Microsoft Tunnel voor Microsoft Intune

Microsoft Tunnel is een VPN-gatewayoplossing voor Microsoft Intune die wordt uitgevoerd in een container op Linux en die toegang biedt tot on-premises bronnen van iOS/iPadOS en Android Enterprise-apparaten met behulp van moderne verificatie en voorwaardelijke toegang.

In dit artikel maakt u kennis met de basisbeginselen van Microsoft Tunnel, hoe deze werkt en de architectuur.

Als u klaar bent om de Microsoft-tunnel te implementeren, raadpleegt u Vereisten voor de Microsoft-tunnel en vervolgens De Microsoft-tunnel configureren.

Nadat u Microsoft Tunnel hebt geïmplementeerd, kunt u ervoor kiezen om Microsoft Tunnel for Mobile Application Management (Tunnel for MAM) toe te voegen. Tunnel for MAM breidt de VPN-gateway van Microsoft Tunnel uit naar apparaten die Android of iOS draaien en die niet geregistreerd zijn bij Microsoft Intune. Tunnel voor MAM is een geavanceerde functionaliteit van Microsoft Intune waarvoor naast Microsoft Intune aanvullende licenties zijn vereist.

Overzicht van Microsoft Tunnel

Microsoft Tunnel Gateway wordt geïnstalleerd op een container die wordt uitgevoerd op een Linux-server. De Linux-server kan een fysieke doos in uw on-premises omgeving of een virtuele machine zijn die on-premises of in de cloud wordt uitgevoerd. Als u Tunnel wilt configureren, implementeert u een Microsoft Defender als de Microsoft Tunnel-client-app en implementeert u Intune VPN-profielen op uw iOS- en Android-apparaten. Met de client-app en het VPN-profiel kunnen apparaten de tunnel gebruiken om verbinding te maken met bedrijfsresources. Als de tunnel wordt gehost in de cloud, moet u een oplossing zoals Azure ExpressRoute gebruiken om uw on-premises netwerk uit te breiden naar de cloud.

Mogelijkheden

Kenmerken van de VPN-profielen voor de tunnel zijn onder andere:

• Een beschrijvende naam voor de VPN-verbinding die zichtbaar is voor uw eindgebruikers.

• De site waarmee de VPN-client verbinding maakt.

• VPN-configuraties per app die bepalen voor welke apps het VPN-profiel wordt gebruikt en of het altijd aan staat of niet. Wanneer de VPN altijd is ingeschakeld, wordt deze automatisch verbonden en wordt deze alleen gebruikt voor de apps die u definieert. Als er geen apps zijn gedefinieerd, biedt de always-on verbinding tunneltoegang voor al het netwerkverkeer van het apparaat.

• Voor iOS-apparaten waarop Microsoft Defender is geconfigureerd voor ondersteuning van VPN's per app en de TunnelOnly-modus is ingesteld op Waar, hoeven gebruikers Microsoft Defender niet te openen of aan te melden op hun apparaat om de tunnel te kunnen gebruiken. Wanneer de gebruiker is aangemeld bij de Bedrijfsportal op het apparaat of bij een andere app die gebruikmaakt van meervoudige verificatie en die over een geldig toegangstoken beschikt, wordt de tunnel-per-app VPN automatisch gebruikt. De TunnelOnly-modus wordt ondersteund voor iOS/iPadOS en schakelt de Defender-functionaliteit uit, zodat alleen de Tunnel-mogelijkheden overblijven.

• Handmatige verbindingen met de tunnel wanneer een gebruiker het VPN start en Verbinding maken selecteert.

• VPN-regels op aanvraag die het gebruik van VPN toestaan wanneer aan de voorwaarden wordt voldaan voor specifieke FQDN's of IP-adressen. (iOS/iPadOS)

• Proxy-ondersteuning. (iOS/iPadOS, Android 11+)

• Strikte tunnelmodus, die al het netwerkverkeer blokkeert wanneer de VPN-verbinding wegvalt, zodat er geen gegevens de tunnel omzeilen. Voor geregistreerde Android-apparaten is de strikte tunnelmodus beschikbaar wanneer Always-on VPN is ingeschakeld. Zie Microsoft-tunnel configureren voor meer informatie. Voor niet-ingeschreven apparaten die MAM-tunnel gebruiken, wordt de modus Strikte Tunnel geconfigureerd via het Microsoft Edge-app-configuratiebeleid. Zie voor meer informatie Microsoft Tunnel voor MAM. (Android)

• Android root detection. De Microsoft Defender-client blokkeert automatisch de toegang van een apparaat tot Microsoft Tunnel als wordt vastgesteld dat het apparaat is geroot.

  Wanneer een apparaat wordt geïdentificeerd als geroot, markeert de client onmiddellijk de risicocategorie van het apparaat als Hoog, worden actieve tunnelverbindingen verwijderd en wordt de toegang geblokkeerd totdat wordt vastgesteld dat het apparaat compatibel is. De gebruiker van het apparaat ontvangt een melding over deze status van de Defender-client.

  Deze mogelijkheid vervangt niet het gebruik van Intune nalevingsbeleid voor Android voor het beheren van de instellingen voor geroote apparaten, het oordeel over de speelintegriteit en vereisen dat het apparaat zich op of onder het dreigingsniveau van het apparaat bevindt. Het gebruik van Intune nalevingsbeleid voor het beheren van toetsinstellingen voor Android ondersteunt het Microsoft Zero Trust-beveiligingsmodel voor persoonlijk beheerdeapparaten van Android Enterprise.

Overzicht van instellingen

Via het Microsoft Intune-beheercentrum kunt u:

• Download het Microsoft Tunnel-installatiescript dat u uitvoert op de Linux-servers.
• Configureer aspecten van Microsoft Tunnel Gateway zoals IP-adressen, DNS-servers en poorten.
• VPN-profielen implementeren op apparaten om ze de tunnel te laten gebruiken.
• Implementeer Microsoft Defender (de tunnelclient-app) op uw apparaten.

Via de Defender-app, iOS/iPadOS en Android Enterprise-apparaten:

• Gebruik Microsoft Entra ID om te verifiëren bij de tunnel.
• Gebruik Active Directory Federation Services (AD FS) om te verifiëren bij de tunnel.
• Worden geëvalueerd op basis van uw beleid voor voorwaardelijke toegang. Als het apparaat niet compatibel is, heeft het geen toegang tot uw VPN-server of uw on-premises netwerk.

U kunt meerdere Linux-servers installeren ter ondersteuning van Microsoft Tunnel en servers combineren in logische groepen die Sites worden genoemd. Elke server kan lid worden van één site. Wanneer u een site configureert, definieert u een verbindingspunt dat apparaten kunnen gebruiken wanneer ze toegang krijgen tot de tunnel. Voor sites is een serverconfiguratie vereist die u definieert en toewijst aan de site. De serverconfiguratie wordt toegepast op elke server die u aan die site toevoegt, waardoor de configuratie van meer servers wordt vereenvoudigd.

Als u apparaten de tunnel wilt laten gebruiken, maakt en implementeert u een VPN-beleid voor Microsoft Tunnel. Dit beleid is een VPN-profiel voor apparaatconfiguratie dat gebruikmaakt van Microsoft-tunnel voor het verbindingstype.

Serverconfiguraties omvatten:

• IP-adresbereik: de IP-adressen die zijn toegewezen aan apparaten die verbinding maken met een Microsoft-tunnel.
• DNS-servers: de DNS-serverapparaten moeten worden gebruikt wanneer ze verbinding maken met de server.
• Zoeken naar DNS-achtervoegsels.
• Regels voor gedeelde tunneling: er zijn maximaal 500 regels verdeeld over routes inclusief en exclusief routes. Als u bijvoorbeeld 300 opnameregels maakt, kunt u vervolgens maximaal 200 regels uitsluiten.
• Port: de poort waarop Microsoft Tunnel Gateway luistert.

Siteconfiguratie omvat:

• Een openbaar IP-adres of FQDN, dat het verbindingspunt is voor apparaten die gebruikmaken van de tunnel. Dit adres kan voor een individuele server zijn of voor het IP-adres of de FQDN van een server voor taakverdeling.
• De serverconfiguratie die wordt toegepast op elke server op de site.

U wijst een server toe aan een Site op het moment dat u de tunnelsoftware installeert op de Linux-server. Voor de installatie wordt een script gebruikt dat u kunt downloaden vanuit het beheercentrum. Nadat u het script hebt gestart, wordt u gevraagd de werking ervan voor uw omgeving te configureren, wat inhoudt dat u de site moet opgeven waarmee de server verbinding wil maken.

Als u de Microsoft-tunnel wilt gebruiken, moeten apparaten de app Microsoft Defender installeren. U downloadt de betreffende app uit de iOS-/iPadOS- of Android-appstores en implementeert deze voor gebruikers.

Architectuur

De Microsoft-tunnelgateway wordt uitgevoerd in containers die worden uitgevoerd op Linux-servers.

Componenten:

• A – Microsoft Intune.
• B- Microsoft Entra ID.
• C – Linux-server met Podman of Docker CE (zie de Linux-serververeisten voor details over welke versies Podman of Docker vereisen)
  • C.1 - Microsoft-tunnelgateway.
  • C.2 – Beheeragent.
  • C.3 – Verificatie-invoegtoepassing: autorisatie-invoegtoepassing, die wordt geverifieerd met Microsoft Entra.
• D : openbare IP of FQDN van de Microsoft-tunnel, die een taakverdeling kan voorstellen.
• E - Apparaat dat is ingeschreven voor mobiele Apparaatbeheer (MDM) of een niet-ingeschreven mobiel apparaat met Tunnel voor Mobile Application Management.
• F – Firewall
• G : interne proxyserver (optioneel).
• H - Bedrijfsnetwerk.
• I – Openbaar internet.

Acties:

• 1 - De Intune-beheerder configureert serverconfiguraties en sites. Serverconfiguraties worden gekoppeld aan sites.
• 2 - De Intune-beheerder installeert Microsoft Tunnel Gateway en de verificatie-invoegtoepassing verifieert Microsoft Tunnel Gateway met Microsoft Entra. De Microsoft-tunnelgatewayserver is toegewezen aan een site.
• 3 - De beheeragent communiceert met Intune om uw serverconfiguratiebeleid op te halen en om telemetrielogboeken naar Intune te verzenden.
• 4 - De beheerder van Intune maakt en implementeert VPN-profielen en de Defender-app op apparaten.
• 5 - Apparaat wordt geverifieerd bij Microsoft Entra. Beleidsregels voor voorwaardelijke toegang worden geëvalueerd.
• 6 - Met split tunnel:
  • 6.a - Een deel van het verkeer gaat rechtstreeks naar het openbare internet.
  • 6.b - Een deel van het verkeer gaat naar het publieke IP-adres voor de tunnel. Het VPN-kanaal gebruikt TCP, TLS, UDP en DTLS via poort 443. Voor dit verkeer moeten binnenkomende en uitgaande firewallpoorten geopend zijn.
• 7 - De tunnel routeert verkeer naar uw interne proxy (optioneel) en/of uw bedrijfsnetwerk. IT-beheerders moeten ervoor zorgen dat verkeer van de interne interface van de Tunnel Gateway-server zonder problemen kan worden gerouteerd naar interne bedrijfsbronnen (IP-adresbereiken en -poorten).

Breken en inspecteren:

Veel bedrijfsnetwerken dwingen netwerkbeveiliging voor internetverkeer af met technologieën zoals proxyservers, firewalls, SSL break and inspect, deep packet inspection en systemen voor preventie van gegevensverlies. Deze technologieën bieden een belangrijke risicobeperking voor generieke internetaanvragen, maar kunnen de prestaties, schaalbaarheid en de kwaliteit van de gebruikerservaring aanzienlijk verminderen wanneer ze worden toegepast op Microsoft Tunnel Gateway- en Intune-service-eindpunten.

In de volgende informatie wordt beschreven waar breken en inspecteren niet wordt ondersteund. Er wordt verwezen naar het architectuurdiagram uit de vorige sectie.

• Break and inspect wordt niet ondersteund in de volgende gebieden:

  • Tunnel Gateway biedt geen ondersteuning voor SSL break-and-inspect, TLS break-and-inspect of deep packet-inspectie voor clientverbindingen.
  • Het gebruik van firewalls, proxy's, load balancers of andere technologie die de clientsessies die in de tunnelgateway worden uitgevoerd, beëindigt en inspecteert, wordt niet ondersteund en zorgt ervoor dat clientverbindingen mislukken. (Zie F, D en C in het architectuurdiagram).
  • Als Tunnel Gateway een uitgaande proxy gebruikt voor internettoegang, kan de proxyserver geen break and inspection uitvoeren. Dit komt doordat Tunnel Gateway Management Agent wederzijdse TLS-verificatie gebruikt bij het maken van verbinding met Intune (zie 3 in het architectuurdiagram). Als breken en inspecteren is ingeschakeld op de proxyserver, moeten netwerkbeheerders die de proxyserver beheren het IP-adres en de Fully Qualified Domain Name (FQDN) van de Tunnel Gateway-server toevoegen aan een goedkeuringslijst voor deze Intune-eindpunten.

Aanvullende details:

• Voorwaardelijke toegang wordt uitgevoerd in de VPN-client en is gebaseerd op de cloud-app Microsoft Tunnel Gateway. Niet-compatibele apparaten ontvangen geen toegangstoken van Microsoft Entra ID en hebben geen toegang tot de VPN-server. Zie Voorwaardelijke toegang gebruiken met Microsoft Tunnel voor meer informatie over het gebruik van voorwaardelijke toegang met Microsoft Tunnel.

• De beheeragent is geautoriseerd voor Microsoft Entra ID met behulp van Azure-app--ID/geheime sleutels.

Verwante onderwerpen

• Vereisten voor de Microsoft-tunnel in Intune
• Meer informatie over Microsoft Tunnel voor Mobile Application Management