Microsoft Tunnel pour Microsoft Intune

Microsoft Tunnel est une solution de passerelle VPN pour Microsoft Intune qui s’exécute dans un conteneur sur Linux et qui permet d’accéder à des ressources locales à partir d’iOS/iPadOS et d’appareils Android Enterprise à l’aide de l’authentification moderne et de l’accès conditionnel.

Cet article présente le tunnel Microsoft principal, son fonctionnement et son architecture.

Si vous êtes prêt à déployer Microsoft Tunnel, consultez Prérequis pour Microsoft Tunnel, puis configurez Microsoft Tunnel.

Après avoir déployé Microsoft Tunnel, vous pouvez choisir d’ajouter Microsoft Tunnel pour la gestion des applications mobiles (Tunnel pour MAM). Tunnel pour MAM étend la passerelle VPN de Microsoft Tunnel pour prendre en charge les appareils qui exécutent Android ou iOS et qui ne sont pas inscrits auprès de Microsoft Intune. Tunnel pour MAM est une fonctionnalité avancée de Microsoft Intune qui nécessite une licence supplémentaire au-delà de Microsoft Intune.

Vue d’ensemble de Microsoft Tunnel

Microsoft Tunnel Gateway s’installe sur un conteneur qui s’exécute sur un serveur Linux. Le serveur Linux peut être une boîte physique dans votre environnement local ou une machine virtuelle qui s’exécute localement ou dans le cloud. Pour configurer Tunnel, vous déployez un Microsoft Defender en tant qu’application cliente Microsoft Tunnel et des profils VPN Intune sur vos appareils iOS et Android. L’application cliente et le profil VPN permettent aux appareils d’utiliser le tunnel pour se connecter aux ressources de l’entreprise. Lorsque le tunnel est hébergé dans le cloud, vous devez utiliser une solution telle qu’Azure ExpressRoute pour étendre votre réseau local au cloud.

Fonctionnalités

Les caractéristiques des profils VPN pour le tunnel sont les suivantes :

• Nom convivial pour la connexion VPN qui est visible par vos utilisateurs finaux.

• Le site auquel se connecte le client VPN.

• Des configurations VPN par application qui définissent les applications pour lesquelles le profil VPN est utilisé, et s’il est toujours activé ou non. Lorsqu’il est toujours activé, le VPN se connecte automatiquement et n’est utilisé que pour les applications que vous définissez. Si aucune application n’est spécifiée, la connexion permanente fournit l’accès via le tunnel pour tout le trafic réseau en provenance de l’appareil.

• Pour les appareils iOS sur lesquels Microsoft Defender est configuré pour prendre en charge les VPN par application et le mode TunnelOnly défini sur True, les utilisateurs n’ont pas besoin d’ouvrir ou de se connecter à Microsoft Defender sur leur appareil pour que le tunnel soit utilisé. Au lieu de cela, lorsque l’utilisateur est connecté au Portail d’entreprise sur l’appareil ou à toute autre application qui utilise l’authentification multifacteur disposant d’un jeton d’accès valide, le VPN Tunnel par application est utilisé automatiquement. Le mode TunnelOnly est pris en charge pour iOS/iPadOS et désactive la fonctionnalité Defender, ne laissant que les fonctionnalités de tunnel.

• Des connexions manuelles au tunnel lorsqu’un utilisateur lance le VPN et sélectionne Se connecter.

• Règles VPN à la demande qui autorisent l’utilisation du VPN quand des conditions sont remplies pour des noms de domaine complets ou des adresses IP spécifiques. (iOS/iPadOS)

• Prise en charge des proxys. (iOS/iPadOS, Android 11+)

• Le mode tunnel strict, qui bloque tout le trafic réseau lorsque la connexion VPN est interrompue, garantissant ainsi qu’aucune donnée ne contourne le tunnel. Pour les appareils Android inscrits, le mode tunnel strict est disponible lorsque le VPN permanent (VPN) est activé. Pour plus d’informations, consultez Configurer Microsoft Tunnel. Pour les appareils non inscrits qui utilisent le tunnel GAM, le mode tunnel strict est configuré via la stratégie de configuration de l’application Microsoft Edge. Pour plus d’informations, consultez Microsoft Tunnel pour MAM. (Android)

• Détection de racine Android. Le client Microsoft Defender bloque automatiquement l’accès d’un appareil à Microsoft Tunnel s’il identifie que l’appareil est rooté.

  Lorsqu’un appareil est identifié comme étant rooté, le client marque immédiatement la catégorie de risque de l’appareil comme étant élevé, interrompt les connexions de tunnel actives et continue à bloquer l’accès jusqu’à ce que l’appareil soit déterminé comme étant conforme. L’utilisateur de l’appareil reçoit une notification à ce status de la part du client Defender.

  Cette fonctionnalité ne remplace pas l’utilisation de stratégies de conformité Intune pour Android afin de gérer les paramètres des appareils rootés, de jouer le verdict d’intégrité et d’exiger que l’appareil soit au niveau ou en dessous du niveau de menace de l’appareil. L’utilisation de stratégies de conformité Intune pour gérer les paramètres de clés pour Android prend en charge le modèle de sécurité Microsoft Confiance nulle pour les appareils Android Enterprise entièrement gérés et détenus personnellement.

Vue d’ensemble de l’installation

Par le biais du Centre d’administration Microsoft Intune, vous pourrez :

• Téléchargez le script d’installation de Microsoft Tunnel que vous exécutez sur les serveurs Linux.
• Configurer des aspects de Microsoft Tunnel Gateway, tels que les adresses IP, les serveurs DNS et les ports.
• Déployer des profils VPN sur des appareils pour faire en sorte qu’ils utilisent le tunnel.
• Déployez Microsoft Defender (l’application cliente Tunnel) sur vos appareils.

Via l’application Defender, les appareils iOS/iPadOS et Android Enterprise :

• Utilisez Microsoft Entra ID pour vous authentifier auprès du tunnel.
• Utilisez Services ADFS (AD FS) pour vous authentifier auprès du tunnel.
• Sont évalués par rapport à vos stratégies d’accès conditionnel. Si l’appareil n’est pas conforme, il ne peut pas accéder à votre serveur VPN ou à votre réseau local.

Vous pouvez installer plusieurs serveurs Linux pour prendre en charge Microsoft Tunnel, et combiner des serveurs en groupes logiques appelés sites. Chaque serveur peut rejoindre un seul site. Lorsque vous configurez un site, vous définissez un point de connexion que les appareils doivent utiliser pour accéder au tunnel. Les sites nécessitent une configuration de serveur que vous définissez et leur attribuez. La configuration de serveur est appliquée à chaque serveur que vous ajoutez à ce site, ce qui simplifie la configuration des serveurs supplémentaires.

Pour faire en sorte que les appareils utilisent le tunnel, vous créez et déployez une stratégie VPN pour Microsoft Tunnel. Cette stratégie est un profil VPN de configuration d’appareil qui utilise Microsoft Tunnel comme type de connexion.

Les configurations de serveur sont les suivantes :

• Plage d’adresses IP : adresses IP attribuées aux appareils qui se connectent à un tunnel Microsoft.
• Serveurs DNS : serveur DNS que les périphériques doivent utiliser lorsqu’ils se connectent au serveur.
• Recherche de suffixes DNS.
• Règles de tunneling fractionné : jusqu’à 500 règles partagées entre les routes d’inclusion et d’exclusion. Par exemple, si vous créez 300 règles d’inclusion, vous pouvez avoir jusqu’à 200 règles d’exclusion.
• Port : port sur lequel Microsoft Tunnel Gateway écoute.

La configuration de site comprend :

• Une adresse IP publique ou un nom de domaine complet (FQDN), qui est le point de connexion pour les appareils qui utilisent le tunnel. Cette adresse peut être celle d’un serveur unique, ou l’adresse IP ou le nom de domaine complet d’un serveur d’équilibrage de charge.
• La configuration de serveur qui est appliquée à chaque serveur du site.

Vous attribuez un serveur à un site au moment où vous installez le logiciel de tunnel sur le serveur Linux. L’installation utilise un script que vous pouvez télécharger à partir du centre d’administration. Après avoir démarré le script, vous êtes invité à configurer son fonctionnement pour votre environnement, ce qui inclut la spécification du site que le serveur rejoindra.

Pour utiliser Microsoft Tunnel, les appareils doivent installer l’application Microsoft Defender. Vous obtenez l’application à partir des magasins d’applications iOS/iPadOS ou Android applicables, et vous la déployez sur les utilisateurs.

Architecture

Microsoft Tunnel Gateway s’exécute dans des conteneurs qui s’exécutent sur des serveurs Linux.

Composants :

• A – Microsoft Intune.
• B- Microsoft Entra ID.
• C – Serveur Linux avec Podman ou Docker CE (voir la configuration requise de serveur Linux pour plus d’informations sur les versions qui nécessitent Podman ou Docker)
  • C.1 - Microsoft Tunnel Gateway
  • C.2 – Agent de gestion.
  • C.3 – Plugin d’authentification – Plugin d’autorisation, qui s’authentifie avec Microsoft Entra.
• D : IP publique ou nom de domaine complet (FQDN) de Microsoft Tunnel, qui peut représenter un équilibreur de charge.
• E : appareil mobile Gestion des appareils (MDM) inscrit ou appareil mobile non inscrit utilisant Tunnel pour la gestion des applications mobiles.
• F – Pare-feu
• G – Serveur proxy interne (facultatif).
• H – Réseau d’entreprise.
• I – Internet public

Actions :

• 1 - L’administrateur de service Intune configure les configurations de serveur et les sites. Les configurations de serveur sont associées aux sites.
• 2 - L’administrateur Intune installe Microsoft Tunnel Gateway et le plug-in d’authentification authentifie Microsoft Tunnel Gateway avec Microsoft Entra. Le serveur Microsoft Tunnel Gateway est attribué à un site.
• 3 - L’agent de gestion communique avec Intune pour récupérer vos stratégies de configuration de serveur et pour envoyer des journaux de télémétrie à Intune.
• 4 - l’administrateur Intune crée et déploie des profils VPN et l’application Defender sur des appareils.
• 5 - L’appareil s’authentifie auprès de Microsoft Entra. Les stratégies d’accès conditionnel sont évaluées.
• 6 - Avec tunnel fractionné :
  • 6.a - Une partie du trafic est dirigée directement vers l’Internet public.
  • 6.b - Une partie du trafic est dirigée vers votre adresse IP publique pour le tunnel. Le canal VPN utilisera TCP, TLS, UDP et DTLS sur le port 443. Ce trafic nécessite l’ouverture de ports de pare-feu entrants et sortants.
• 7 – Le Tunnel achemine le trafic vers votre proxy interne (optionnel) et/ou votre réseau d'entreprise. Les administrateurs informatiques doivent s'assurer que le trafic provenant de l'interface interne du serveur Tunnel Gateway peut être acheminé avec succès vers les ressources internes de l'entreprise (plages d'adresses IP et ports).

Casser et inspecter :

De nombreux réseaux d'entreprise renforcent la sécurité du réseau pour le trafic Internet à l'aide de technologies telles que les serveurs proxy, les pare-feu, la rupture et l'inspection SSL, l'inspection approfondie des paquets et les systèmes de prévention des pertes de données. Ces technologies offrent une importante atténuation des risques pour les requêtes Internet génériques, mais peuvent réduire considérablement les performances, l'évolutivité et la qualité de l'expérience de l'utilisateur final lorsqu'elles sont appliquées aux points de terminaison de service Microsoft Tunnel Gateway et Intune.

Les informations suivantes indiquent où la fonction « arrêter et inspecter » n’est pas prise en charge. Les références renvoient au diagramme d'architecture de la section précédente.

• Break and inspect n'est pas pris en charge dans les zones suivantes :

  • Tunnel Gateway ne prend pas en charge l’arrêt et l’inspection SSL, l’arrêt et l’inspection TLS ou l’inspection approfondie des paquets pour les connexions client.
  • L’utilisation de pare-feu, de proxys, d’équilibreurs de charge ou de toute technologie qui met fin et inspecte les sessions client qui accèdent à Tunnel Gateway n’est pas prise en charge et provoque l’échec des connexions client. (Reportez-vous à F, D et C dans le schéma d'architecture).
  • Si Tunnel Gateway utilise un proxy sortant pour l’accès à Internet, le serveur proxy ne peut pas effectuer d’arrêt et d’inspection. Cela est dû au fait que l’agent Tunnel Gateway Management Agent utilise l’authentification mutuelle TLS lors de la connexion à Intune (reportez-vous à 3 dans le diagramme Architecture). Si l'interruption et l'inspection sont activées sur le serveur proxy, les administrateurs réseau qui gèrent le serveur proxy doivent ajouter l'adresse IP du serveur Tunnel Gateway et le nom de domaine complet (FQDN) à une liste d'approbation pour ces points de terminaison Intune.

Informations supplémentaires :

• L’accès conditionnel s’effectue dans le client VPN et en fonction de l’application cloud Microsoft Tunnel Gateway. Les appareils non conformes ne reçoivent pas de jeton d’accès de Microsoft Entra ID et ne peuvent pas accéder au serveur VPN. Pour plus d’informations sur l’utilisation de l’accès conditionnel avec Microsoft Tunnel, consultez Utiliser l’accès conditionnel avec Microsoft Tunnel.

• L’agent de gestion est autorisé par rapport à Microsoft Entra ID à l’aide de l’ID d’application Azure/clés secrètes.

Contenu connexe

• Prérequis pour Microsoft Tunnel dans Intune
• En savoir plus sur Microsoft Tunnel pour la gestion des applications mobiles