Microsoft Tunnel per Microsoft Intune

Microsoft Tunnel è una soluzione gateway VPN per Microsoft Intune che viene eseguita in un contenitore su Linux e consente l'accesso alle risorse locali da dispositivi iOS/iPadOS e Android Enterprise usando l'autenticazione moderna e l'accesso condizionale.

Questo articolo presenta il tunnel Microsoft principale, il suo funzionamento e la sua architettura.

Se sei pronto per distribuire Microsoft Tunnel, vedi Prerequisiti per Microsoft Tunnel, quindi Configura Microsoft Tunnel.

Dopo aver distribuito Microsoft Tunnel, è possibile scegliere di aggiungere Microsoft Tunnel per la gestione di applicazioni per dispositivi mobili (Tunnel for MAM). Tunnel per MAM estende il gateway VPN di Microsoft Tunnel per supportare i dispositivi che eseguono Android o iOS e che non sono registrati con Microsoft Intune. Tunnel per MAM è una funzionalità avanzata di Microsoft Intune che richiede licenze aggiuntive oltre a Microsoft Intune.

Panoramica di Microsoft Tunnel

Microsoft Tunnel Gateway viene installato in un contenitore eseguito su un server Linux. Il server Linux può essere una scatola fisica nell'ambiente locale o una macchina virtuale eseguita in locale o nel cloud. Per configurare Tunnel, distribuisci Microsoft Defender come app client Microsoft Tunnel e profili VPN di Intune nei dispositivi iOS e Android. L'app client e il profilo VPN consentono ai dispositivi di usare il tunnel per connettersi alle risorse aziendali. Quando il tunnel è ospitato nel cloud, è necessario usare una soluzione come Azure ExpressRoute per estendere la rete locale al cloud.

Funzionalità

Le caratteristiche dei profili VPN per il tunnel includono:

• Un nome descrittivo per la connessione VPN visibile agli utenti finali.

• Il sito a cui si connette il client VPN.

• Configurazioni VPN per app che definiscono per quali app viene usato il profilo VPN e se è sempre attivo o meno. Quando è sempre attiva, la VPN si connette automaticamente e viene usata solo per le app definite. Se non viene definita alcuna app, la connessione sempre attiva fornisce l'accesso tunnel per tutto il traffico di rete dal dispositivo.

• Per i dispositivi iOS con Microsoft Defender configurato per supportare VPN per app e la modalità TunnelOnly impostata su True, gli utenti non devono aprire o accedere a Microsoft Defender sul proprio dispositivo per usare il tunnel. Invece, quando l'utente ha eseguito l'accesso al Portale aziendale nel dispositivo o a qualsiasi altra app che usa l'autenticazione a più fattori con un token valido per l'accesso, il tunnel VPN per app viene usato automaticamente. La modalità TunnelOnly è supportata per iOS/iPadOS e disabilita la funzionalità Defender, lasciando solo le funzionalità del tunnel.

• Connessioni manuali al tunnel quando un utente avvia la VPN e seleziona Connetti.

• Regole VPN su richiesta che consentono l'uso della VPN quando vengono soddisfatte le condizioni per specifici FQDN o indirizzi IP. (iOS/iPadOS)

• Supporto proxy. (iOS/iPadOS, Android 11+)

• Strict Tunnel Mode, che blocca tutto il traffico di rete quando la connessione VPN si interrompe, assicurando che nessun dato bypassi il tunnel. Per i dispositivi Android registrati, la modalità tunnel strict è disponibile quando è abilitata la VPN sempre attiva. Per altre informazioni, vedere Configurare Microsoft Tunnel. Per i dispositivi non registrati che usano il tunnel MAM, la modalità tunnel strict viene configurata tramite i criteri di configurazione dell'app Microsoft Edge. Per altre informazioni, vedere Microsoft Tunnel per MAM. (Android)

• Rilevamento root di Android. Il client Microsoft Defender blocca automaticamente l'accesso di un dispositivo a Microsoft Tunnel se identifica che il dispositivo è rootato.

  Quando un dispositivo viene identificato come rootato, il client contrassegna immediatamente la categoria di rischio del dispositivo come Alta, elimina le connessioni del tunnel attive e continua a bloccare l'accesso fino a quando il dispositivo non viene determinato come conforme. L'utente del dispositivo riceve una notifica relativa a questo stato dal client Defender.

  Questa funzionalità non sostituisce l'uso dei criteri di conformità di Intune per Android per gestire le impostazioni per i dispositivi rooted, riprodurre il verdetto di integrità e richiedere che il dispositivo sia al livello di minaccia del dispositivo o inferiore. L'uso dei criteri di conformità di Intune per gestire le impostazioni delle chiavi per Android supporta il modello di sicurezza Microsoft Zero Trust per i dispositivi Android Enterprise di proprietà personale e completamente gestiti.

Panoramica della configurazione

Tramite l'interfaccia di amministrazione di Microsoft Intune, potrai:

• Scaricare lo script di installazione di Microsoft Tunnel eseguito nei server Linux.
• Configura gli aspetti di Microsoft Tunnel Gateway come indirizzi IP, server DNS e porte.
• Distribuire i profili VPN ai dispositivi per indirizzarli all'uso del tunnel.
• Distribuisci Microsoft Defender (l'app client Tunnel) nei dispositivi.

Tramite l'app Defender, dispositivi iOS/iPadOS e Android Enterprise:

• Utilizzare Microsoft Entra ID per eseguire l'autenticazione nel tunnel.
• Utilizzare Active Directory Federation Services (AD FS) per eseguire l'autenticazione nel tunnel.
• vengono valutati in base ai criteri di accesso condizionale. Se il dispositivo non è conforme, non può accedere al server VPN o alla rete locale.

È possibile installare più server Linux per supportare Microsoft Tunnel e combinare i server in gruppi logici denominati Siti. Ogni server può unirsi a un singolo sito. Quando si configura un sito, si definisce un punto di connessione per i dispositivi da usare quando accedono al tunnel. I siti richiedono una configurazione server definita e assegnata dall'utente al sito. La configurazione del server viene applicata a ogni server aggiunto a quel sito, semplificando la configurazione di più server.

Per indirizzare i dispositivi a utilizzare il tunnel, è necessario creare e distribuire un criterio VPN per Microsoft Tunnel. Questo criterio è un profilo VPN di configurazione del dispositivo che usa Microsoft Tunnel per il tipo di connessione.

Le configurazioni del server includono:

• Intervallo di indirizzi IP: gli indirizzi IP assegnati ai dispositivi che si connettono a un tunnel Microsoft.
• Server DNS – I dispositivi server DNS dovrebbero utilizzare quando si connettono al server.
• Ricerca suffisso DNS.
• Regole di split tunneling: fino a 500 regole condivise tra percorsi di inclusione ed esclusione. Se ad esempio si creano 300 regole di inclusione, è possibile creare fino a 200 regole di esclusione.
• Porta: la porta su cui è in ascolto Microsoft Tunnel Gateway.

La configurazione del sito include:

• Indirizzo IP pubblico o FQDN, che rappresenta il punto di connessione per i dispositivi che utilizzano il tunnel. Questo indirizzo può essere relativo a un singolo server o all'IP o al nome di dominio completo di un server per il bilanciamento del carico.
• Configurazione del server applicata a ogni server del sito.

Si assegna un server a un sito al momento dell'installazione del software del tunnel sul server Linux. L'installazione utilizza uno script che è possibile scaricare dall'interno dell'interfaccia di amministrazione. Dopo aver avviato lo script, verrà richiesto di configurarne il funzionamento per l'ambiente, che include la specifica del sito a cui il server si unirà.

Per usare Microsoft Tunnel, i dispositivi devono installare l'app Microsoft Defender. Si ottiene l'app applicabile dagli app store iOS/iPadOS o Android e la si distribuisce agli utenti.

Architettura

Microsoft Tunnel Gateway viene eseguito in contenitori eseguiti su server Linux.

Componenti:

• R - Microsoft Intune.
• B- Microsoft Entra ID.
• C – Server Linux con Podman o Docker CE (vedere i requisiti del server Linux per i dettagli su quali versioni richiedono Podman o Docker)
  • C.1 - Gateway del tunnel Microsoft.
  • C.2 – Agente di gestione.
  • C.3 – Plugin di autenticazione – Plugin di autorizzazione, che esegue l'autenticazione con Microsoft Entra.
• D - IP pubblico o FQDN del tunnel Microsoft, che può rappresentare un servizio di bilanciamento del carico.
• E - Dispositivo registrato nella Gestione dispositivi mobili (MDM) o dispositivo mobile annullato che usa il tunnel per la gestione delle applicazioni mobili.
• F – Firewall
• G - Server proxy interno (facoltativo).
• H – Rete aziendale.
• I – Internet pubblico.

Azioni:

• 1 - L'amministratore di Intune configura le configurazioni server e i siti, le configurazioni server sono associate ai siti.
• 2 - L'amministratore di Intune installa Microsoft Tunnel Gateway e il plug-in di autenticazione autentica Microsoft Tunnel Gateway con Microsoft Entra. Il server Microsoft Tunnel Gateway viene assegnato a un sito.
• 3 - L'agente di gestione comunica con Intune per recuperare i criteri di configurazione del server e inviare i log di telemetria a Intune.
• 4 - L'amministratore di Intune crea e distribuisce i profili VPN e l'app Defender nei dispositivi.
• 5 - Il dispositivo viene autenticato in Microsoft Entra. Vengono valutati i criteri di accesso condizionale.
• 6 - Con split tunnel:
  • 6.a - Parte del traffico va direttamente su Internet pubblico.
  • 6.b - Parte del traffico va al tuo indirizzo IP pubblico per il tunnel. Il canale VPN utilizzerà TCP, TLS, UDP e DTLS sulla porta 443. Questo traffico richiede che le porte del firewall in ingresso e in uscita siano aperte.
• 7 - Il tunnel instrada il traffico al proxy interno (facoltativo) e/o alla rete aziendale. Gli amministratori IT devono verificare che il traffico proveniente dall'interfaccia interna del server Tunnel Gateway possa essere instradato correttamente alla risorsa aziendale interna (intervalli di indirizzi IP e porte).

Rompi e ispeziona:

Molte reti aziendali applicano la sicurezza di rete per il traffico Internet utilizzando tecnologie come server proxy, firewall, break and inspect SSL, ispezione approfondita dei pacchetti e sistemi di prevenzione della perdita di dati. Queste tecnologie offrono un'importante mitigazione dei rischi per le richieste Internet generiche, ma possono ridurre drasticamente le prestazioni, la scalabilità e la qualità dell'esperienza utente finale se applicate a Microsoft Tunnel Gateway e agli endpoint del servizio Intune.

Le informazioni seguenti illustrano i casi in cui l'interruzione e l'ispezione non sono supportate. I riferimenti sono al diagramma architettonico della sezione precedente.

• La funzionalità di interruzione e ispezione non è supportata nelle aree seguenti:

  • Tunnel Gateway non supporta l'interruzione e l'ispezione SSL, l'interruzione e l'ispezione TLS o l'ispezione approfondita dei pacchetti per le connessioni client.
  • L'uso di firewall, proxy, servizi di bilanciamento del carico o qualsiasi tecnologia che termina e ispeziona le sessioni client che entrano nel gateway del tunnel non è supportato e causa l'esito negativo delle connessioni client. (Fare riferimento a F, D e C nel diagramma dell'architettura).
  • Se Tunnel Gateway utilizza un proxy in uscita per l'accesso a Internet, il server proxy non può eseguire l'interruzione e l'ispezione. Ciò è dovuto al fatto che Tunnel Gateway Management Agent utilizza l'autenticazione reciproca TLS durante la connessione a Intune (fare riferimento a 3 nel diagramma dell'architettura). Se l'interruzione e l'ispezione sono abilitate nel server proxy, gli amministratori di rete che gestiscono il server proxy devono aggiungere l'indirizzo IP del server Tunnel Gateway e il nome di dominio completo (FQDN) a un elenco di approvazione per questi endpoint di Intune.

Dettagli aggiuntivi:

• L'accesso condizionale viene eseguito nel client VPN e in base all'app cloud Microsoft Tunnel Gateway. I dispositivi non conformi non ricevono un token di accesso da Microsoft Entra ID e non possono accedere al server VPN. Per altre informazioni sull'uso dell'accesso condizionale con Microsoft Tunnel, vedere Usare l'accesso condizionale con Microsoft Tunnel.

• L'agente di gestione è autorizzato per Microsoft Entra ID utilizzando l'ID app di Azure/chiavi segrete.

Contenuto correlato

• Prerequisiti per Microsoft Tunnel in Intune
• Informazioni su Microsoft Tunnel per la gestione di applicazioni per dispositivi mobili