Aggiungere impostazioni VPN ai dispositivi Apple in Microsoft Intune

• Se è necessario che questi dispositivi accedano alle risorse locali usando l'autenticazione moderna e l'accesso condizionale, è possibile usare Microsoft Tunnel, che supporta lo split tunneling.

• Queste impostazioni sono disponibili per tutti i tipi di registrazione, ad eccezione della registrazione degli utenti. La registrazione degli utenti è limitata alla VPN per app. Per altre informazioni sui tipi di registrazione, vedere Registrazione iOS/iPadOS.

• Le impostazioni disponibili dipendono dal client VPN scelto. Alcune impostazioni sono disponibili solo per client VPN specifici.

• Queste impostazioni sono disponibili per tutti i tipi di registrazione. Per altre informazioni sui tipi di registrazione, passare a Registrazione macOS.

Tipo di connessione

Selezionare il tipo di connessione VPN dall'elenco seguente di fornitori:

• Nome connessione: gli utenti finali visualizzano questo nome quando cercano nel dispositivo un elenco delle connessioni VPN disponibili.

• Nome di dominio personalizzato (solo Zscaler): precompila il campo di accesso dell'app Zscaler con il dominio a cui appartengono i tuoi utenti. Ad esempio, se un nome utente è Joe@contoso.net, il contoso.net dominio viene visualizzato staticamente nel campo quando l'app si apre. Se non si immette un nome di dominio, viene usata la parte di dominio dell'UPN in Microsoft Entra ID.

• Indirizzo server VPN: l'indirizzo IP o il nome di dominio completo (FQDN) del server VPN con cui si connettono i dispositivi. Ad esempio, immetti 192.168.1.1 o vpn.contoso.com.

• Nome cloud dell'organizzazione (solo Zscaler): immettere il nome del cloud in cui viene eseguito il provisioning dell'organizzazione. L'URL utilizzato per accedere a Zscaler ha il nome.

• Metodo di autenticazione: scegliere la modalità di autenticazione dei dispositivi nel server VPN.

  • Certificati: In Certificato di autenticazione selezionare un profilo di certificato SCEP o PKCS esistente per autenticare la connessione. La configurazione dei certificati fornisce alcune indicazioni sui profili dei certificati.

  • Nome utente e password: gli utenti finali devono immettere un nome utente e una password per accedere al server VPN.

    Nota

    Se il nome utente e la password vengono utilizzati come metodo di autenticazione per Cisco IPsec VPN, devono fornire SharedSecret tramite un profilo Apple Configurator personalizzato.

  • Credenziali derivate: usare un certificato derivato dalla smart card di un utente. Se non è configurata alcuna autorità di certificazione delle credenziali derivata, Intune richiede di aggiungerne una. Per altre informazioni, vedere Usare le credenziali derivate in Microsoft Intune.

• URL esclusi (solo Zscaler): quando si è connessi alla VPN di Zscaler, gli URL elencati sono accessibili al di fuori del cloud di Zscaler. È possibile aggiungere fino a 50 URL.

• Split tunneling: abilita o disabilita per consentire ai dispositivi di decidere quale connessione usare, a seconda del traffico. Ad esempio, un utente di un hotel usa la connessione VPN per accedere ai file aziendali, ma usa la rete standard dell'hotel per la normale navigazione Web.

• Identificatore VPN (VPN personalizzata, Zscaler e Citrix): identificatore per l'app VPN in uso e fornito dal provider VPN.

• Immettere coppie chiave/valore per gli attributi VPN personalizzati dell'organizzazione (VPN personalizzata, Zscaler e Citrix): Aggiungere o importare chiavi e valori che personalizzano la connessione VPN. Ricordare che questi valori sono in genere forniti dal provider VPN.

• Abilita controllo accesso di rete (NAC) (Cisco AnyConnect, Citrix SSO, F5 Access): Quando scegli Accetto, l'ID dispositivo viene incluso nel profilo VPN. Questo ID può essere utilizzato per l'autenticazione alla VPN per consentire o impedire l'accesso alla rete.

  Quando si utilizza Cisco AnyConnect con ISE, assicurarsi di:

  • Integrare ISE con Intune per NAC come descritto in Configurazione di Microsoft Intune come server MDM nella Guida per l'amministratore di Cisco Identity Services Engine, se non è già stato fatto.
  • Abilitare NAC nel profilo VPN.

  Importante

  Il servizio di controllo di accesso alla rete (NAC) è deprecato e sostituito con il servizio NAC più recente di Microsoft, ovvero il servizio Compliance Retrieval Service (CR Service). Per supportare le modifiche all'interno di Cisco ISE, Intune ha modificato il formato ID dispositivo. Pertanto, i profili esistenti con il servizio NAC originale smetteranno di funzionare.

  Per usare il servizio CR ed evitare tempi di inattività con la connessione VPN, ridistribuire lo stesso profilo di configurazione del dispositivo VPN. Non sono necessarie modifiche al profilo. È sufficiente ridistribuire. Quando il dispositivo viene sincronizzato con il servizio Intune e riceve il profilo di configurazione VPN, le modifiche al servizio CR vengono distribuite automaticamente al dispositivo. Inoltre, le connessioni VPN dovrebbero continuare a funzionare.

  Quando usi Citrix SSO con Gateway, assicurati di:

  • Conferma di utilizzare Citrix Gateway 12.0.59 o versione successiva.
  • Verificare che gli utenti abbiano Citrix SSO 1.1.6 o versione successiva installato nei dispositivi.
  • Integrare Citrix Gateway con Intune per NAC. Consulta la guida alla distribuzione di Citrix Integrazione di Microsoft Intune/Enterprise Mobility Suite con NetScaler (scenario LDAP+OTP).
  • Abilitare NAC nel profilo VPN.

  Quando usi F5 Access, assicurati di:

  • Confermare che si sta usando F5 BIG-IP 13.1.1.5 o versione successiva.
  • Integrare BIG-IP con Intune per NAC. Consulta la guida F5 Panoramica: Configurazione di APM per i controlli della postura dei dispositivi con i sistemi di gestione degli endpoint .
  • Abilitare NAC nel profilo VPN.

  Per i partner VPN che supportano l'ID dispositivo, il client VPN, ad esempio Citrix SSO, può ottenere l'ID. Quindi, può eseguire una query su Intune per confermare che il dispositivo è registrato e se il profilo VPN è conforme o meno.

  • Per rimuovere questa impostazione, ricrea il profilo e non selezionare Accetto. Quindi, riassegna il profilo.

• Immettere coppie chiave-valore per gli attributi NetMotion Mobility VPN (solo NetMotion Mobility): Immettere o importare coppie chiave-valore. Questi valori possono essere forniti dal provider VPN.

• Sito Microsoft Tunnel (solo Microsoft Tunnel): seleziona un sito esistente. Il client VPN si connette all'indirizzo IP pubblico o al nome di dominio completo del sito.

  Per altre informazioni, vedere Microsoft Tunnel per Intune.

• Canale di distribuzione: selezionare la modalità di distribuzione del profilo. Questa impostazione determina anche il portachiavi in cui sono archiviati i certificati di autenticazione, quindi è importante selezionare il canale appropriato. Non è possibile modificare il canale di distribuzione dopo aver distribuito il profilo. Per cambiarlo, è necessario creare un nuovo profilo.

  Nota

  È consigliabile ricontrollare l'impostazione del canale di distribuzione nei profili esistenti quando i certificati di autenticazione collegati sono in fase di rinnovo per assicurarsi che sia selezionato il canale desiderato. In caso contrario, creare un nuovo profilo con il canale di distribuzione corretto.

  Sono disponibili due opzioni:

  • Canale utente: selezionare sempre il canale di distribuzione utente nei profili con certificati utente. Questa opzione archivia i certificati nel keychain utente.
  • Canale dispositivo: selezionare sempre il canale di distribuzione del dispositivo nei profili con certificati del dispositivo. Questa opzione archivia i certificati nel keychain di sistema.

• Nome connessione: immettere un nome per questa connessione. Gli utenti finali vedono questo nome quando cercano nel dispositivo l'elenco delle connessioni VPN disponibili.

• Indirizzo server VPN: immettere l'indirizzo IP o il nome di dominio completo del server VPN a cui si connettono i dispositivi. Ad esempio, immetti 192.168.1.1 o vpn.contoso.com.

• Metodo di autenticazione: scegliere la modalità di autenticazione dei dispositivi nel server VPN. Le opzioni disponibili sono:

  • Certificati: In Certificato di autenticazione, selezionare un profilo di certificato SCEP o PKCS creato in precedenza per autenticare la connessione. Per altre informazioni sui profili dei certificati, vedere Come configurare i certificati. Scegli i certificati in linea con la selezione del canale di distribuzione. Se è stato selezionato il canale utente, le opzioni relative al certificato sono limitate ai profili di certificato utente. Se hai selezionato il canale del dispositivo, avrai a disposizione profili di certificato sia utente che dispositivo tra cui scegliere. Tuttavia, è consigliabile selezionare sempre il tipo di certificato in linea con il canale selezionato. L'archiviazione dei certificati utente nel keychain di sistema aumenta i rischi per la sicurezza.
  • Nome utente e password: gli utenti finali devono immettere un nome utente e una password per accedere al server VPN.

• Tipo di connessione: Selezionare il tipo di connessione VPN dall'elenco seguente di fornitori:

  • Check Point Capsule VPN

  • Cisco AnyConnect

  • SonicWall Mobile Connect

  • Accesso F5

  • NetMotion Mobility

  • VPN personalizzata: selezionare questa opzione se il fornitore della VPN non è elencato. Configura anche:

    • Identificatore VPN: immettere un identificatore per l'app VPN in uso. Questo identificatore viene fornito dal provider VPN.
    • Immettere coppie chiave-valore per gli attributi VPN personalizzati: Aggiungere o importare chiavi e valori che personalizzano la connessione VPN. Questi valori vengono in genere forniti dal provider VPN.

• Split tunneling: Abilita consente ai dispositivi di decidere quale connessione usare in base al traffico. Ad esempio, un utente di un hotel usa la connessione VPN per accedere ai file aziendali, ma usa la rete standard dell'hotel per la normale navigazione Web. Disabilita consente a tutto il traffico di usare il tunnel VPN quando la connessione VPN è attiva.

Impostazioni IKEv2

Queste impostazioni si applicano quando si sceglie Tipo di> connessioneIKEv2.

• VPN sempre attiva: Abilita imposta un client VPN per connettersi e riconnettersi automaticamente alla rete VPN. Le connessioni VPN sempre attive rimangono connesse o si connettono immediatamente quando l'utente blocca il dispositivo, il dispositivo viene riavviato o la rete wireless cambia. Se impostata su Disabilitato (impostazione predefinita), la rete VPN sempre attiva per tutti i client VPN è disabilitata. Se abilitata, configura anche:

  • Interfaccia di rete: tutte le impostazioni IKEv2 si applicano solo all'interfaccia di rete scelta. Le opzioni disponibili sono:

    • Wi-Fi e cellulare (impostazione predefinita): le impostazioni IKEv2 si applicano alle interfacce Wi-Fi e cellulare sul dispositivo.
    • Cellulare: le impostazioni IKEv2 si applicano solo all'interfaccia cellulare nel dispositivo. Selezionare questa opzione se si esegue la distribuzione in dispositivi con l'interfaccia Wi-Fi disabilitata o rimossa.
    • Wi-Fi: le impostazioni IKEv2 si applicano solo all'interfaccia Wi-Fi sul dispositivo.

  • Utente per disabilitare la configurazione VPN: Abilita consente agli utenti di disattivare la VPN sempre attiva. Disabilita (impostazione predefinita) impedisce agli utenti di disattivarla. Il valore predefinito per questa impostazione è l'opzione più sicura.

  • Segreteria telefonica: scegli cosa succede con il traffico della segreteria telefonica quando è abilitata la VPN sempre attiva. Le opzioni disponibili sono:

    • Forza il traffico di rete attraverso VPN (impostazione predefinita): questa è l'impostazione più sicura.
    • Consenti al traffico di rete di passare all'esterno della VPN
    • Eliminare il traffico di rete

  • AirPrint: scegli cosa succede con il traffico AirPrint quando la VPN sempre attiva è abilitata. Le opzioni disponibili sono:

    • Forza il traffico di rete attraverso VPN (impostazione predefinita): questa è l'impostazione più sicura.
    • Consenti al traffico di rete di passare all'esterno della VPN
    • Eliminare il traffico di rete

  • Servizi cellulari: in iOS 13.0+, scegli cosa fare con il traffico cellulare quando è abilitata la VPN sempre attiva. Le opzioni disponibili sono:

    • Forza il traffico di rete attraverso VPN (impostazione predefinita): questa è l'impostazione più sicura.
    • Consenti al traffico di rete di passare all'esterno della VPN
    • Eliminare il traffico di rete

  • Consenti al traffico proveniente da app di rete captive non native di passare all'esterno della VPN: una rete captive si riferisce a hotspot Wi-Fi che si trovano tipicamente in ristoranti e hotel. Le opzioni disponibili sono:

    • No: forza tutto il traffico delle app Captive Networking (CN) attraverso il tunnel VPN.

    • Sì, tutte le app: consente al traffico dell'app CN di ignorare la VPN.

    • Sì, app specifiche: aggiungere un elenco di app CN il cui traffico può ignorare la VPN. Immettere gli identificatori dei bundle dell'app CN. Immettere ad esempio com.contoso.app.id.package.

      Per aggiungere l'ID bundle di un'app a Intune, è possibile usare l'interfaccia di amministrazione di Intune.

  • Traffico proveniente dall'app Captive Websheet per il passaggio all'esterno della VPN: Captive WebSheet è un Web browser integrato che gestisce l'accesso vincolato. Abilita consente al traffico dell'app del browser di ignorare la VPN. Disabilitato (impostazione predefinita) forza il traffico di WebSheet a utilizzare la VPN sempre attiva. Il valore predefinito è l'opzione più sicura.

  • Intervallo keepalive NAT (Network Address Translation) (secondi): Per rimanere connesso alla VPN, il dispositivo invia pacchetti di rete per rimanere attivo. Immettere un valore in secondi sulla frequenza con cui vengono inviati questi pacchetti, da 20 a 1440. Ad esempio, immettere il valore per inviare i pacchetti di 60 rete alla VPN ogni 60 secondi. Per impostazione predefinita, questo valore è impostato su 110 secondi.

  • Offload di NAT keepalive nell'hardware quando il dispositivo è in stato di sospensione: Quando un dispositivo è in stato di sospensione, Abilita (impostazione predefinita) fa in modo che NAT invii continuamente pacchetti keep-alive in modo che il dispositivo rimanga connesso alla VPN. Disabilita disattiva questa funzionalità.

• Identificatore remoto: immettere l'indirizzo IP di rete, FQDN, UserFQDN o ASN1DN del server IKEv2. Ad esempio, immetti 10.0.0.3 o vpn.contoso.com. In genere, si immette lo stesso valore del nome della connessione (in questo articolo). Tuttavia, dipende dalle impostazioni del server IKEv2.

• Identificatore locale: immettere il nome di dominio completo del dispositivo o il nome comune del soggetto del client VPN IKEv2 nel dispositivo. In alternativa, è possibile lasciare vuoto questo valore (impostazione predefinita). In genere, l'identificatore locale deve corrispondere all'identità dell'utente o del certificato del dispositivo. Il server IKEv2 potrebbe richiedere la corrispondenza dei valori per poter convalidare l'identità del client.

• Tipo di autenticazione client: scegliere la modalità di autenticazione del client VPN per la VPN. Le opzioni disponibili sono:

  • Autenticazione utente (impostazione predefinita): le credenziali utente eseguono l'autenticazione nella rete VPN.
  • Autenticazione del computer: le credenziali del dispositivo vengono autenticate nella rete VPN.

• Metodo di autenticazione: scegliere il tipo di credenziali client da inviare al server. Le opzioni disponibili sono:

  • Certificati: usa un profilo di certificato esistente per eseguire l'autenticazione nella VPN. Assicurarsi che il profilo del certificato sia già assegnato all'utente o al dispositivo. In caso contrario, la connessione VPN avrà esito negativo.

    • Tipo di certificato: selezionare il tipo di crittografia usato dal certificato. Assicurarsi che il server VPN sia configurato in modo da accettare questo tipo di certificato. Le opzioni disponibili sono:
      • RSA (impostazione predefinita)
      • ECDSA256
      • ECDSA384
      • ECDSA521

  • Segreto condiviso (solo autenticazione computer): consente di immettere un segreto condiviso da inviare al server VPN.

    • Segreto condiviso: immettere il segreto condiviso, noto anche come chiave precondivisa (PSK). Assicurarsi che il valore corrisponda al segreto condiviso configurato nel server VPN.

• Nome comune autorità di certificazione del server: Consente al server VPN di eseguire l'autenticazione nel client VPN. Immettere il nome comune dell'autorità di certificazione del certificato del server VPN inviato al client VPN nel dispositivo. Assicurarsi che il valore CN corrisponda alla configurazione nel server VPN. In caso contrario, la connessione VPN avrà esito negativo.

• Nome comune certificato server: immettere il nome nominale del certificato stesso. Se lasciato vuoto, viene utilizzato il valore dell'identificatore remoto.

• Tasso di rilevamento dei peer inattivi: scegliere la frequenza con cui il client VPN controlla se il tunnel VPN è attivo. Le opzioni disponibili sono:

  • Non configurato: usa l'impostazione predefinita del sistema iOS/iPadOS, che potrebbe essere la stessa della scelta di Medio.
  • Nessuno: disabilita il rilevamento dei peer morti.
  • Basso: invia un messaggio keepalive ogni 30 minuti.
  • Medio (impostazione predefinita): invia un messaggio keepalive ogni 10 minuti.
  • Alto: invia un messaggio keepalive ogni 60 secondi.

• Intervallo di versioni TLS minimo: immettere la versione TLS minima da usare. Inserisci 1.0, 1.1, o 1.2. Se lasciato vuoto, viene utilizzato il valore predefinito di 1.0 . Quando usi l'autenticazione utente e i certificati, devi configurare questa impostazione.

• Intervallo versioni TLS massimo: immettere la versione TLS massima da usare. Inserisci 1.0, 1.1, o 1.2. Se lasciato vuoto, viene utilizzato il valore predefinito di 1.2 . Quando usi l'autenticazione utente e i certificati, devi configurare questa impostazione.

• Perfect forward secrecy: seleziona Abilita per attivare perfect forward secrecy (PFS). PFS è una funzione di sicurezza IP che riduce l'impatto se una chiave della sessione viene compromessa. Disattiva (impostazione predefinita) non usa PFS.

• Controllo della revoca del certificato: selezionare Abilita per assicurarsi che i certificati non vengano revocati prima di consentire la connessione VPN. Questo controllo è il massimo sforzo. Se il server VPN scade prima di determinare se il certificato è stato revocato, l'accesso viene concesso. Disabilitato (impostazione predefinita) non controlla la presenza di certificati revocati.

• Utilizza gli attributi della sottorete interna IPv4/IPv6: alcuni server IKEv2 utilizzano gli INTERNAL_IP4_SUBNET attributi or INTERNAL_IP6_SUBNET . Enable forza la connessione VPN a usare questi attributi. Disabilitato (impostazione predefinita) non forza la connessione VPN a usare questi attributi della subnet.

• Mobilità e multihoming (MOBIKE): MOBIKE consente ai client VPN di modificare il proprio indirizzo IP senza ricreare un'associazione di sicurezza con il server VPN. Abilita (impostazione predefinita) attiva MOBIKE, che può migliorare le connessioni VPN quando si viaggia tra le reti. Disabilita disattiva MOBIKE.

• Reindirizza: Enable (impostazione predefinita) reindirizza la connessione IKEv2 se viene ricevuta una richiesta di reindirizzamento dal server VPN. Disabilita impedisce il reindirizzamento della connessione IKEv2 se viene ricevuta una richiesta di reindirizzamento dal server VPN.

• Unità di trasmissione massima: immettere l'unità di trasmissione massima (MTU) in byte, da 1 a 65536. Se impostato su Non configurato o lasciato vuoto, Intune non modifica o aggiorna questa impostazione. Per impostazione predefinita, Apple potrebbe impostare questo valore su 1280.

  Questa impostazione si applica a:

  • iOS/iPadOS 14 e versioni successive

• Parametri di associazione di sicurezza: immettere i parametri da utilizzare per la creazione di associazioni di sicurezza con il server VPN:

  • Algoritmo di crittografia: selezionare l'algoritmo desiderato:

    • DES
    • 3DES
    • AES-128
    • AES-256 (impostazione predefinita)
    • AES-128-GCM
    • AES-256-GCM

    Nota

    Se si imposta l'algoritmo di crittografia su AES-128-GCM o AES-256-GCM, viene usato quello AES-256 predefinito. Si tratta di un problema noto e verrà risolto in una versione futura. Non c'è ETA.

  • Algoritmo di integrità: Selezionare l'algoritmo desiderato:

    • SHA1-96
    • SHA1-160
    • SHA2-256 (impostazione predefinita)
    • SHA2-384
    • SHA2-512

  • Gruppo Diffie-Hellman: Selezionare il gruppo desiderato. L'impostazione predefinita è il gruppo 2.

  • Durata (minuti): immettere per quanto tempo l'associazione di sicurezza rimane attiva fino a quando le chiavi non vengono ruotate. Immettere un valore intero compreso tra 10 e 1440 (1440 minuti sono 24 ore). L'impostazione predefinita è 1440.

• Parametri di associazione della sicurezza figlio: iOS/iPadOS consente di configurare parametri separati per la connessione IKE e per qualsiasi connessione figlio. Immettere i parametri utilizzati per la creazione di associazioni di sicurezza figlio con il server VPN:

  • Algoritmo di crittografia: selezionare l'algoritmo desiderato:

    • DES
    • 3DES
    • AES-128
    • AES-256 (impostazione predefinita)
    • AES-128-GCM
    • AES-256-GCM

    Nota

    Se si imposta l'algoritmo di crittografia su AES-128-GCM o AES-256-GCM, viene usato quello AES-256 predefinito. Si tratta di un problema noto e verrà risolto in una versione futura. Non c'è ETA.

• Algoritmo di integrità: Selezionare l'algoritmo desiderato:

  • SHA1-96
  • SHA1-160
  • SHA2-256 (impostazione predefinita)
  • SHA2-384
  • SHA2-512

  Configura anche:

  • Gruppo Diffie-Hellman: Selezionare il gruppo desiderato. L'impostazione predefinita è il gruppo 2.
  • Durata (minuti): immettere per quanto tempo l'associazione di sicurezza rimane attiva fino a quando le chiavi non vengono ruotate. Immettere un valore intero compreso tra 10 e 1440 (1440 minuti sono 24 ore). L'impostazione predefinita è 1440.

Tipo di VPN automatica: selezionare il tipo di VPN da configurare: VPN su richiesta o VPN per app. Assicurati di usare solo un'opzione. L'uso simultaneo di entrambi causa problemi di connessione. Quando questa opzione è impostata su Non configurato (impostazione predefinita), Intune non modifica o aggiorna questa impostazione.

Funzionalità VPN su richiesta in VPN automatico

La VPN su richiesta usa regole per connettere o disconnettere automaticamente la connessione VPN. Quando i dispositivi tentano di connettersi alla VPN, cerca corrispondenze nei parametri e nelle regole creati, ad esempio un nome di dominio corrispondente. Se c'è una corrispondenza, viene eseguita l'azione scelta.

Ad esempio, è possibile creare una condizione in cui la connessione VPN viene usata solo quando un dispositivo non è connesso a una rete aziendale Wi-Fi. Oppure, se un dispositivo non può accedere a un dominio di ricerca DNS immesso, la connessione VPN non viene avviata.

• Regole> su richiestaAggiungi: selezionare Aggiungi per aggiungere una regola. Se non esiste una connessione VPN esistente, usare queste impostazioni per creare una regola su richiesta. Se esiste una corrispondenza con la regola, il dispositivo esegue l'azione selezionata.

  • Per eseguire le operazioni seguenti: Se esiste una corrispondenza tra il valore del dispositivo e la regola su richiesta, selezionare l'azione che si desidera venga eseguita dal dispositivo. Le opzioni disponibili sono:

    • Stabilire una VPN: se esiste una corrispondenza tra il valore del dispositivo e la regola su richiesta, il dispositivo si connette alla VPN.

    • Disconnetti VPN: se esiste una corrispondenza tra il valore del dispositivo e la regola su richiesta, la connessione VPN viene disconnessa.

    • Valutare ogni tentativo di connessione: se esiste una corrispondenza tra il valore del dispositivo e la regola su richiesta, usare l'impostazione Scegli se connettersi per decidere cosa accade per ogni tentativo di connessione VPN:

      • Connettiti se necessario: se il dispositivo è in una rete interna o se è già stata stabilita una connessione VPN alla rete interna, la VPN su richiesta non si connetterà. Queste impostazioni non vengono usate.

        Se non esiste una connessione VPN esistente, per ogni tentativo di connessione VPN decidere se gli utenti devono connettersi usando un nome di dominio DNS. Questa regola si applica solo ai domini nell'elenco Quando gli utenti tentano di accedere a questi domini . Tutti gli altri domini vengono ignorati.

        • Quando gli utenti tentano di accedere a questi domini: Immettere uno o più domini DNS, ad esempio contoso.com. Se gli utenti tentano di connettersi a un dominio in questo elenco, il dispositivo usa il DNS per risolvere i domini immessi. Se il dominio non si risolve, ovvero non ha accesso alle risorse interne, si connette alla VPN su richiesta. Se il dominio viene risolto, ovvero ha già accesso alle risorse interne, non si connette alla VPN.

          Quando gli utenti tentano di accedere a questi domini, l'impostazione è vuota	Il dispositivo utilizza i server DNS configurati sul servizio di connessione di rete (Wi-Fi/ethernet) per risolvere il dominio. L'idea è che questi server DNS siano server pubblici. I domini nell'elenco Quando gli utenti tentano di accedere a questi domini sono risorse interne. Le risorse interne non si trovano in server DNS pubblici e non possono essere risolte. Quindi, il dispositivo si connette alla VPN. A questo punto, il dominio viene risolto usando i server DNS della connessione VPN e la risorsa interna è disponibile. Se il dispositivo si trova nella rete interna, il dominio viene risolto e non viene creata una connessione VPN perché il dominio interno è già disponibile. Non vuoi sprecare risorse VPN sui dispositivi già presenti nella rete interna.
          Quando gli utenti tentano di accedere a questi domini, l'impostazione viene popolata	I server DNS nell'elenco vengono usati per risolvere i domini nell'elenco. L'idea è l'opposto della prima riga (quando gli utenti tentano di accedere a questi domini l'impostazione è vuota). Ad esempio, l'elenco Quando gli utenti tentano di accedere a questi domini ha server DNS interni. Un dispositivo in una rete esterna non può essere indirizzato ai server DNS interni. La risoluzione del nome scade e il dispositivo si connette alla VPN su richiesta. Ora le risorse interne sono disponibili. Tenere presente che queste informazioni si applicano solo ai domini nell'elenco Quando gli utenti tentano di accedere a questi domini . Tutti gli altri domini vengono risolti con server DNS pubblici. Quando il dispositivo è connesso alla rete interna, i server DNS nell'elenco sono accessibili e non è necessario connettersi alla VPN.

        ---

        • Per risolvere questi domini, usare i server DNS seguenti: Immettere uno o più indirizzi IP dei server DNS, ad esempio 10.0.0.22. I server DNS immessi vengono usati per risolvere i domini nell'impostazione Quando gli utenti tentano di accedere a questi domini .

        • Quando questo URL non è raggiungibile, forzare la connessione VPN: opzionale. Immettere un URL di sondaggio HTTP o HTTPS utilizzato dalla regola come test. Immettere ad esempio https://probe.Contoso.com. Questo URL viene verificato ogni volta che un utente tenta di accedere a un dominio nell'impostazione Quando gli utenti tentano di accedere a questi domini . L'utente non vede il sito del probe della stringa URL.

          Se il probe non riesce perché l'URL non è raggiungibile o non restituisce un codice di stato HTTP 200, il dispositivo si connette alla VPN.

          L'idea è che l'URL sia accessibile solo sulla rete interna. Se è possibile accedere all'URL, non è necessaria una connessione VPN. Se non è possibile accedere all'URL, il dispositivo si trova in una rete esterna e si connette alla VPN su richiesta. Una volta stabilita la connessione VPN, le risorse interne sono disponibili.

      • Non connettersi mai: per ogni tentativo di connessione VPN, quando gli utenti tentano di accedere ai domini inseriti, il dispositivo non si connette mai alla VPN.

        • Quando gli utenti tentano di accedere a questi domini: Immettere uno o più domini DNS, ad esempio contoso.com. Se gli utenti tentano di connettersi a un dominio in questo elenco, non viene creata una connessione VPN. Se tentano di connettersi a un dominio non presente in questo elenco, il dispositivo si connette alla VPN.

    • Ignora: se esiste una corrispondenza tra il valore del dispositivo e la regola su richiesta, la connessione VPN viene ignorata.

  • Voglio limitare a: Nell'impostazione Desidero eseguire le operazioni seguenti , se si seleziona Stabilisci VPN, Disconnetti VPN o Ignora, selezionare la condizione che la regola deve soddisfare. Le opzioni disponibili sono:

    • SSID specifici: immettere uno o più nomi di reti wireless a cui si applica la regola. Il nome di rete è SSID (Service Set Identifier). Immettere ad esempio Contoso VPN.
    • Domini di ricerca specifici: immettere uno o più domini DNS a cui si applica la regola. Immettere ad esempio contoso.com.
    • Tutti i domini: selezionare questa opzione per applicare la regola a tutti i domini dell'organizzazione.

  • Ma solo se questo probe URL ha esito positivo: Facoltativo. Immettere un URL utilizzato dalla regola come test. Immettere ad esempio https://probe.Contoso.com. Se il dispositivo accede a questo URL senza reindirizzamento, la connessione VPN viene avviata. Inoltre, il dispositivo si connette all'URL di destinazione. L'utente non vede il sito del probe della stringa URL.

    Ad esempio, l'URL verifica la capacità della VPN di connettersi a un sito prima che il dispositivo si connetta all'URL di destinazione tramite la VPN.

• Impedire agli utenti di disabilitare la VPN automatica: Le opzioni disponibili:

  • Non configurato: Intune non modifica o aggiorna questa impostazione.
  • Sì: impedisce agli utenti di disattivare la VPN automatica. Obbliga gli utenti a mantenere la VPN automatica abilitata e in esecuzione.
  • No: consente agli utenti di disattivare la VPN automatica.

  Questa impostazione si applica a:

  • iOS 14 e versioni successive
  • iPadOS 14 e versioni più recenti

Funzionalità VPN per app nella VPN automatica

Abilita la VPN per app associando questa connessione VPN a un'app specifica. Quando l'app viene eseguita, viene avviata la connessione VPN. È possibile associare il profilo VPN a un'app quando si assegna il software o il programma dell'app. Per altre informazioni, vedere Come assegnare e monitorare le app.

La VPN per app non è supportata in una connessione IKEv2. Per altre informazioni, vedere Configurare una VPN per app per i dispositivi iOS/iPadOS.

• Tipo di provider: disponibile solo per Pulse Secure e VPN personalizzata.

  Quando si utilizzano profili VPN per app con Pulse Secure o una VPN personalizzata, scegliere il tunneling a livello di app (app-proxy) o il tunneling a livello di pacchetto (packet-tunnel):

  • app-proxy: seleziona questa opzione per il tunneling a livello di app.
  • packet-tunnel: selezionare questa opzione per il tunneling a livello di pacchetto.

  Se non sei sicuro di quale opzione utilizzare, controlla la documentazione del tuo provider VPN.

• URL di Safari che attiveranno questa VPN: Aggiungere uno o più URL di siti Web. Quando questi URL vengono visitati utilizzando il browser Safari sul dispositivo, la connessione VPN viene stabilita automaticamente. Immettere ad esempio contoso.com.

• Domini associati: immettere i domini associati nel profilo VPN da usare con questa connessione VPN.

  Per ulteriori informazioni, vedere domini associati.

• Domini esclusi: immettere i domini che possono ignorare la connessione VPN quando è connessa una VPN per app. Immettere ad esempio contoso.com. Il traffico verso il contoso.com dominio utilizza la rete Internet pubblica anche se la VPN è connessa.

• Impedire agli utenti di disabilitare la VPN automatica: Le opzioni disponibili:

  • Non configurato: Intune non modifica o aggiorna questa impostazione.
  • Sì: impedisce agli utenti di disattivare l'interruttore Connetti su richiesta nelle impostazioni del profilo VPN. Impone agli utenti di mantenere abilitate e in esecuzione le regole VPN o su richiesta per app.
  • No: consente agli utenti di disattivare l'interruttore Connessione su richiesta, che disabilita le regole VPN per app e On-demand.

  Questa impostazione si applica a:

  • iOS 14 e versioni successive
  • iPadOS 14 e versioni più recenti

Selezionare il tipo di VPN automatico desiderato. Le opzioni disponibili sono:

• Non configurato: Intune non modifica o aggiorna questa impostazione.

• VPN su richiesta: la VPN su richiesta usa regole per connettere o disconnettere automaticamente la connessione VPN. Quando i dispositivi tentano di connettersi alla VPN, cerca corrispondenze nei parametri e nelle regole creati, ad esempio un indirizzo IP o un nome di dominio corrispondente. Se c'è una corrispondenza, viene eseguita l'azione scelta.

  Ad esempio, crea una condizione in cui la connessione VPN viene usata solo quando un dispositivo non è connesso a una rete aziendale Wi-Fi. Oppure, se un dispositivo non può accedere a un dominio di ricerca DNS immesso, la connessione VPN non viene avviata.

  • Aggiungi: seleziona questa opzione e aggiungi una regola.

  • Desidero effettuare le seguenti operazioni: Se esiste una corrispondenza tra il valore del dispositivo e la regola su richiesta, seleziona l'azione. Le opzioni disponibili sono:

    • Connessione VPN
    • Disconnetti VPN
    • Valutare ogni tentativo di connessione
    • Ignore

  • Voglio limitare a: Selezionare la condizione che la regola deve soddisfare. Le opzioni disponibili sono:

    • SSID specifici: immettere uno o più nomi di reti wireless a cui si applica la regola. Il nome di rete è SSID (Service Set Identifier). Immettere ad esempio Contoso VPN.
    • Domini di ricerca specifici: immettere uno o più domini DNS a cui si applica la regola. Immettere ad esempio contoso.com.
    • Tutti i domini: selezionare questa opzione per applicare la regola a tutti i domini dell'organizzazione.

  • Ma solo se questo probe URL ha esito positivo: Facoltativo. Immettere un URL utilizzato dalla regola come test. Se il dispositivo accede a questo URL senza reindirizzamento, la connessione VPN viene avviata. Inoltre, il dispositivo si connette all'URL di destinazione. L'utente non vede il sito del probe della stringa URL.

    Ad esempio, un probe stringa URL è un URL di un server Web di controllo che verifica la conformità del dispositivo prima di connettere la VPN. In alternativa, l'URL verifica la capacità della VPN di connettersi a un sito prima che il dispositivo si connetta all'URL di destinazione tramite la VPN.

• Impedire agli utenti di disabilitare la VPN automatica: Le opzioni disponibili:

  • Non configurato: Intune non modifica o aggiorna questa impostazione.
  • Sì: impedisce agli utenti di disattivare la VPN automatica. Obbliga gli utenti a mantenere la VPN automatica abilitata e in esecuzione.
  • No: consente agli utenti di disattivare la VPN automatica.

  Questa impostazione si applica a:

  • macOS 11 e versioni più recenti (Big Sur)

• VPN per app: Abilita la VPN per app associando questa connessione VPN a un'app macOS. Quando l'app viene eseguita, viene avviata la connessione VPN. È possibile associare il profilo VPN a un'app quando si assegna il software. Per altre informazioni, vedi Come assegnare e monitorare le app.

  • URL di Safari che attiveranno questa VPN: Aggiungere uno o più URL di siti Web. Quando questi URL vengono visitati utilizzando il browser Safari sul dispositivo, la connessione VPN viene stabilita automaticamente.

  • Domini associati: immettere i domini associati nel profilo VPN che avviano automaticamente la connessione VPN. Immettere ad esempio contoso.com. I dispositivi nel contoso.com dominio avviano automaticamente la connessione VPN.

    Per altre informazioni, vedi domini associati.

  • Domini esclusi: immettere i domini che possono ignorare la connessione VPN quando è connessa una VPN per app. Immettere ad esempio contoso.com. I dispositivi nel contoso.com dominio non si avvieranno o non utilizzeranno la connessione VPN per app. I dispositivi nel dominio contoso.com usano la rete Internet pubblica.

  • Impedire agli utenti di disabilitare la VPN automatica: Le opzioni disponibili:

    • Non configurato: Intune non modifica o aggiorna questa impostazione.
    • Sì: impedisce agli utenti di disattivare la VPN automatica. Obbliga gli utenti a mantenere la VPN automatica abilitata e in esecuzione.
    • No: consente agli utenti di disattivare la VPN automatica.

    Questa impostazione si applica a:

    • macOS 11 e versioni più recenti (Big Sur)

VPN per app

Queste impostazioni si applicano ai seguenti tipi di connessione VPN:

• Microsoft Tunnel

Impostazioni:

• VPN per app: abilita Associa un'app specifica a questa connessione VPN. Quando l'app è in esecuzione, il traffico viene instradato automaticamente attraverso la connessione VPN. È possibile associare il profilo VPN a un'app quando si assegna il software. Per altre informazioni, vedere Come assegnare e monitorare le app.

  Per altre informazioni, vedere Microsoft Tunnel per Intune.

• URL di Safari che attiveranno questa VPN: Aggiungere uno o più URL di siti Web. Quando questi URL vengono visitati utilizzando il browser Safari sul dispositivo, la connessione VPN viene stabilita automaticamente. Immettere ad esempio contoso.com.

• Domini associati: immettere i domini associati nel profilo VPN da usare con questa connessione VPN.

  Per ulteriori informazioni, vedere domini associati.

• Domini esclusi: immettere i domini che possono ignorare la connessione VPN quando è connessa una VPN per app. Immettere ad esempio contoso.com. Il traffico verso il contoso.com dominio utilizza la rete Internet pubblica anche se la VPN è connessa.