beispiel für den Befehl zum Ändern des Ports:

      

      Führen Sie nach dem Ausführen des Befehls zum Ändern des Ports den folgenden Befehl aus, um zu überprüfen, ob der Port von einem anderen Dienst verwendet wird: sudo semanage port -l | grep "your proxy port"

      Beispiel für den Befehl zum Überprüfen des Ports nach dem Ändern des Ports:

      

      In diesem Beispiel ist Port 3128 jetzt sowohl http_port-t als auch squid_port_tzugeordnet. Dieses Ergebnis wird erwartet. Wenn Ihr Proxyport beim Ausführen des Befehks sudo semanage port -l | grep "your_proxy_port" nicht aufgeführt ist, führen Sie den Befehl aus, um den Port erneut zu ändern, ersetzen Sie jedoch -m im Befehl semanage durch -a: sudo semanage port -a -t http_port_t -p tcp "your proxy port"

Konfigurieren von Podman für die Verwendung des Proxys zum Herunterladen von Imageupdates

Sie können Podman so konfigurieren, dass der Proxy zum Herunterladen (Pullen) aktualisierter Images für Podman verwendet wird. Diese Konfiguration ist wichtig für zukünftige Upgrades. Da es nach der Installation des Tunnelgateways konfiguriert werden muss, wird es hier Erwähnung, aber wir haben die Konfigurationsanleitung zum Konfigurieren von Podman für die Verwendung des Proxys zum Herunterladen von Imageupdates im Artikel Konfigurieren von Microsoft Tunnel als Aufgabe hinzugefügt, die nach der Installation des Tunnelgatewayservers ausgeführt werden muss.

Plattformen

Geräte müssen bei Intune registriert werden, um von Microsoft Tunnel unterstützt zu werden. Nur folgende Geräteplattformen werden unterstützt:

• iOS/iPadOS

• Android Enterprise:

  • Vollständig verwaltet
  • Unternehmenseigenes Arbeitsprofil
  • Persönliches Arbeitsprofil

  Hinweis

  Dedizierte Android Enterprise-Geräte werden vom Microsoft Tunnel nicht unterstützt.

  Wichtig

  Der Support für Android 10 auf Microsoft Tunnel endete am 31. März 2026. Geräte mit Android 10 müssen ein Upgrade auf Android 11 oder höher durchführen, um Microsoft Tunnel weiterhin verwenden zu können.

Alle Plattformen unterstützen die folgenden Funktionen:

• Microsoft Entra-Authentifizierung beim Tunnel mit Benutzername und Kennwort.
• Active Directory-Verbunddienste (AD FS)-Authentifizierung beim Tunnel mit Benutzername und Kennwort.
• Unterstützung pro App.
• Manueller vollständiger Gerätetunnel über eine Tunnel-App, bei dem der Benutzer das VPN startet und Verbinden auswählt.
• Split Tunneling. Unter iOS werden Split Tunneling-Regeln jedoch ignoriert, wenn Ihr VPN-Profil ein VPN pro App verwendet.

Unterstützung für einen Proxy ist auf die folgenden Plattformen beschränkt:

• Android 11 und höher
• iOS/iPadOS

Berechtigungen

Damit Benutzer Microsoft Tunnel verwalten können, müssen sie über die Berechtigungen verfügen, die in der Berechtigungsgruppe Microsoft Tunnel-Gateway in Intune enthalten sind. Standardmäßig verfügen Intune- und Microsoft Entra-Administratoren über diese Berechtigungen. Sie können diese auch benutzerdefinierten Rollen hinzufügen, die Sie für Ihren Intune-Mandanten erstellen.

Erweitern Sie beim Konfigurieren einer Rolle auf der Seite Berechtigungen die Option Microsoft Tunnel-Gateway, und wählen Sie die Berechtigungen aus, die erteilt werden sollen.

Die Berechtigungsgruppe „Microsoft Tunnel-Gateway“ erteilt die folgenden Berechtigungen:

• Erstellen: Benutzer können Server und Standorte für Microsoft Tunnel-Gateways konfigurieren. Zu den Serverkonfigurationen zählen Einstellungen für IP-Adressbereiche, DNS-Server, Ports und Split-Tunneling-Regeln. Standorte sind logische Gruppierungen mehrerer Server, die Microsoft Tunnel unterstützen.

• Aktualisieren (Bearbeiten): Benutzer können Serverkonfigurationen und Standorte für Microsoft Tunnel-Gateways aktualisieren. Zu den Serverkonfigurationen zählen Einstellungen für IP-Adressbereiche, DNS-Server, Ports und Split-Tunneling-Regeln. Standorte sind logische Gruppierungen mehrerer Server, die Microsoft Tunnel unterstützen.

• Löschen: Benutzer können Serverkonfigurationen und Standorte für Microsoft Tunnel-Gateways löschen. Zu den Serverkonfigurationen zählen Einstellungen für IP-Adressbereiche, DNS-Server, Ports und Split-Tunneling-Regeln. Standorte sind logische Gruppierungen mehrerer Server, die Microsoft Tunnel unterstützen.

• Lesen: Benutzer können Serverkonfigurationen und Standorte für Microsoft Tunnel-Gateways anzeigen. Zu den Serverkonfigurationen zählen Einstellungen für IP-Adressbereiche, DNS-Server, Ports und Split-Tunneling-Regeln. Standorte sind logische Gruppierungen mehrerer Server, die Microsoft Tunnel unterstützen.

Ausführen des Bereitschaftstools

Bevor Sie mit einer Serverinstallation beginnen, empfehlen wir Ihnen, die neueste Version des mst-Readiness-Tools herunterzuladen und auszuführen. Das Tool ist ein Skript, das auf Ihrem Linux-Server ausgeführt wird und die folgenden Aktionen durchführt:

• Überprüft, ob das Microsoft Entra-Konto, das Sie zum Installieren von Microsoft Tunnel verwenden, über die erforderlichen Rollen verfügt, um die Registrierung abzuschließen.

• Es bestätigt, dass die Netzwerkkonfiguration es Microsoft Tunnel ermöglicht, auf die erforderlichen Microsoft-Endpunkte zuzugreifen.

• Überprüft, ob das ip_tables-Modul auf dem Linux-Server vorhanden ist. Diese Überprüfung wurde dem Skript am 11. Februar 2022 hinzugefügt, als die Unterstützung für RHEL 8.5 hinzugefügt wurde. RHEL 8.5 später Laden Sie das ip_tables Modul standardmäßig nicht. Wenn sie nach der Installation des Linux-Servers fehlen, müssen Sie das ip_tables-Modul manuell laden.

Das mst-readiness-Tool weist eine Abhängigkeit von jq auf, einem Befehlszeilen-JSON-Prozessor. Bevor Sie das Bereitschaftstool ausführen, stellen Sie sicher, dass jq installiert ist. Informationen dazu, wie Sie jq abrufen und installieren, finden Sie in der Dokumentation zu der von Ihnen verwendete Version von Linux.

So verwenden Sie das Bereitschaftstool:

1. Holen Sie sich die neueste Version des Bereitschaftstools, indem Sie eine der folgenden Methoden verwenden:

   • Laden Sie das Tool direkt mithilfe eines Webbrowsers herunter. Navigieren Sie zu https://aka.ms/microsofttunnelready, um eine Datei namens mst-readiness herunterzuladen.

   • Melden Sie sich beim Microsoft Intune Admin Center> an.Mandantenverwaltung>Microsoft Tunnel-Gateway, wählen Sie die Registerkarte Server, wählen Sie Erstellen, um den Bereich Server erstellen zu öffnen, und wählen Sie dann Tool zur Vorbereitung herunterladen aus.

   • Verwenden Sie einen Linux-Befehl, um das Bereitschaftstool direkt abzurufen. Beispielsweise können Sie wget oder curl verwenden, um den Link https://aka.ms/microsofttunnelready zu öffnen.

     Um etwa wget zu verwenden und Details während des Downloads in mst-readiness zu protokollieren, führen Sie wget --output-document=mst-readiness https://aka.ms/microsofttunnelready aus.

   Das Skript kann von jedem Linux-Server aus ausgeführt werden, der sich im selben Netzwerk wie der Server befindet, den Sie installieren möchten. Dadurch können Netzwerkadministratoren das Skript unabhängig zur Fehlerbehebung von Netzwerkproblemen verwenden.

2. Führen Sie das Skript mit den folgenden Befehlen aus, um Ihre Netzwerk- und Linux-Konfiguration zu überprüfen. Mit diesen Befehlen werden die Ausführungsberechtigungen für das Skript festgelegt, überprüft, ob der Tunnel eine Verbindung mit den richtigen Endpunkten herstellen kann, und dann überprüft, ob Dienstprogramme vorhanden sind, die von Tunnel verwendet werden:

   • sudo ./mst-readiness

   • sudo ./mst-readiness network - Dieser Befehl führt die folgenden Aktionen aus und meldet dann Erfolg oder Fehler für beide:

     • Es versucht, eine Verbindung mit jedem Microsoft-Endpunkt herzustellen, den der Tunnel verwenden wird.
     • Es überprüft, ob die erforderlichen Ports in der Firewall geöffnet sind.

   • sudo ./mst-readiness utils - Dieser Befehl überprüft, ob Dienstprogramme, die von Tunnel verwendet werden, wie Docker oder Podman und ip_tables verfügbar sind.

3. Um zu überprüfen, ob das Konto, das Sie zum Installieren von Microsoft Tunnel verwenden, über die erforderlichen Rollen und Berechtigungen zum Abschließen der Registrierung verfügt, führen Sie das Skript mit der folgenden Befehlszeile aus: ./mst-readiness account

   Das Skript fordert Sie auf, einen anderen Computer mit einem Webbrowser zu verwenden, den Sie für die Authentifizierung bei Microsoft Entra ID und Intune verwenden. Das Tool meldet Erfolg oder Fehler.

Weitere Informationen zu diesem Tool finden Sie unter Referenz für mst-cli im Referenzartikel für den Microsoft Tunnel-Artikel.

Manually install auditd for Linux system auditing

Das Bereitschaftstool überprüft, ob das auditd-Paket für die Linux-Systemüberwachung vorhanden ist. Da auditd optional und nicht erforderlich ist, gibt das Bereitschaftsskript eine Warnung zurück, wenn dieses Paket nicht erkannt wird.

Auditd wird standardmäßig von RHEL 7 und neueren Versionen installiert, wird jedoch möglicherweise nicht standardmäßig von Ubuntu-Distributionen installiert. Wenn es nicht vorhanden ist, können Sie es manuell auf dem Linux-Server installieren.

Informationen zur manuellen Installation vor der Installation von Tunnel Server finden Sie unter Linux-Systemüberwachung weiter oben in diesem Artikel.

Informationen zum Installieren von auditd nach der Installation von Microsoft Tunnel finden Sie unter Installieren von Linux-Systemüberwachung nach der Installation des Tunnelservers in Konfigurieren von Micrfosoft-Tunnel.

Laden Sie ip_tables manuell

Während die meisten Linux-Distributionen das ip_tables-Modul automatisch laden, ist dies bei einigen Distributionen möglicherweise nicht der Fall. RHEL 8.5 lädt z. B. die ip_tables nicht standardmäßig.

Um zu überprüfen, ob dieses Modul vorhanden ist, führen Sie die neueste Version des mst-readiness-Tools auf dem Linux-Server aus. Die Überprüfung auf ip_tables wurde dem Skript des Bereitschaftstools am 11. Februar 2022 hinzugefügt.

Ist das Modul nicht vorhanden, stoppt das Tool bei der ip_tables Modulprüfung. In diesem Szenario können Sie die folgenden Befehle ausführen, um das Modul manuell zu laden.

Das ip_tables-Modul manuell laden

Führen Sie im Kontext von Sudo die folgenden Befehle auf Ihrem Linux-Server aus:

1. Überprüfen Sie, ob ip_tables auf dem Server vorhanden sind: lsmod |grep ip_tables

2. Wenn ip_tables nicht vorhanden ist, führen Sie Folgendes aus, um das Modul sofort ohne Neustart in den Kernel zu laden: /sbin/modprobe ip_tables

3. Führen Sie die Überprüfung erneut aus, um zu bestätigen, dass die Tabellen jetzt geladen sind: lsmod |grep ip_tables

Linux so konfigurieren, dass ip_tables beim Start geladen wird

Führen Sie im Kontext von sudo den folgenden Befehl auf Ihrem Linux Server aus, um eine Konfigurationsdatei zu erstellen, die die ip_tables während der Startzeit in den Kernel lädt:echo ip_tables > /etc/modules-load.d/mstunnel_iptables.conf

Manuelles Laden des Tun-Moduls

Microsoft Tunnel erfordert das Tun-Modul, einige Linux-Distributionen laden das Tun-Modul jedoch nicht standardmäßig.

Um die Gegenwart des Tun-Moduls auf dem Server zu überprüfen, führen Sie Folgendes aus: lsmod |grep tun

1. Wenn tun nicht vorhanden ist, führen Sie Folgendes aus, um das Modul sofort und ohne Neustart in den Kernel zu laden: /sbin/modprobe tun

2. Führen Sie die Überprüfung erneut aus, um zu bestätigen, dass das Tun-Modul jetzt geladen ist: lsmod |grep tun

Konfigurieren von Linux zum Laden von Tunes beim Booten

Führen Sie im Kontext von sudo den folgenden Befehl auf Ihrem Linux-Server aus, um eine Konfigurationsdatei zu erstellen, die tun-Kernel während der Startzeit lädt:echo tun > /etc/modules-load.d/mstunnel_tun.conf

Nächste Schritte

Konfigurieren von Microsoft Tunnel