Microsoft Tunnel configureren voor Intune

Microsoft Tunnel Gateway installeert naar een container op een Linux-server die on-premises of in de cloud wordt uitgevoerd. Afhankelijk van uw omgeving en infrastructuur zijn mogelijk andere configuraties en software nodig, zoals Azure ExpressRoute.

Voordat u met de installatie begint, moet u de volgende taken uitvoeren:

• Vereisten voor Microsoft Tunnel bekijken en configureren.
• Voer het Microsoft-hulpprogramma Tunnelgereedheid uit om te controleren of uw omgeving gereed is om het gebruik van de tunnel te ondersteunen.

Nadat aan de vereisten is voldaan, gaat u terug naar dit artikel om te beginnen met de installatie en configuratie van de tunnel.

Een serverconfiguratie maken

Als u een serverconfiguratie gebruikt, kunt u één keer een configuratie maken en deze configuratie door meerdere servers laten gebruiken. De configuratie omvat IP-adresbereiken, DNS-servers en regels voor split-tunneling. Later wijst u een serverconfiguratie toe aan een site, die deze serverconfiguratie automatisch toepast op elke server die lid wordt van die site.

Een serverconfiguratie maken

1. Aanmelden bij het beheercentrum> van Microsoft IntuneTenantbeheer>Microsoft Tunnel Gateway>selecteer hettabblad>ServerconfiguratiesNieuwe maken.

2. Voer op het tabblad Basisinformatie een naam en beschrijving in (optioneel) en selecteer Volgende.

3. Configureer de volgende items op het tabblad Instellingen :

   • IP-adresbereik: IP-adressen binnen dit bereik worden verhuurd aan apparaten wanneer ze verbinding maken met Tunnel Gateway. Het opgegeven IP-adresbereik voor tunnelclients mag niet conflicteren met een on-premises netwerkbereik.

     • Overweeg het APIPA-bereik (Automatic Private IP Address) van 169.254.0.0/16 te gebruiken, omdat dit bereik conflicten met andere bedrijfsnetwerken voorkomt.
     • Als het IP-adresbereik van de client conflicteert met het doel, wordt het loopback-adres gebruikt en kan het niet communiceren met het bedrijfsnetwerk.
     • U kunt elk gewenst IP-adresbereik voor de client selecteren, mits dit bereik niet conflicteert met de IP-adresbereiken voor uw bedrijfsnetwerk.

   • Serverpoort: voer de poort in waarnaar de server luistert voor verbindingen.

   • DNS-servers: Deze servers worden gebruikt wanneer een DNS-aanvraag afkomstig is van een apparaat dat verbinding maakt met Tunnel Gateway.

   • Zoeken naar DNS-achtervoegsels(optioneel): dit domein wordt aan clients doorgegeven als het standaarddomein wanneer ze verbinding maken met Tunnel Gateway.

   • UDP-verbindingen uitschakelen(optioneel): als deze optie is geselecteerd, maken clients alleen verbinding met de VPN-server via TCP-verbindingen. Omdat voor de zelfstandige tunnelclient gebruik van UDP is vereist, schakelt u het selectievakje in om UDP-verbindingen pas uit te schakelen nadat u uw apparaten hebt geconfigureerd voor het gebruik van Microsoft Defender voor Eindpunt als de tunnelclient-app.

4. Configureer ook op het tabblad Instellingen regels voor Split tunneling, die optioneel zijn.

   U kunt adressen opnemen of uitsluiten. Opgenomen adressen worden doorgestuurd naar Tunnel Gateway. Uitgesloten adressen worden niet doorgestuurd naar Tunnel Gateway. U kunt bijvoorbeeld een insluitregel configureren voor 255.255.0.0 of 192.168.0.0/16.

   Gebruik de volgende opties om adressen op te nemen of uit te sluiten:

   • Inclusief IP-bereiken
   • Uitsluitende IP-bereiken

   Opmerking

   Gebruik geen IP-bereik dat 0.0.0.0 specificeert in een van de adressen voor opnemen of uitsluiten. Tunnel Gateway kan geen verkeer routeren wanneer dit bereik wordt gebruikt. Als bedrijfs-DNS wordt gebruikt in uw serverconfiguratie, moeten deze adressen worden toegevoegd in de include-regels voor split-tunneling.

5. Controleer de configuratie op het tabblad Controleren + maken en selecteer Maken om deze op te slaan.

   Opmerking

   Standaard blijft elke VPN-sessie slechts 3600 seconden (een uur) actief voordat de verbinding wordt verbroken (er wordt onmiddellijk een nieuwe sessie tot stand gebracht voor het geval de client is ingesteld op het gebruik van Always On VPN).

   U kunt de waarde van de sessietime-out echter samen met andere serverconfiguratie-instellingen wijzigen met behulp van graph-aanroepen (microsoftTunnelConfiguration) Zie De time-out voor de VPN-sessie van de tunnelservers wijzigen verderop in dit artikel.

Een site maken

Sites zijn logische groepen servers die als host fungeren voor Microsoft-tunnel. U wijst een serverconfiguratie toe aan elke site die u maakt. Deze configuratie wordt toegepast op elke server die verbinding maakt met de Site.

Een siteconfiguratie maken

1. Aanmelden bij het beheercentrum> van Microsoft IntuneTenantbeheer>Microsoft Tunnel Gateway>selecteer hettabblad>Sites Maken.

2. Geef in het deelvenster Een site maken de volgende eigenschappen op:

   • Naam: voer een naam in voor deze site.

   • Beschrijving: Optioneel kunt u een beschrijvende beschrijving voor de site opgeven.

   • Openbaar IP-adres of FQDN: geef een openbaar IP-adres of FQDN op, wat het verbindingspunt is voor apparaten die de tunnel gebruiken. Met dit IP-adres of deze FQDN kan een individuele server of een server voor taakverdeling worden geïdentificeerd. Het IP-adres of de FQDN moet kunnen worden omgezet in openbare DNS en het omgezette IP-adres moet openbaar routeerbaar zijn.

   • Serverconfiguratie: Gebruik de vervolgkeuzelijst om een serverconfiguratie te selecteren die u aan deze site wilt koppelen.

   • URL voor interne netwerktoegangscontrole: geef een HTTP- of HTTPS-URL op voor een locatie in uw interne netwerk. Elke vijf minuten probeert elke server die aan deze site is toegewezen, toegang te krijgen tot de URL om te bevestigen dat deze toegang heeft tot uw interne netwerk. Servers rapporteren de status van deze controle als Interne netwerktoegankelijkheid op het tabblad Statuscontrole van de server.

   • Servers op deze site automatisch upgraden: Indien ja, servers worden automatisch bijgewerkt wanneer er een upgrade beschikbaar is. Zo nee, de upgrade is handmatig en een beheerder moet een upgrade goedkeuren voordat deze kan worden gestart.

     Zie Microsoft Tunnel upgraden voor meer informatie.

   • Serverupgrades beperken tot het onderhoudsvenster: Indien ja, serverupgrades voor deze site kunnen alleen worden gestart tussen de opgegeven begin- en eindtijd. Tussen de begin- en eindtijd moet minimaal een uur zitten. Als deze optie op Nee is ingesteld, is er geen onderhoudsvenster en worden upgrades zo snel mogelijk gestart, afhankelijk van de configuratie van Servers op deze site .

     Indien ingesteld op Ja, moet u de volgende opties configureren:

     • Tijdzone : de tijdzone die u selecteert, bepaalt wanneer het onderhoudsvenster begint en eindigt op alle servers op de site, ongeacht de tijdzone van de afzonderlijke servers.
     • Begintijd : geef het vroegste tijdstip op waarop de upgradecyclus kan beginnen, op basis van de tijdzone die u hebt geselecteerd.
     • Eindtijd : geef de laatste tijd op waarop de upgradecyclus kan worden gestart, op basis van de tijdzone die u hebt geselecteerd. Upgradecycli die voor die tijd beginnen, worden gewoon uitgevoerd en kunnen daarna worden voltooid.

     Zie Microsoft Tunnel upgraden voor meer informatie.

3. Selecteer Maken om de site op te slaan.

Microsoft Tunnel Gateway installeren

Voordat u Microsoft Tunnel Gateway installeert op een Linux-server, moet u uw tenant configureren met ten minste één serverconfiguratie en vervolgens een site maken. Later geeft u de site op waarmee een server wordt verbonden wanneer u de tunnel op die server installeert.

Met een serverconfiguratie en een site kunt u vervolgens de volgende procedure gebruiken om de Microsoft Tunnel Gateway te installeren.

Als u echter van plan bent om de Microsoft Tunnel Gateway te installeren op een rootless Podman-container, raadpleegt u Een rootless Podman-container gebruiken voordat u begint met installeren. De gekoppelde sectie bevat aanvullende vereisten en een aangepaste opdrachtregel voor het installatiescript. Nadat u de extra vereisten hebt geconfigureerd, kunt u hier terugkeren om door te gaan met de volgende installatieprocedure.

Het script gebruiken om Microsoft Tunnel te installeren

1. Download het installatiescript voor Microsoft Tunnel via een van de volgende methoden:

   • Download het hulpprogramma rechtstreeks met behulp van een webbrowser. https://aka.ms/microsofttunneldownload Download het bestand mstunnel-setup.

   • Aanmelden bij het beheercentrum> van Microsoft IntuneTenantbeheer>Microsoft Tunnel Gateway, selecteer het tabblad Servers, selecteer Maken om het deelvenster Een server maken te openen en selecteer vervolgens Script downloaden.

     

   • Gebruik een Linux-opdracht om de tunnelsoftware rechtstreeks te downloaden. Op de server waarop u de tunnel installeert, kunt u bijvoorbeeld wget of curl gebruiken om de koppeling https://aka.ms/microsofttunneldownloadte openen.

     Als u bijvoorbeeld tijdens het downloaden wget wilt gebruiken en gegevens wilt loggen voor mstunnel-setup , voert u de volgende opdracht uit wget --output-document=mstunnel-setup https://aka.ms/microsofttunneldownload

2. Voer het script als root uit om de serverinstallatie te starten. U kunt bijvoorbeeld de volgende opdrachtregel gebruiken: sudo ./mstunnel-setup. Het script installeert altijd de meest recente versie van Microsoft Tunnel.

   Belangrijk

   Als u Tunnel installeert op een rootless Podman-container, gebruikt u de volgende aangepaste opdrachtregel om het script te starten: mst_rootless_mode=1 ./mstunnel-setup

   Om de gedetailleerde uitvoer van de console te zien tijdens het registratieproces voor de tunnel en de installatieagent:

   1. Voer deze uitvoering uit export mst_log_verbose=1 voordat u het script ./mstunnel-setup uitvoert. Voer de volgende opdracht uit exportom te controleren of uitgebreide logboekregistratie is ingeschakeld.

   2. Nadat de installatie is voltooid, bewerkt u het omgevingsbestand /etc/mstunnel/env.sh om een nieuwe regel toe te voegen: mst_log_verbose=1. Nadat u de regel hebt toegevoegd, start mst-cli server restart u de server opnieuw op.

   Belangrijk

   Voor de cloud van de Amerikaanse overheid moet de opdrachtregel verwijzen naar de cloudomgeving van de overheid. Voer hiervoor de volgende opdrachten uit om intune_env=FXP toe te voegen aan de opdrachtregel:

   1. Uitvoeren sudo ./mstunnel-setup
   2. Uitvoeren sudo intune_env=FXP ./mstunnel-setup

   Tip

   Als u de installatie en het script stopt, kunt u het script opnieuw starten door de opdrachtregel nogmaals uit te voeren. De installatie gaat verder waar u was gebleven.

   Wanneer u het script start, worden containerinstallatiekopieën gedownload van Microsoft Tunnel Gateway-containerinstallatiekopieën uit de Intune-service en worden de benodigde mappen en bestanden op de server gemaakt.

   Tijdens de installatie van het script wordt u gevraagd verschillende beheertaken uit te voeren.

3. Wanneer het script hierom vraagt, accepteer je de licentieovereenkomst (EULA).

4. Bekijk en configureer variabelen in de volgende bestanden ter ondersteuning van uw omgeving.

   • Omgevingsbestand: /etc/mstunnel/env.sh. Zie Omgevingsvariabelen in de naslaginformatie voor het artikel Microsoft Tunnel voor meer informatie over deze variabelen.

5. Kopieer desgevraagd de volledige keten van uw TLS-certificaatbestand (Transport Layer Security) naar de Linux-server. Het script geeft de juiste locatie aan om op de Linux-server te gebruiken.

   Het TLS-certificaat beveiligt de verbinding tussen de apparaten die de tunnel en het Tunnel Gateway-eindpunt gebruiken. Het certificaat moet het IP-adres of de FQDN van de Tunnel Gateway-server in het SAN bevatten.

   De persoonlijke sleutel blijft beschikbaar op de computer waarop u de aanvraag voor certificaatondertekening voor het TLS-certificaat maakt. Dit bestand moet worden geëxporteerd met de naam site.key.

   Installeer het TLS-certificaat en de persoonlijke sleutel. Gebruik de volgende richtlijnen die overeenkomen met uw bestandsindeling:

   • PFX:

     • De bestandsnaam van het certificaat moet site.pfx zijn. Kopieer het certificaatbestand naar /etc/mstunnel/private/site.pfx.

   • PEM:

     • De volledige keten (hoofdketen, tussenliggend, eindentiteit) moet zich in één bestand bevinden met de naam site.crt. Als u een certificaat gebruikt dat is uitgegeven door een openbare provider zoals Digicert, heeft u de mogelijkheid om de volledige keten als één .pem-bestand te downloaden.

     • De bestandsnaam van het certificaat moet *site.crt zijn. Kopieer het volledige ketencertificaat naar /etc/mstunnel/certs/site.crt. Bijvoorbeeld:cp [full path to cert] /etc/mstunnel/certs/site.crt

       U kunt ook een koppeling maken naar het volledige ketencertificaat in /etc/mstunnel/certs/site.crt. Bijvoorbeeld:ln -s [full path to cert] /etc/mstunnel/certs/site.crt

     • Kopieer het bestand met de persoonlijke sleutel naar /etc/mstunnel/private/site.key. Bijvoorbeeld:cp [full path to key] /etc/mstunnel/private/site.key

       U kunt ook een koppeling maken naar het bestand met de persoonlijke sleutel in /etc/mstunnel/private/site.key. Bijvoorbeeld: ln -s [full path to key file] /etc/mstunnel/private/site.key Deze sleutel mag niet met een wachtwoord worden versleuteld. De naam van het bestand met de persoonlijke sleutel moet site.key.

6. Nadat het certificaat is geïnstalleerd en de Tunnel Gateway-services zijn gemaakt, wordt u gevraagd u aan te melden en te verifiëren bij Intune. Aan het gebruikersaccount moeten machtigingen zijn toegewezen die gelijkwaardig zijn aan die van de Intune-beheerder. Het account dat u gebruikt om de verificatie te voltooien, moet een Intune licentie hebben. De referenties van dit account worden niet opgeslagen en worden alleen gebruikt voor de eerste aanmelding bij Microsoft Entra ID. Na geslaagde verificatie worden id's/geheime sleutels voor Azure-apps gebruikt voor de verificatie tussen de tunnelgateway en Microsoft Entra.

   Met deze verificatie wordt Tunnel Gateway geregistreerd bij Microsoft Intune en uw Intune tenant.

   1. Open een webbrowser en https://Microsoft.com/devicelogin voer de apparaatcode in die wordt geleverd door het installatiescript. Meld u vervolgens aan met uw Intune beheerdersreferenties.

   2. Nadat Microsoft Tunnel Gateway is geregistreerd bij Intune, haalt het script informatie op over uw sites en serverconfiguraties van Intune. Vervolgens wordt u gevraagd de GUID op te geven van de tunnelsite waaraan u deze server wilt koppelen. In het script wordt een lijst met de beschikbare sites weergegeven.

   3. Nadat u een site hebt geselecteerd, wordt de serverconfiguratie voor die site opgehaald uit Intune en toegepast op uw nieuwe server om de installatie van de Microsoft-tunnel te voltooien.

7. Nadat het installatiescript is voltooid, kunt u in het Microsoft Intune-beheercentrum naar het tabblad Microsoft Tunnel Gateway navigeren om de hoge status voor de tunnel te bekijken. U kunt ook het tabblad Gezondheidsstatus openen om te bevestigen dat de server online is.

8. Als u Red Hat Enterprise Linux (RHEL) 8.4 of hoger gebruikt, moet u de Tunnel Gateway-server opnieuw opstarten door Enter te starten mst-cli server restart voordat u probeert om clients ermee te verbinden.

Podman configureren om de proxy te gebruiken om image-updates te downloaden

Na installatie van de Tunnel Gateway-server kunt u Podman configureren om de proxy te gebruiken om bijgewerkte installatiekopieën voor Podman te downloaden (pull). Deze configuratie is belangrijk om toekomstige upgrades mogelijk te maken:

1. Gebruik op de tunnelserver een opdrachtprompt om de volgende opdracht uit te voeren om een editor te openen voor het override-bestand voor de Microsoft Tunnel-service:

   systemctl edit --force mstunnel_monitor

2. Voeg de volgende drie regels toe aan het bestand. Vervang elk adres door de proxy-DN of het adres en sla het bestand vervolgens op. Als het adres van uw proxy bijvoorbeeld op poort 3128is en beschikbaar is10.10.10.1, kan de eerste regel na [Service] worden weergegeven als Environment="http_proxy=http//10.10.10.1:3128" en de volgende regel alsEnvironment="https_proxy=http//10.10.10.1:3128"

   [Service]
   Environment="http_proxy=address"
   Environment="https_proxy=address"
   

3. Voer vervolgens de volgende opdracht uit bij de opdrachtprompt:

   systemctl restart mstunnel_monitor

4. Voer ten slotte het volgende uit bij de opdrachtprompt om te controleren of de configuratie is geslaagd:

   systemctl show mstunnel_monitor | grep http_proxy

   Als de configuratie succesvol is, zien de resultaten eruit zoals de volgende informatie:

   Environment="http_proxy=address:port"
   Environment="https_proxy=address:port"
   

De proxyserver bijwerken die door de tunnelserver wordt gebruikt

Als u de configuratie van de proxyserver wilt wijzigen die wordt gebruikt door de Linux-host van de tunnelserver, gebruikt u de volgende procedure:

1. Op de tunnelserver bewerkt u /etc/mstunnel/env.sh en geeft u de nieuwe proxyserver op.

2. Uitvoeren mst-cli install.

   Met deze opdracht worden de containers opnieuw opgebouwd met de nieuwe proxyservergegevens. Tijdens dit proces wordt u gevraagd om de inhoud van /etc/mstunnel/env.sh te controleren en ervoor te zorgen dat het certificaat is geïnstalleerd. Het certificaat moet al aanwezig zijn van de vorige proxyserverconfiguratie.

   Voer ja in om beide te bevestigen en de configuratie te voltooien.

Vertrouwde basiscertificaten toevoegen aan tunnelcontainers

Vertrouwde basiscertificaten moeten aan de tunnelcontainers worden toegevoegd als:

• Voor het uitgaande serververkeer is SSL-proxycontrole vereist.
• De eindpunten die worden benaderd door de tunnelcontainers zijn niet vrijgesteld van proxycontrole.

Stappen:

1. Kopieer de vertrouwde basiscertificaten met de extensie .crt naar /etc/mstunnel/ca-trust
2. Start tunnelcontainers opnieuw op met 'mst-cli server restart' en 'mst-cli agent restart'

De time-out van de VPN-sessie voor tunnelservers wijzigen

U kunt de Microsoft Graph Bèta en PowerShell gebruiken om de time-out van de VPN-sessie van de tunnelserver te wijzigen. Standaard duurt de VPN-sessie van de tunnelserver een uur. U kunt een kortere sessietime-out instellen door een Windows-computer en PowerShell te gebruiken om de sessietime-out te wijzigen.

Standaard blijft de VPN-sessie van de tunnelserver een uur bestaan. U kunt de bètaversie van Microsoft Graph en PowerShell gebruiken om een kortere sessietime-out naar keuze in te stellen, bijvoorbeeld vijf of tien minuten.

Vereisten

Installeer de Microsoft Graph Beta PowerShell-module met de naam Microsoft.Graph.Beta op een Windows-computer. Zie De Microsoft Graph PowerShell SDK installeren in de PowerShell-documentatie voor meer informatie over deze vereiste.

PowerShell-opdrachten om de time-out van de VPN-sessie te wijzigen

Gebruik een beheerdersaccount op de Windows-computer waarop u de Graph-module hebt geïmporteerd om de volgende PowerShell-opdrachten uit te voeren.

Vervang in de volgende PowerShell-opdrachten variabelen, die lijken op <id>, door de gewenste waarde tussen dubbele aanhalingstekens te plaatsen. Als de id van stap 2 bijvoorbeeld gelijk is aan 12345-abcde-67890-fghij, wordt de opdrachtregel voor stap 3 weergegeven als: Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId "12345-abcde-67890-fghij" | Format-List

1. Maak verbinding met Graph via een account met beheerdersmachtigingen:

      Connect-MgGraph -Scopes "DeviceManagementConfiguration.ReadWrite.All"
   

2. Maak een lijst van de tunnelconfiguraties en kopieer vervolgens de id van de configuratie die u wilt wijzigen:

   Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration
   

3. Bekijk de details van de configuratie (het veld AdvancedSettings moet leeg zijn):

   Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId <id> | Format-List
   

4. Maak de nieuwe instelling met een gewenste waarde:

   $setting = New-Object -TypeName Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphKeyValuePair;  $setting.Name = "session-timeout";  $setting.Value = <integer-in-seconds>
   

5. Werk de geavanceerde instellingen van de configuratie bij:

   Update-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId <id> -AdvancedSettings @($setting)
   

6. Controleer of AdvancedSettings is bijgewerkt:

   Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId <id> | Format-List
   

Alle servers moeten de nieuwe configuratie binnen vijf minuten na de wijziging ontvangen. Als u de instelling op een server wilt controleren, controleert /etc/mstunnel/ocserv.conf u of de bijgewerkte waarde is.

De Microsoft Tunnel-clientapp implementeren

Om de Microsoft-tunnel te kunnen gebruiken, hebben apparaten toegang nodig tot een Microsoft Tunnel-client-app. Microsoft Tunnel gebruikt Microsoft Defender voor Eindpunt als de tunnelclient-app:

• Android: download Microsoft Defender voor Eindpunt voor gebruik als de Microsoft Tunnel-client-app vanuit de Google Play Store. Zie Android-store-apps toevoegen aan Microsoft Intune.

  Wanneer u Microsoft Defender voor Eindpunt gebruikt als uw tunnelclienttoepassing en als een toepassing voor Mobile Threat Defense (MTD), raadpleegt u Microsoft Defender voor Eindpunt gebruiken voor MTD en als de Microsoft Tunnel-client-app voor belangrijke configuratierichtlijnen.

• iOS/iPadOS: download Microsoft Defender voor Eindpunt voor gebruik als de Microsoft Tunnel-client-app uit de Apple App Store. Zie Os Store-apps toevoegen aan Microsoft Intune.

Zie Apps toevoegen aan Microsoft Intune voor meer informatie over het implementeren van apps met Intune.

Een VPN-profiel maken

Nadat Microsoft Defender voor Eindpunt is geïnstalleerd op de Microsoft-tunnel en de apparaten erop zijn geïnstalleerd, kunt u VPN-profielen implementeren om apparaten de tunnel te laten gebruiken. Maak hiervoor VPN-profielen met het verbindingstype Microsoft Tunnel:

• Android: Het Android-platform ondersteunt het routeren van verkeer via een per-app VPN en regels voor split tunneling onafhankelijk of tegelijkertijd.

• iOS/iPadOS Het iOS-platform ondersteunt het routeren van verkeer via een VPN per app of via regels voor split tunneling, maar niet beide tegelijk. Als u een app-overschrijdende VPN voor iOS inschakelt, worden de regels voor split tunneling genegeerd.

Android

1. Aanmelden bij het Microsoft Intune-beheercentrum>Apparaten>Configuratie van>apparaten> beheren Selecteer op het tabblad Beleid de optie Maken.

2. Selecteer Android Enterprise voor Platform. Selecteer voor ProfielVPN voor Bedrijfseigen werkprofiel of Werkprofiel in persoonlijk eigendom en selecteer vervolgens Maken.

   Opmerking

   Microsoft Tunnel biedt geen ondersteuning voor Android Enterprise Dedicated-apparaten .

3. Voer op het tabblad Basisinformatie een naam en beschrijving in (optioneel) en selecteer Volgende.

4. Selecteer Microsoft Tunnel bij Verbindingstype en configureer vervolgens de volgende details:

   • Basis-VPN:

     • Geef bij Naam van verbinding een naam op die aan gebruikers moet worden weergegeven.
     • Selecteer voor Microsoft-tunnelsite de tunnelsite die dit VPN-profiel gebruikt.

   • Per app VPN:

     • Apps die zijn toegewezen in het VPN-profiel per app sturen app-verkeer naar de tunnel.
     • Op Android wordt bij het starten van een app niet de VPN per app gestart. Wanneer de VPN echter Always-on VPN heeft ingesteld op Inschakelen, is de VPN al verbonden en gebruikt app-verkeer de actieve VPN. Als de VPN niet is ingesteld op Always-on, moet de gebruiker de VPN handmatig starten voordat deze kan worden gebruikt.
     • Als u de Defender voor Eindpunt-app gebruikt om verbinding te maken met Tunnel, webbeveiliging hebt ingeschakeld en VPN per app gebruikt, is webbeveiliging alleen van toepassing op de apps in de lijst met VPN's per app. Op apparaten met een werkprofiel raden we in dit scenario aan om alle webbrowsers in het werkprofiel toe te voegen aan de VPN-lijst per app om ervoor te zorgen dat al het webverkeer van het werkprofiel wordt beveiligd.
     • Als u een VPN per app wilt inschakelen, selecteert u Toevoegen en bladert u vervolgens naar de aangepaste of openbare apps die zijn geïmporteerd in Intune.

   • Altijd beschikbare VPN:

     • Voor altijd ingeschakelde VPN selecteert u Inschakelen om de VPN-client in te stellen om automatisch verbinding te maken en opnieuw verbinding te maken met de VPN. Altijd beschikbare VPN-verbindingen blijven verbonden. Als VPN per app is ingesteld op Inschakelen, gaat alleen het verkeer van de door u geselecteerde apps door de tunnel.

   • Strikte tunnelmodus(alleen Android):

     • Deze instelling is beschikbaar wanneer het verbindingstype Microsoft Tunnel is en Always-on VPN is ingesteld op Inschakelen. Wanneer deze optie is ingeschakeld, wordt al het netwerkverkeer door de VPN-tunnel gedwongen. Als de VPN-verbinding niet beschikbaar is of wegvalt, wordt al het netwerkverkeer op het apparaat geblokkeerd totdat de VPN opnieuw verbinding maakt, waardoor apps geen toegang hebben tot het openbare internet buiten de tunnel.
     • Lijst met uitgesloten apps — Wanneer de strikte tunnelmodus is ingeschakeld, kun je apps specificeren die de VPN-tunnel omzeilen. Apps op de uitsluitingslijst maken rechtstreeks verbinding met het netwerk, ongeacht de status van de VPN-verbinding. Apps die niet in de lijst staan, worden geblokkeerd wanneer de VPN niet beschikbaar is.
     • Voor de strikte tunnelmodus zijn apparaten vereist die zijn ingeschreven via de Android Management API (AM API). Apparaten die zijn geregistreerd via het verouderde EMM API-werkprofiel bieden geen ondersteuning voor strikte tunnelmodus totdat ze zijn gemigreerd naar AM API.

     De volgende platforms ondersteunen de modus Strikte tunnel:

     • Android Enterprise in bedrijfseigendom volledig beheerd
     • Werkprofiel in eigendom van Android Enterprise
     • Android Enterprise-werkprofiel in persoonlijk eigendom

   • Volmacht:

     • Configureer de proxyserverdetails voor uw omgeving.

       Opmerking

       Proxyserverconfiguraties worden niet ondersteund in versies van Android ouder dan versie 10. Zie VpnService.Builder in die Android-ontwikkelaarsdocumentatie voor meer informatie.

   Zie voor meer informatie over VPN-instellingen Android Enterprise-apparaatinstellingen om VPN te configureren

   Belangrijk

   Voor Android Enterprise-apparaten die gebruikmaken van Microsoft Defender voor Eindpunt als een Microsoft Tunnel-clienttoepassing en als een MTD-app, moet u aangepaste instellingen gebruiken om Microsoft Defender voor Eindpunt te configureren in plaats van een afzonderlijk app-configuratieprofiel te gebruiken. Als u geen Defender for Endpoint-functionaliteit wilt gebruiken, inclusief webbeveiliging, gebruikt u aangepaste instellingen in het VPN-profiel en stelt u de defendertoggle instelling in op 0.

5. Configureer op het tabblad Opdrachten groepen die dit profiel krijgen.

6. Controleer de configuratie op het tabblad Controleren + maken en selecteer Maken om deze op te slaan.

iOS

1. Meld u aan bij Microsoft Intune beheercentrum>Apparaten> beherenConfiguratie van>apparaten>maken.

2. Selecteer voor PlatformiOS/iPadOS en selecteer vervolgens voor Profiel VPN en vervolgens Maken.

3. Voer op het tabblad Basisinformatie een naam en beschrijving in (optioneel) en selecteer Volgende.

4. Selecteer Microsoft Tunnel bij Verbindingstype en configureer vervolgens de volgende items:

   • Basis-VPN:

     • Geef bij Naam van verbinding een naam op die aan gebruikers moet worden weergegeven.
     • Klik voor Microsoft Tunnelsite op Selecteer een site en selecteer vervolgens de tunnelsite die dit VPN-profiel gebruikt.

     Opmerking

     Bij gebruik van zowel de Microsoft Tunnel VPN-verbinding als Defender Web Protection in de gecombineerde modus op iOS-apparaten, is het van cruciaal belang om de 'On Demand'-regels te configureren om de instelling 'Verbinding verbreken in slaapstand' effectief te activeren. Als u dit niet doet, worden zowel Tunnel VPN als Defender VPN losgekoppeld wanneer het iOS-apparaat in de slaapstand wordt gezet terwijl de VPN is ingeschakeld.

     Vanwege een conflict tussen de manier waarop een Single Sign-On-toepassing (SSO) toegangstokens verkrijgen en hoe de regels voor Tunnel VPN op aanvraag werken, wordt het instellen van een regel op aanvraag om verbinding te maken met alle domeinen wanneer ook 'Deisconnect on Sleep' wordt gebruikt, niet ondersteund bij het gebruik van SSO.

     Over het algemeen wordt het configureren van On Demand-regels voor VPN's per app aanbevolen, omdat het apps in staat stelt VPN-verbindingen te initiëren als dat nodig is en ervoor zorgt dat de instelling 'Verbinding verbreken in slaapstand' werkt zoals bedoeld.

   • VPN per app: als je een VPN per app wilt inschakelen, selecteer je Inschakelen. Er zijn extra configuratiestappen vereist voor iOS-per-app VPN's. Als de VPN per app geconfigureerd is, negeert iOS de regels voor split tunneling.

     Zie App-overschrijdende VPN voor iOS/iPadOS voor meer informatie.

   • Regels voor VPN op aanvraag: Definieer regels op aanvraag die het gebruik van VPN toestaan wanneer aan de voorwaarden wordt voldaan voor specifieke FQDN's of IP-adressen.

     Zie Automatische VPN-instellingen voor meer informatie.

   • Proxy: configureer de proxyserverdetails voor uw omgeving.

Een lijst met proxyuitsluitingen gebruiken voor Android Enterprise

Wanneer u één directe proxyserver in uw omgeving gebruikt, kunt u een lijst met proxy-uitsluitingen gebruiken in uw Microsoft Tunnel VPN-profielen voor Android Enterprise. Lijsten met uitsluitingslijsten voor proxy's worden ondersteund voor Microsoft Tunnel en Microsoft Tunnel voor MAM.

De lijst met proxy-uitsluitingen in het VPN-profiel ondersteunt het invoeren van specifieke domeinen die u wilt uitsluiten van uw directe proxyconfiguratie voor apparaten die het profiel ontvangen en gebruiken.

De volgende indelingen voor uitsluitingslijsten worden ondersteund:

• Volledige URL's met exacte overeenkomst met subdomein. Bijvoorbeeld sub.contoso.com
• Een voorloopjokerteken in URL's. In het voorbeeld van de volledige URL kunnen we bijvoorbeeld de eerste subdomeinnaam vervangen door een sterretje om de ondersteuning uit te breiden naar alle subdomeinen van contso.com: *.contoso.com
• IPv4- en IPv6-adressen

Niet-ondersteunde indelingen zijn:

• Interne jokertekens. Bijvoorbeeld: con*oso.com, contos*.com, en contoso.*

De lijst met proxy-uitsluitingen configureren

U kunt de lijst met uitsluitingen configureren wanneer u een Microsoft Tunnel VPN-profiel voor het Android Enterprise-platform bewerkt of maakt.

Nadat u op de pagina Configuratie-instellingen het verbindingstype hebt ingesteld op Microsoft Tunnel:

1. Vouw de proxylijst uit en selecteer vervolgens voor de lijst met proxy-uitsluitingende optie Proxy-uitsluitingen beheren.

2. In het deelvenster Lijst met uitgesloten proxy's :

   • Geef in het tekstinvoervak één URL of IP-adres op. Telkens wanneer u een vermelding toevoegt, wordt een nieuw tekstvak voor meer vermeldingen weergegeven.
   • Selecteer Importeren om het deelvenster Uitgesloten proxy's importeren te openen, waarin u vervolgens een lijst in de CSV-bestandsindeling kunt importeren.
   • Selecteer Exporteren om de huidige lijst met uitsluitingen uit dit profiel te exporteren in de CSV-bestandsindeling.

3. Selecteer OK om de configuratie van de lijst met proxyuitsluitingen op te slaan en door te gaan met het bewerken van het VPN-profiel.

   

Aangepaste instellingen voor Microsoft Defender voor Eindpunt gebruiken

Intune ondersteunt Microsoft Defender voor Eindpunt als MTD-app en als de Microsoft Tunnel-clienttoepassing op Android-apparaten voor ondernemingen. Als u Defender voor Eindpunt gebruikt voor zowel de Microsoft Tunnel-clienttoepassing als als MTD-app, kunt u aangepaste instellingen in uw VPN-profiel voor Microsoft Tunnel gebruiken om uw configuraties te vereenvoudigen. Het gebruik van aangepaste instellingen in het VPN-profiel vervangt de noodzaak om een afzonderlijk app-configuratieprofiel te gebruiken.

Voor apparaten die zijn geregistreerd als Android Enterprise-werkprofiel dat persoonlijk eigendom is en die Defender voor Eindpunt voor beide doeleinden gebruiken, moet u aangepaste instellingen gebruiken in plaats van een app-configuratieprofiel. Op deze apparaten is het app-configuratieprofiel voor Defender voor Eindpunt in conflict met Microsoft-tunnel en kan het voorkomen dat het apparaat verbinding maakt met Microsoft-tunnel.

Als u Microsoft Defender voor Eindpunt voor Microsoft Tunnel gebruikt, maar niet MTD, blijft u het app-tunnelconfiguratieprofiel gebruiken om Microsoft Defender voor Eindpunt als een tunnelclient te configureren.

App-configuratieondersteuning voor Microsoft Defender voor Eindpunt toevoegen aan een VPN-profiel voor Microsoft Tunnel

Gebruik de volgende informatie om de aangepaste instellingen in een VPN-profiel te configureren om Microsoft Defender voor Eindpunt te configureren in plaats van een afzonderlijk app-configuratieprofiel. De beschikbare instellingen verschillen per platform.

Voor Android Enterprise-apparaten:

Voor iOS-/iPad-apparaten:

De TunnelOnly-modus configureren om te voldoen aan de gegevensgrens van de Europese Unie

Tegen het einde van het kalenderjaar 2022 moeten alle persoonsgegevens, inclusief klantinhoud (CC), EUII, EUPI en ondersteuningsgegevens, zijn opgeslagen en verwerkt in de Europese Unie (EU) voor EU-tenants.

De VPN-functie van Microsoft Tunnel in Defender voor Eindpunt voldoet aan de gegevensgrens van de Europese Unie (EUDB). Hoewel de Defender for Endpoint Threat Protection-onderdelen met betrekking tot logboekregistratie nog niet EUDB-compatibel zijn, maakt Defender for Endpoint deel uit van de Data Protection Addendum (DPA) en voldoet het aan de Algemene Verordening Gegevensbescherming (AVG).

In de tussentijd kunnen Microsoft Tunnel-klanten met EU-tenants de TunnelOnly-modus inschakelen in de Defender for Endpoint Client-app. Voer de volgende stappen uit om dit te configureren:

1. Volg de stappen in Microsoft Tunnel VPN-oplossing installeren en configureren voor Microsoft Intune | Microsoft Learn om een app-configuratiebeleid te maken waarmee de Defender voor Eindpunt-functionaliteit wordt uitgeschakeld.

2. Maak een sleutel met de naam TunnelOnly en stel de waarde in op Waar.

Door de TunnelOnly-modus te configureren, wordt alle functionaliteit van Defender for Endpoint uitgeschakeld terwijl Tunnelfunctionaliteit beschikbaar blijft voor gebruik in de app.

Gastaccounts en Microsoft-accounts (MSA) die niet specifiek zijn voor de tenant van uw organisatie, worden niet ondersteund voor toegang tussen tenants via Microsoft Tunnel VPN. Dit betekent dat dit soort accounts niet kunnen worden gebruikt om veilig toegang te krijgen tot interne bronnen via de VPN. Het is belangrijk om met deze beperking rekening te houden bij het instellen van beveiligde toegang tot interne bronnen met behulp van Microsoft Tunnel VPN.

Zie EU-gegevensgrens voor de Microsoft Cloud | Veelgestelde vragen op de Microsoft-blog over beveiliging en compliance.

Installeer Linux-systeemcontrole na installatie van de Tunnel-server

Linux-systeemcontrole kan helpen bij het identificeren van beveiligingsrelevante informatie of beveiligingsschendingen op een Linux-server die als host fungeert voor Microsoft-tunnel. Linux-systeemcontrole wordt aanbevolen voor Microsoft Tunnel, maar is niet vereist. Om systeemcontrole te kunnen gebruiken, moet op een Linux-server het optionele pakket voor auditd zijn geïnstalleerd om ./etc/audit/auditd.conf

Als u al een tunnelserver op Linux hebt geïnstalleerd en auditd ontbreekt, gebruik dan de informatie in de volgende procedure om deze te installeren. Voor informatie over het installeren van gecontroleerd systeem op een Linux-server voordat u Microsoft Tunnel installeert, raadpleegt u Manually install auditd for Linux system auditing in Microsoft Tunnel prerequisites.

Install auditd on a Tunnel Server

Wanneer de Microsoft-tunnelserver al op een Linux-server is geïnstalleerd, kunt u het opdrachtregelprogramma mst-cli gebruiken en de gecontroleerde programma's als volgt installeren.

Voordat u de installatieprocedure start, gebruikt u de volgende koppeling om het bestand mst.rules te downloaden van Microsoft: https://aka.ms/TunnelAuditdRules. (Met deze koppeling wordt een klein tekstbestand met de naam mst.rules gedownload.)

1. Installeer de gecontroleerde bibliotheek en invoegtoepassingen. Voer de volgende opdracht uit op de Linux-server:

   • Ubuntu: sudo apt install auditd audispd-plugins
   • RHEL: sudo dnf install audit audit-libs audispd-plugins(RHEL zou standaard al gecontroleerd moeten hebben geïnstalleerd.)

2. Kopieer de Tunnel mst.rules auditd rules naar de Linux-server:

   • Kopieer het bestand mst.rules naar uw server en voer de volgende opdracht uit om de bestanden naar de juiste map te verplaatsen: sudo cp /path/to/mst.rules /etc/audit/rules.d

3. Voer de volgende opdracht uit om de nieuwe gecontroleerde regels te laden: sudo augenrules --load

4. Controleer of de nieuwe regels zijn toegepast. Voer 'sudo auditctl -l' uit

De logboeken worden opgeslagen in /var/log/audit/audit.log. U kunt de sudo ausearch opdracht gebruiken om dat logboek te doorzoeken. Bijvoorbeeld sudo ausearch -f TARGET_DIRECTORY.

Microsoft Tunnel upgraden

Intune brengt regelmatig updates uit naar de Microsoft-tunnelserver. Om in aanmerking te blijven komen voor ondersteuning, moeten tunnelservers de meest recente versie uitvoeren of hoogstens één versie achterlopen.

Wanneer een nieuwe upgrade beschikbaar is, start Intune automatisch en zo snel mogelijk met de upgrade van tunnelservers op elk van uw tunnellocaties. Om u te helpen bij het beheren van upgrades, kunt u opties configureren voor het beheren van het upgradeproces:

• U kunt instellen dat de servers automatisch worden bijgewerkt op een locatie of dat de beheerder toestemming moet vragen voordat de upgrade kan worden gestart.

• U kunt een onderhoudsvenster configureren, waardoor wordt beperkt wanneer upgrades op een locatie kunnen worden gestart.

Zie Microsoft Tunnel upgraden voor meer informatie over upgrades voor Microsoft Tunnel, waaronder het weergeven van de tunnelstatus en het configureren van upgradeopties.

Het TLS-certificaat op de Linux-server bijwerken

U kunt het opdrachtregelprogramma ./mst-cli gebruiken om het TLS-certificaat op de server bij te werken:

PFX:

1. Kopieer het certificaatbestand naar /etc/mstunnel/private/site.pfx
2. Voer het volgende uit: mst-cli import_cert
3. Voer het volgende uit: mst-cli server restart

PEM:

1. Kopieer het nieuwe certificaat naar /etc/mstunnel/certs/site.crt
2. Kopieer de persoonlijke sleutel naar /etc/mstunnel/private/site.key
3. Voer het volgende uit: mst-cli import_cert
4. Voer het volgende uit: mst-cli server restart

Zie Referentie voor Microsoft-Tunnel voor meer informatie over mst-cli.

Gebruik een rootless Podman-container

Als u Red Hat Linux met Podman-containers gebruikt om uw Microsoft-tunnel te hosten, kunt u de container configureren als een rootless container.

Het gebruik van een rootless container kan helpen om de impact van een container escape te beperken, waarbij alle bestanden in en onder de map /etc/mstunnel op de server eigendom zijn van een niet-geautoriseerde gebruikersserviceaccount. De accountnaam op de Linux-server waarop Tunnel wordt uitgevoerd, is niet gelijk aan een standaardinstallatie, maar wordt gemaakt zonder machtigingen van de hoofdgebruiker.

Om met succes een rootless Podman-container te gebruiken, moet je:

• Configureer aanvullende vereisten die in de volgende sectie worden beschreven.
• Wijzig de scriptopdrachtregel bij het starten van de Microsoft Tunnel-installatie.

Als aan de vereisten is voldaan, kunt u vervolgens de installatiescriptprocedure gebruiken om eerst het installatiescript te downloaden en vervolgens de installatie uit te voeren via de opdrachtregel van het aangepaste script.

Aanvullende vereisten voor rootless Podman-containers

Als je een rootless Podman-container wilt gebruiken, moet je omgeving voldoen aan de volgende vereisten, naast de standaardvereisten voor Microsoft Tunnel:

Ondersteund platform:

• Op de Linux-server moet Red Hat (RHEL) 8.8 of hoger worden uitgevoerd.

• Op de container moet Podman 4.6.1 of hoger worden uitgevoerd. Rootless containers worden niet ondersteund met Docker.

• De rootless container moet worden geïnstalleerd onder de map /home .

• De map /home moet minimaal 10 GB beschikbare ruimte hebben.

Doorvoer:

• De piekdoorvoer mag niet hoger zijn dan 230 Mbps

Netwerk:

De volgende netwerkinstellingen, die niet beschikbaar zijn in een rootless naamruimte, moeten worden ingesteld in /etc/sysctl.conf:

• net.core.somaxconn=8192
• net.netfilter.nf_conntrack_acct=1
• net.netfilter.nf_conntrack_timestamp=1

Bovendien, als je de rootless Tunnel Gateway bindt aan een poort die kleiner is dan 1024, moet je ook de volgende instelling toevoegen in /etc/sysctl.conf en deze gelijk stellen aan de poort die je gebruikt:

• net.ipv4.ip_unprivileged_port_start

Als u bijvoorbeeld poort 443 wilt opgeven, gebruikt u de volgende vermelding: net.ipv4.ip_unprivileged_port_start=443

Na het bewerken van sysctl.conf moet je de Linux-server opnieuw opstarten voordat de nieuwe configuraties van kracht worden.

Uitgaande proxy voor de rootloze gebruiker:

Ter ondersteuning van een uitgaande proxy voor de rootloze gebruiker bewerkt u /etc/profile.d/http_proxy.sh en voegt u de volgende twee regels toe. In de volgende regels is 10.10.10.1:3128 een voorbeeld address:port entry. Wanneer u deze regels toevoegt, vervangt u 10.10.10.1:3128 door de waarden voor het IP-adres en de poort van uw proxy:

• export http_proxy=http://10.10.10.1:3128
• export https_proxy=http://10.10.10.1:3128

Aangepaste installatieopdrachtregel voor rootless Podman-containers

Als u Microsoft Tunnel wilt installeren op een rootless Podman-container, gebruikt u de volgende opdrachtregel om het installatiescript te starten. Met deze opdrachtregel wordt mst_rootless_mode ingesteld als een omgevingsvariabele en wordt de standaardregel vervangen tijdens stap 2 van de installatieprocedure:

• mst_rootless_mode=1 ./mstunnel-setup

De Microsoft-tunnel verwijderen

Als u het product wilt verwijderen, voert u mst-cli uninstall uit vanaf de Linux-server als root. Hiermee wordt ook de server verwijderd uit het Intune-beheercentrum.

Verwante onderwerpen

Voorwaardelijke toegang gebruiken met de Microsoft-tunnelmonitorMicrosoft-tunnel