Impostazioni di Windows e del dispositivo Windows Holographic per l'aggiunta di connessioni VPN tramite Intune

È possibile aggiungere e configurare connessioni VPN per i dispositivi che usano Microsoft Intune. In questo articolo vengono descritte alcune delle impostazioni e delle funzionalità che è possibile configurare durante la creazione di reti private virtuali (VPN). Queste impostazioni VPN vengono usate nei profili di configurazione dei dispositivi, quindi sottoposte a push o distribuite nei dispositivi.

Come parte della soluzione di gestione dei dispositivi mobili (MDM), usare queste impostazioni per abilitare o disabilitare le funzionalità, incluso l'uso di un fornitore VPN specifico, l'abilitazione di Always On, l'uso di DNS, l'aggiunta di un proxy e altro ancora.

Queste impostazioni si applicano ai dispositivi che eseguono quanto segue:

• Windows
• Windows Holographic for Business

Prima di iniziare

• Distribuire l'app VPN e creare un profilo di configurazione del dispositivo VPN client Windows. Le impostazioni disponibili dipendono dall'app client VPN scelta. Alcune impostazioni sono disponibili solo per client VPN specifici.

• Alcuni servizi di Microsoft 365, ad esempio Outlook, potrebbero non funzionare correttamente usando VPN di terze parti o partner. Se usi una VPN di terze parti o partner e riscontri un problema di latenza o prestazioni, rimuovi la VPN.

  Se la rimozione della VPN risolve il comportamento, è possibile:

  • Collabora con la VPN di terze parti o partner per le possibili soluzioni. Microsoft non fornisce supporto tecnico per VPN di terze parti o partner.
  • Non utilizzare una VPN con traffico Outlook.
  • Se è necessario usare una VPN, usare una VPN con split tunneling. Inoltre, consentire al traffico di Outlook di ignorare la VPN.

  Per altre informazioni, vedere:

  • Panoramica: split tunneling VPN per Microsoft 365
  • Uso di soluzioni o dispositivi di rete di terze parti con Microsoft 365
  • Principi della connettività di rete di Microsoft 365

• Queste impostazioni usano il provider di servizi di configurazione VPNv2.

Ambito utente o Ambito dispositivo

• Utilizzare questo profilo VPN con un ambito utente/dispositivo: Applicare il profilo all'ambito utente o all'ambito dispositivo:

  • Ambito utente: il profilo VPN è installato nell'account dell'utente nel dispositivo, ad esempio user@contoso.com. Se un altro utente accede al dispositivo, il profilo VPN non è disponibile.
  • Ambito dispositivo: il profilo VPN viene installato nel contesto del dispositivo e si applica a tutti gli utenti del dispositivo. I dispositivi Windows Holographic supportano solo l'ambito del dispositivo.

I profili VPN esistenti si applicano all'ambito esistente. Per impostazione predefinita, i nuovi profili VPN vengono installati nell'ambito utente, ad eccezione dei profili con il tunnel del dispositivo abilitato. Profili VPN con tunnel del dispositivo abilitato Usare l'ambito dispositivo.

Tipo di connessione

• Tipo di connessione: Selezionare il tipo di connessione VPN dall'elenco seguente di fornitori:

  • Check Point Capsule VPN
  • Cisco AnyConnect
  • Citrix
  • Accesso F5
  • Palo Alto Networks GlobalProtect
  • Pulse Secure
  • SonicWall Mobile Connect
  • Automatico (tipo nativo)
  • IKEv2 (tipo nativo)
  • L2TP (tipo nativo)
  • PPTP (tipo nativo)

Base VPN

A seconda del tipo di connessione selezionato, vengono visualizzate le seguenti impostazioni. Non tutte le impostazioni sono disponibili per tutti i tipi di connessione.

• Nome connessione: immettere un nome per questa connessione. Gli utenti finali vedono questo nome quando cercano nel dispositivo l'elenco delle connessioni VPN disponibili. Immettere ad esempio Contoso VPN.

• Server: aggiungere uno o più server VPN a cui si connettono i dispositivi. Quando si aggiunge un server, si immettono le informazioni seguenti:

  • Importa: passare a un file separato da virgole che include un elenco di server nel formato: descrizione, indirizzo IP o FQDN, server predefinito. Scegliere OK per importare questi server nell'elenco Server .
  • Esporta: esporta l'elenco esistente di server in un file con valori separati da virgole (csv).
  • Descrizione: immettere un nome descrittivo per il server, ad esempio Server VPN Contoso.
  • Indirizzo server VPN: immettere l'indirizzo IP o il nome di dominio completo (FQDN) del server VPN a cui si connettono i dispositivi, ad esempio 192.168.1.1 o vpn.contoso.com.
  • Server predefinito: True abilita questo server come server predefinito usato dai dispositivi per stabilire la connessione. Impostare un solo server come predefinito. Falso (impostazione predefinita) non usa questo server VPN come server predefinito.

• Registra gli indirizzi IP con il DNS interno: selezionare Abilita per configurare il profilo VPN per registrare dinamicamente gli indirizzi IP assegnati all'interfaccia VPN con il DNS interno. Selezionare Disabilita per non registrare dinamicamente gli indirizzi IP.

• Always On: Abilita si connette automaticamente alla connessione VPN quando si verificano gli eventi seguenti:

  • Gli utenti accedono ai propri dispositivi.
  • La rete nel dispositivo cambia.
  • Lo schermo del dispositivo si riattiva dopo lo spegnimento.

  Per usare le connessioni del tunnel di dispositivo, ad esempio IKEv2, abilitare questa impostazione.

  Se disabiliti non attivi automaticamente la connessione VPN. Gli utenti potrebbero dover attivare manualmente la VPN.

• Metodo di autenticazione: selezionare la modalità di autenticazione degli utenti nel server VPN. Le opzioni disponibili sono:

  • Certificati: selezionare un profilo di certificato client utente esistente per autenticare l'utente. Questa opzione offre funzionalità avanzate, ad esempio l'esperienza zero-touch, la VPN su richiesta e la VPN per app.

    Per creare profili di certificato in Intune, vedere Utilizzare i certificati per l'autenticazione.

  • Nome utente e password: richiedi agli utenti di immettere il nome utente e la password del dominio per eseguire l'autenticazione, ad esempio user@contoso.com, o contoso\user.

  • Credenziali derivate: usare un certificato derivato dalla smart card di un utente. Se non è configurata alcuna autorità di certificazione delle credenziali derivata, Intune richiede di aggiungerne una. Per altre informazioni, vedere Usare credenziali derivate in Intune.

    Nota

    Attualmente, le credenziali derivate come metodo di autenticazione per i profili VPN non funzionano come previsto nei dispositivi Windows. Questo comportamento influisce solo sui profili VPN nei dispositivi Windows e verrà corretto in una versione futura (nessun ETA).

  • EAP (solo IKEv2): selezionare un profilo di certificato client EAP (Extensible Authentication Protocol) esistente per l'autenticazione. Immettere i parametri di autenticazione nell'impostazione EAP XML .

    Per ulteriori informazioni sull'autenticazione EAP, vedere EAP (Extensible Authentication Protocol) per l'accesso alla rete e la configurazione EAP.

  • Certificati computer (solo IKEv2): selezionare un profilo di certificato client del dispositivo esistente per autenticare il dispositivo.

    Se si utilizzano connessioni tunnel di dispositivo, è necessario selezionare Certificati computer.

    Per creare profili di certificato in Intune, vedere Utilizzare i certificati per l'autenticazione.

• Memorizza le credenziali a ogni accesso: Abilita memorizza nella cache le credenziali di autenticazione. Se impostata su Non configurato, Intune non modifica o aggiorna questa impostazione. Per impostazione predefinita, il sistema operativo potrebbe non memorizzare nella cache le credenziali di autenticazione.

• XML personalizzato: immettere i comandi XML personalizzati che configurano la connessione VPN.

• EAP XML: immettere i comandi EAP XML che configurano la connessione VPN.

  Per ulteriori informazioni, inclusa la creazione di un codice XML EAP personalizzato, vedere Configurazione EAP.

• Tunnel del dispositivo (solo IKEv2): Abilita connette automaticamente il dispositivo alla VPN senza alcuna interazione o accesso da parte dell'utente. Questa impostazione si applica ai dispositivi collegati a Microsoft Entra ID.

  Per usare questa funzionalità, è necessario configurare le impostazioni seguenti:

  • Tipo di connessione: impostato su IKEv2.
  • Always On: impostato su Abilita.
  • Metodo di autenticazione: impostato su Certificati macchina.

  Assegna un solo profilo per dispositivo con il tunnel del dispositivo abilitato.

Parametri delle associazioni di sicurezza IKE (solo IKEv2)

Queste impostazioni di crittografia vengono utilizzate durante le negoziazioni dell'associazione di sicurezza IKE (nota anche come main mode o phase 1) per le connessioni IKEv2. Queste impostazioni devono corrispondere alle impostazioni del server VPN. Se le impostazioni non corrispondono, il profilo VPN non si connette.

• Algoritmo di crittografia: selezionare l'algoritmo di crittografia usato nel server VPN. Ad esempio, se il tuo server VPN utilizza AES a 128 bit, seleziona AES-128 dall'elenco.

  Se impostata su Non configurato, Intune non modifica o aggiorna questa impostazione.

• Algoritmo di controllo dell'integrità: selezionare l'algoritmo di integrità utilizzato nel server VPN. Ad esempio, se il server VPN utilizza SHA1-96, selezionare SHA1-96 dall'elenco.

  Se impostata su Non configurato, Intune non modifica o aggiorna questa impostazione.

• Gruppo Diffie-Hellman: selezionare il gruppo di calcolo Diffie-Hellman utilizzato sul server VPN. Ad esempio, se il tuo server VPN utilizza Group2 (1024 bit), seleziona 2 dall'elenco.

  Se impostata su Non configurato, Intune non modifica o aggiorna questa impostazione.

Parametri di associazione di sicurezza figlio (solo IKEv2)

Queste impostazioni di crittografia vengono utilizzate durante le negoziazioni delle associazioni di sicurezza figlio (note anche come quick mode o phase 2) per le connessioni IKEv2. Queste impostazioni devono corrispondere alle impostazioni del server VPN. Se le impostazioni non corrispondono, il profilo VPN non si connette.

• Algoritmo di trasformazione della crittografia: selezionare l'algoritmo usato nel server VPN. Ad esempio, se il server VPN utilizza AES-CBC a 128 bit, selezionare CBC-AES-128 dall'elenco.

  Se impostata su Non configurato, Intune non modifica o aggiorna questa impostazione.

• Algoritmo di trasformazione dell'autenticazione: selezionare l'algoritmo usato nel server VPN. Ad esempio, se il server VPN utilizza AES-GCM a 128 bit, selezionare GCM-AES-128 dall'elenco.

  Se impostata su Non configurato, Intune non modifica o aggiorna questa impostazione.

• Gruppo Perfect Forward Secrecy (PFS): selezionare il gruppo di calcolo Diffie-Hellman utilizzato per Perfect Forward Secrecy (PFS) sul server VPN. Ad esempio, se il tuo server VPN utilizza Group2 (1024 bit), seleziona 2 dall'elenco.

  Se impostata su Non configurato, Intune non modifica o aggiorna questa impostazione.

Esempio di Pulse Secure

<pulse-schema><isSingleSignOnCredential>true</isSingleSignOnCredential></pulse-schema>

Esempio di client F5 Edge

<f5-vpn-conf><single-sign-on-credential /></f5-vpn-conf>

Esempio di SonicWALL Mobile Connect

Gruppo di accesso o dominio: questa proprietà non può essere impostata nel profilo VPN. Al contrario, Mobile Connect analizza questo valore quando il nome utente e il dominio vengono immessi nei username@domain formati OR DOMAIN\username .

Esempio:

<MobileConnect><Compression>false</Compression><debugLogging>True</debugLogging><packetCapture>False</packetCapture></MobileConnect>

Esempio di VPN per dispositivi mobili CheckPoint

<CheckPointVPN port="443" name="CheckPointSelfhost" sso="true" debug="3" />

App e regole del traffico

• Associare Windows Information Protection o le app a questa VPN: abilitare questa impostazione se si vuole che solo alcune app usino la connessione VPN. Le opzioni disponibili sono:

  • Non configurato (impostazione predefinita): Intune non modifica o aggiorna questa impostazione.
  • Associare un Windows Information Protection a questa connessione: Tutte le app nel dominio di Windows Identity Protection usano automaticamente la connessione VPN.
    • Dominio WIP per questa connessione: immettere un dominio di Windows Identity Protection (WIP). Immettere ad esempio contoso.com.
  • Associa le app a questa connessione: le app immesse usano automaticamente la connessione VPN.

    • Limitare la connessione VPN a queste app: Disabilitato (impostazione predefinita) consente a tutte le app di usare la connessione VPN. Abilita limita la connessione VPN alle app immesse (VPN per app). Le regole del traffico per le app aggiunte vengono aggiunte automaticamente alle regole del traffico di rete per questa impostazione della connessione VPN .

      Quando si seleziona Abilita, l'elenco degli identificatori dell'app diventa di sola lettura. Prima di abilitare questa impostazione, aggiungere le app associate.

    • App associate: seleziona Importa per importare un .csv file con l'elenco di app. Ha un aspetto .csv simile al file seguente:

      %windir%\system32\notepad.exe,desktop Microsoft.Office.OneNote_8wekyb3d8bbwe,universal

      Il tipo di app determina l'identificatore dell'app. Per un'app universale, immetti il nome della famiglia di pacchetti, ad esempio Microsoft.Office.OneNote_8wekyb3d8bbwe. Per un'app desktop, immetti il percorso del file dell'app, ad esempio %windir%\system32\notepad.exe.

      Per ottenere il nome della famiglia di pacchetti, è possibile usare il cmdlet di Get-AppxPackage Windows PowerShell. Ad esempio, per ottenere il nome della famiglia di pacchetti OneNote, aprire Windows PowerShell e immettere Get-AppxPackage *OneNote. Per altre informazioni, vedi Trovare un PFN per un'app installata in un computer client Windows e il cmdlet Get-AppxPackage.

  Importante

  È consigliabile proteggere tutti gli elenchi di app creati per le VPN per app. Se un utente non autorizzato modifica questo elenco e lo si importa nell'elenco delle app VPN per app, è possibile autorizzare l'accesso VPN alle app che non devono accedervi. Un modo per proteggere gli elenchi di app consiste nell'usare un elenco di controllo di accesso (ACL).

• Regole del traffico di rete per questa connessione VPN: è possibile aggiungere regole di rete applicabili a questa connessione VPN. Usare questa funzionalità per filtrare il traffico di rete verso questa connessione VPN.

  • Se crei una regola per il traffico di rete, la VPN usa solo i protocolli, le porte e gli intervalli di indirizzi IP inseriti in questa regola.
  • Se non si crea una regola per il traffico di rete, tutti i protocolli, le porte e gli intervalli di indirizzi sono abilitati per questa connessione VPN.

  Quando si aggiungono regole del traffico, per evitare problemi VPN, è consigliabile aggiungere una regola catch-all che sia il meno restrittiva.

  Selezionare Aggiungi per creare una regola e immettere le informazioni seguenti. Puoi anche importare un .csv file con queste informazioni.

  • Nome: immettere un nome per la regola del traffico di rete.

  • Tipo di regola: immettere il metodo tunnel per questa regola. Questa impostazione si applica solo quando la regola è associata a un'app. Le opzioni disponibili sono:

    • Nessuno (impostazione predefinita)
    • Split tunneling: questa opzione fornisce ai dispositivi client due connessioni contemporaneamente. Una connessione è sicura ed è progettata per mantenere privato il traffico di rete. La seconda connessione è aperta alla rete e consente il passaggio del traffico Internet.
    • Tunnel forzato: tutto il traffico di rete in questa regola passa attraverso la VPN. In questa regola il traffico di rete non viene indirizzato direttamente a Internet.

  • Direzione: seleziona il flusso del traffico di rete consentito dalla connessione VPN. Le opzioni disponibili sono:

    • In ingresso: consente solo il traffico proveniente da siti esterni tramite VPN. L'ingresso del traffico in uscita è bloccato dalla VPN.
    • In uscita (impostazione predefinita): consente solo il traffico verso siti esterni tramite VPN. L'ingresso del traffico in entrata nella VPN è bloccato.

    Per consentire l'ingresso e l'uscita, creare due regole separate. Creare una regola per le entrate e un'altra regola per quelle in uscita.

  • Protocollo: immettere il numero di porta del protocollo di rete che si desidera venga utilizzato dalla VPN, da 0 a 255. Ad esempio, immettere 6 per TCP o 17 UDP.

    Quando immetti un protocollo, connetti due reti tramite lo stesso protocollo. Se si utilizzano i protocolli TPC (6) o UDP (17), è necessario immettere anche gli intervalli di porte locali & remote consentiti e gli intervalli di indirizzi IP locali & remoti consentiti.

    Puoi anche importare un .csv file con queste informazioni.

  • Intervalli di porte locali: se si usano i protocolli TPC (6) o UDP (17), immettere gli intervalli di porte della rete locale consentiti. Ad esempio, immettere 100 per la porta inferiore e 120 per la porta superiore.

    È possibile creare un elenco di intervalli di porte consentiti, ad esempio 100-120, 200, 300-320. Per una singola porta, immettere lo stesso numero di porta in entrambi i campi.

    Puoi anche importare un .csv file con queste informazioni.

  • Intervalli di porte remote: se si usano i protocolli TPC (6) o UDP (17), immettere gli intervalli di porte di rete remota consentiti. Ad esempio, immettere 100 per la porta inferiore e 120 per la porta superiore.

    È possibile creare un elenco di intervalli di porte consentiti, ad esempio 100-120, 200, 300-320. Per una singola porta, immettere lo stesso numero di porta in entrambi i campi.

    Puoi anche importare un .csv file con queste informazioni.

  • Intervalli di indirizzi locali: immettere gli intervalli di indirizzi IPv4 consentiti per la rete locale che possono usare la VPN. Solo gli indirizzi IP dei dispositivi client in questo intervallo usano questa VPN.

    Ad esempio, immettere 10.0.0.22 per la porta inferiore e 10.0.0.122 per la porta superiore.

    È possibile creare un elenco di indirizzi IP consentiti. Per un singolo indirizzo IP, immettere lo stesso indirizzo IP in entrambi i campi.

    Puoi anche importare un .csv file con queste informazioni.

  • Intervalli di indirizzi remoti: immettere gli intervalli di indirizzi IPv4 della rete remota consentiti che possono usare la VPN. Solo gli indirizzi IP in questo intervallo usano questa VPN.

    Ad esempio, immettere 10.0.0.22 per la porta inferiore e 10.0.0.122 per la porta superiore.

    È possibile creare un elenco di indirizzi IP consentiti. Per un singolo indirizzo IP, immettere lo stesso indirizzo IP in entrambi i campi.

    Puoi anche importare un .csv file con queste informazioni.

Accesso condizionale

• Accesso condizionale per questa connessione VPN: abilita il flusso di conformità del dispositivo dal client. Quando abilitato, il client VPN comunica con Microsoft Entra ID per ottenere un certificato da usare per l'autenticazione. La VPN deve essere configurata per l'utilizzo dell'autenticazione del certificato e il server VPN deve considerare attendibile il server restituito da Microsoft Entra ID.

• Single Sign-On (SSO) con certificato alternativo: Per la conformità del dispositivo, usare un certificato diverso dal certificato di autenticazione VPN per l'autenticazione Kerberos. Immettere il certificato con le impostazioni seguenti:

  • Nome: Nome per l'utilizzo esteso delle chiavi (EKU)
  • Identificatore oggetto: identificatore oggetto per EKU
  • Hash autorità emittente: identificazione personale per certificato SSO

Impostazioni DNS

• Elenco di ricerca suffisso DNS: Nei suffissi DNS immettere un suffisso DNS e Aggiungi. È possibile aggiungere molti suffissi.

  Quando si usano i suffissi DNS, è possibile cercare una risorsa di rete usando il nome breve, anziché il nome di dominio completo (FQDN). Quando si esegue una ricerca usando il nome breve, il suffisso viene determinato automaticamente dal server DNS. Ad esempio, utah.contoso.com è nell'elenco dei suffissi DNS. Ping DEV-comp. In questo scenario, si risolve in DEV-comp.utah.contoso.com.

  I suffissi DNS vengono risolti nell'ordine elencato e l'ordine può essere modificato. Ad esempio, colorado.contoso.com e utah.contoso.com sono presenti nell'elenco dei suffissi DNS ed entrambi hanno una risorsa denominata DEV-comp. Poiché colorado.contoso.com è il primo della lista, si risolve come DEV-comp.colorado.contoso.com.

  Per modificare l'ordine, selezionare i punti a sinistra del suffisso DNS e quindi trascinare il suffisso verso l'alto:

  

• Regole della tabella dei criteri di risoluzione dei nomi (NRPT): le regole della tabella dei criteri di risoluzione dei nomi (NRPT) definiscono il modo in cui DNS risolve i nomi quando è connesso alla VPN. Dopo aver stabilito la connessione VPN, scegli quali server DNS utilizzare la connessione VPN.

  È possibile aggiungere regole che includono il dominio, il server DNS, il proxy e altri dettagli. Queste regole risolvono il dominio immesso. La connessione VPN usa queste regole quando gli utenti si connettono ai domini immessi.

  Selezionare Aggiungi per aggiungere una nuova regola. Per ogni server, immettere:

  • Dominio: immettere il nome di dominio completo (FQDN) o un suffisso DNS per applicare la regola. È anche possibile immettere un punto (.) all'inizio per un suffisso DNS. Ad esempio, immetti contoso.com o .allcontososubdomains.com.
  • Server DNS: immettere l'indirizzo IP o il server DNS che risolve il dominio. Ad esempio, immetti 10.0.0.3 o vpn.contoso.com.
  • Proxy: immettere il server proxy Web che risolve il dominio. Immettere ad esempio http://proxy.com.
  • Connessione automatica: se abilitata, il dispositivo si connette automaticamente alla VPN quando un dispositivo si connette a un dominio immesso, ad esempio contoso.com. Se non configurato (impostazione predefinita), il dispositivo non si connette automaticamente alla rete VPN
  • Persistente: se impostata su Abilitato, la regola rimane nella tabella Criteri di risoluzione dei nomi (NRPT) fino a quando non viene rimossa manualmente dal dispositivo, anche dopo la disconnessione della VPN. Se impostata su Non configurato (impostazione predefinita), le regole NRPT nel profilo VPN vengono rimosse dal dispositivo quando la VPN viene disconnessa.

Proxy

• Script di configurazione automatica: usare un file per configurare il server proxy. Immettere l'URL del server proxy che include il file di configurazione. Immettere ad esempio http://proxy.contoso.com/pac.
• Indirizzo: immettere l'indirizzo IP o il nome host completo del server proxy. Ad esempio, immetti 10.0.0.3 o vpn.contoso.com.
• Numero di porta: immettere il numero di porta usato dal server proxy. Immettere ad esempio 8080.
• Bypass proxy per gli indirizzi locali: questa impostazione si applica se il server VPN richiede un server proxy per la connessione. Se non si vuole usare un server proxy per gli indirizzi locali, scegliere Abilita.

Split Tunneling

• Split tunneling: abilita o disabilita per consentire ai dispositivi di decidere quale connessione usare in base al traffico. Ad esempio, un utente di un hotel usa la connessione VPN per accedere ai file aziendali, ma usa la rete standard dell'hotel per la normale navigazione Web.
• Route di split tunneling per questa connessione VPN: aggiungere route facoltative per i provider VPN di terze parti. Immettere un prefisso di destinazione e le dimensioni di un prefisso per ogni connessione.

Rilevamento rete attendibile

Suffissi DNS di rete attendibili: quando gli utenti sono già connessi a una rete attendibile, è possibile impedire ai dispositivi di connettersi automaticamente ad altre connessioni VPN.

Nei suffissi DNS immettere un suffisso DNS che si vuole considerare attendibile, ad esempio contoso.com, e selezionare Aggiungi. È possibile aggiungere tutti i suffissi desiderati.

Se un utente è connesso a un suffisso DNS nell'elenco, l'utente non si connetterà automaticamente a un'altra connessione VPN. L'utente continua a usare l'elenco attendibile di suffissi DNS immessi. La rete attendibile viene comunque usata, anche se sono impostati trigger automatici.

Ad esempio, se l'utente è già connesso a un suffisso DNS attendibile, i trigger automatici seguenti vengono ignorati. In particolare, i suffissi DNS nell'elenco annullano tutti gli altri attivatori automatici della connessione, tra cui:

• Sempre attivo
• Trigger basato su app
• Attivazione automatica DNS

Articoli correlati

Assicurarsi di assegnare il profilo e monitorarne lo stato.

Configurare le impostazioni VPN nei dispositivi Android e iOS/iPadOS e macOS .