Vereisten voor de Microsoft-tunnel in Intune

Voordat u de Microsoft Tunnel VPN-gateway voor Microsoft Intune kunt installeren, moet u de vereisten controleren en configureren. Vereisten zijn onder meer het gebruik van een Linux-server die containers draait om de Tunnel-serversoftware te hosten. Plan ook de configuratie van uw netwerk, firewalls en proxy's voor ondersteuning van de communicatie voor de Microsoft-tunnel.

Op een hoog niveau vereist de Microsoft-tunnel:

• Een Azure-abonnement.

• Een abonnement op Microsoft Intune Plan 1.

  Opmerking

  Deze voorwaarde is voor Microsoft-tunnel en omvat niet Microsoft Tunnel voor Mobile Application Management. Dit is een geavanceerde functionaliteit van Microsoft Intune waarvoor aanvullende licenties naast Microsoft Microsoft Intune zijn vereist.

• U voltooit de installatie van Microsoft Tunnel als volgt: aan het account waarmee u Tunnel Gateway bij Microsoft Intune registreert en aan uw Intune tenant moet de Microsoft Entra ID rol van Intune beheerder worden toegewezen en moet een Intune licentie worden toegewezen.

• Een Linux-server die containers uitvoert. De server kan zich on-premises of in de cloud bevinden en ondersteunt een van de volgende containertypen:

  • Podman voor Red Hat Enterprise Linux (RHEL). Zie de vereisten voor de Linux-server.
  • Docker voor alle andere Linux-distributies.

• Een TLS-certificaat (Transport Layer Security) voor de Linux-server om verbindingen van apparaten met de Tunnel Gateway-server te beveiligen.

• Apparaten waarop Android of iOS/iPadOS wordt uitgevoerd.

Nadat u de vereisten hebt geconfigureerd, raden we u aan het hulpprogramma Gereedheid uit te voeren om te controleren of uw omgeving goed is geconfigureerd voor een geslaagde installatie.

In de volgende secties worden de vereisten voor de Microsoft-Tunnel beschreven en worden richtlijnen gegeven voor het gebruik van het hulpprogramma voor gereedheid.

Cloudondersteuning voor de overheid

Microsoft-tunnel wordt ondersteund in de volgende soevereine cloudomgevingen:

• Amerikaanse Government Community Cloud (GCC) High

Microsoft Tunnel wordt niet ondersteund op Microsoft Azure beheerd door 21Vianet.

Zie de servicebeschrijving van de GCC-service van de Amerikaanse overheid voor Microsoft Intune for US Government voor meer informatie.

Linux server

Een virtuele machine of een fysieke server voor Linux instellen waarop de Microsoft Tunnel Gateway moet worden geïnstalleerd.

• Ondersteunde Linux-distributies - De volgende tabel laat zien welke versies van Linux worden ondersteund voor de Tunnel-server en welke container ze nodig hebben:

  Distributieversie	Vereisten voor containers	Overwegingen
  Rode hoed (RHEL) 8.9	Podman 4.4.1	Ondersteuning eindigt in november 2025. Deze versie van RHEL laadt de ip_tables module niet automatisch in de Linux kernel. Wanneer u deze versie gebruikt, moet u van plan zijn om de ip_tables handmatig te laden voordat Tunnel wordt geïnstalleerd. Containers gemaakt door Podman v3 en eerder kunnen niet worden gebruikt met Podman v4.2 en hoger. Als u containers upgradet en wijzigt, plan dan om nieuwe containers te maken en om Microsoft Tunnel te verwijderen en vervolgens opnieuw te installeren.
  Rode hoed (RHEL) 8.10	Podman 4.9.4-rhel (standaard)	Deze versie van RHEL laadt de ip_tables module niet automatisch in de Linux kernel. Wanneer u deze versie gebruikt, moet u van plan zijn om de ip_tables handmatig te laden voordat Tunnel wordt geïnstalleerd. Containers gemaakt door Podman v3 en eerder kunnen niet worden gebruikt met Podman v4.2 en hoger. Als u containers upgradet en wijzigt, plan dan om nieuwe containers te maken en om Microsoft Tunnel te verwijderen en vervolgens opnieuw te installeren.
  Rode hoed (RHEL) 9.3	Podman 4.6.1. (standaard)	Ondersteuning eindigt in november 2025. Deze versie van RHEL laadt de ip_tables module niet automatisch in de Linux kernel. Wanneer u deze versie gebruikt, moet u van plan zijn om de ip_tables handmatig te laden voordat Tunnel wordt geïnstalleerd. Containers gemaakt door Podman v3 en eerder kunnen niet worden gebruikt met Podman v4.2 en hoger. Als u containers upgradet en wijzigt, plan dan om nieuwe containers te maken en om Microsoft Tunnel te verwijderen en vervolgens opnieuw te installeren.
  Rode hoed (RHEL) 9.4	Podman 4.9.4-rhel (standaard)	Ondersteuning eindigt in november 2025. Deze versie van RHEL laadt de ip_tables module niet automatisch in de Linux kernel. Wanneer u deze versie gebruikt, moet u van plan zijn om de ip_tables handmatig te laden voordat Tunnel wordt geïnstalleerd. Containers gemaakt door Podman v3 en eerder kunnen niet worden gebruikt met Podman v4.2 en hoger. Als u containers upgradet en wijzigt, plan dan om nieuwe containers te maken en om Microsoft Tunnel te verwijderen en vervolgens opnieuw te installeren.
  Rode hoed (RHEL) 9.5	Podman 5.2.2 (standaard)	Deze versie van RHEL laadt de ip_tables module niet automatisch in de Linux kernel. Wanneer u deze versie gebruikt, moet u van plan zijn om de ip_tables handmatig te laden voordat Tunnel wordt geïnstalleerd. Containers gemaakt door Podman v3 en eerder kunnen niet worden gebruikt met Podman v4.2 en hoger. Als u containers upgradet en wijzigt, plan dan om nieuwe containers te maken en om Microsoft Tunnel te verwijderen en vervolgens opnieuw te installeren.
  Rode hoed (RHEL) 9.6	Podman 5.4.0 (standaard)	Deze versie van RHEL laadt de ip_tables module niet automatisch in de Linux kernel. Wanneer u deze versie gebruikt, moet u van plan zijn om de ip_tables handmatig te laden voordat Tunnel wordt geïnstalleerd. Containers gemaakt door Podman v3 en eerder kunnen niet worden gebruikt met Podman v4.2 en hoger. Als u containers upgradet en wijzigt, plan dan om nieuwe containers te maken en om Microsoft Tunnel te verwijderen en vervolgens opnieuw te installeren.
  Rode hoed (RHEL) 9.7	Podman 5.8.2 (standaard)	Deze versie van RHEL laadt de ip_tables module niet automatisch in de Linux kernel. Wanneer u deze versie gebruikt, moet u van plan zijn om de ip_tables handmatig te laden voordat Tunnel wordt geïnstalleerd. Containers gemaakt door Podman v3 en eerder kunnen niet worden gebruikt met Podman v4.2 en hoger. Als u containers upgradet en wijzigt, plan dan om nieuwe containers te maken en om Microsoft Tunnel te verwijderen en vervolgens opnieuw te installeren.
  Rode hoed (RHEL) 9.8	Podman 5.8.2+ (standaard)	Deze versie van RHEL laadt de ip_tables module niet automatisch in de Linux kernel. Wanneer u deze versie gebruikt, moet u van plan zijn om de ip_tables handmatig te laden voordat Tunnel wordt geïnstalleerd. Containers gemaakt door Podman v3 en eerder kunnen niet worden gebruikt met Podman v4.2 en hoger. Als u containers upgradet en wijzigt, plan dan om nieuwe containers te maken en om Microsoft Tunnel te verwijderen en vervolgens opnieuw te installeren.
  Red Hat (RHEL) 10.0	Podman 5.4.0 (standaard)	Deze versie van RHEL laadt de ip_tables module niet automatisch in de Linux kernel. Wanneer u deze versie gebruikt, moet u van plan zijn om de ip_tables handmatig te laden voordat Tunnel wordt geïnstalleerd. Containers gemaakt door Podman v3 en eerder kunnen niet worden gebruikt met Podman v4.2 en hoger. Als u containers upgradet en wijzigt, plan dan om nieuwe containers te maken en om Microsoft Tunnel te verwijderen en vervolgens opnieuw te installeren.
  Rode hoed (RHEL) 10.1	Podman 5.8.2 (standaard)	Deze versie van RHEL laadt de ip_tables module niet automatisch in de Linux kernel. Wanneer u deze versie gebruikt, moet u van plan zijn om de ip_tables handmatig te laden voordat Tunnel wordt geïnstalleerd. Containers gemaakt door Podman v3 en eerder kunnen niet worden gebruikt met Podman v4.2 en hoger. Als u containers upgradet en wijzigt, plan dan om nieuwe containers te maken en om Microsoft Tunnel te verwijderen en vervolgens opnieuw te installeren.
  Ubuntu 24.04	Docker CE
  Ubuntu 26.04	Docker CE

  Belangrijk

  In april 2023 beëindigt Ubuntu de ondersteuning voor Ubuntu 18.04. Nu de ondersteuning voor Ubuntu wordt beëindigd, beëindigt Intune ook de ondersteuning voor Ubuntu 18.04 voor gebruik met Microsoft Tunnel. Raadpleeg https://wiki.ubuntu.com/Releases voor meer informatie.

• De grootte van de Linux-server: Gebruik de volgende richtlijnen om aan het verwachte gebruik te voldoen:

  # Apparaten	# CPU's	Memory GB	# servers	# Sites	Schijfruimte GB
  1,000	4	4	1	1	30
  2,000	4	4	1	1	30
  5,000	8	8	2	1	30
  10.000	8	8	3	1	30
  20.000	8	8	4	1	30
  40,000	8	8	8	1	30

  Ondersteuning wordt lineair geschaald. Hoewel elke Microsoft-tunnel tot 64.000 gelijktijdige verbindingen ondersteunt, kunnen afzonderlijke apparaten meerdere verbindingen openen.

• CPU: 64-bits AMD/Intel-processor.

• Installeer Docker CE of Podman: Afhankelijk van de versie van Linux die u gebruikt voor uw Tunnel-server, installeert u een van de volgende op de server:

  • Docker versie 19.03 CE of hoger.
  • Podman versie 3.0 of 4.0, afhankelijk van de versie van RHEL.

  Voor Microsoft Tunnel is Docker of Podman op de Linux-server vereist om ondersteuning te bieden voor containers. Containers zorgen voor een consistente uitvoeringsomgeving, statusbewaking en proactief herstel en een schone upgrade-ervaring.

  Voor informatie over het installeren en configureren van Docker of Podman raadpleegt u:

  • Installeer Docker Engine op CentOS of Red Hat Enterprise Linux 7.

    Opmerking

    De voorgaande link leidt u naar de download- en installatie-instructies van CentOS. Gebruik dezelfde instructies voor RHEL 7.4. De versie die standaard op RHEL 7.4 is geïnstalleerd, is te oud om Microsoft Tunnel Gateway te ondersteunen.

  • Installeer Docker Engine op Ubuntu.

  • Installeer Podman op Red Hat Enterprise Linux 8.4 en hoger (scroll omlaag naar RHEL8).

    Deze versies van RHEL bieden geen ondersteuning voor Docker. In plaats daarvan gebruiken deze versies Podman en maakt podman deel uit van een module genaamd "container-tools". In deze context is een module een set RPM-pakketten die een onderdeel vertegenwoordigen en die meestal samen worden geïnstalleerd. Een typische module bevat pakketten met een toepassing, pakketten met de toepassingsspecifieke afhankelijkheidsbibliotheken, pakketten met documentatie voor de toepassing en pakketten met hulpprogramma's voor helper. Zie Inleiding tot modules in de Red Hat-documentatie voor meer informatie.

    Opmerking

    Podman zonder root: Microsoft Tunnel ondersteunt het gebruik van een rootless Podman-container.

    Voor het gebruik van rootless Podman zijn aanvullende vereisten vereist naast de vereisten die in dit artikel worden beschreven, en moet een aangepaste opdrachtregel worden gebruikt wanneer u het installatiescript van de tunnel start. Zie Een rootless Podman-container gebruiken in het artikel Microsoft Tunnel configureren voor Intune voor meer informatie over de aanvullende vereisten en de installatieopdrachtregel.

• Transport Layer Security (TLS)-certificaat: De Linux-server vereist een vertrouwd TLS-certificaat om de verbinding tussen apparaten en de Tunnel Gateway-server te beveiligen. Tijdens de installatie van de Tunnel Gateway voegt u het TLS-certificaat en de volledige vertrouwde certificaatketen toe aan de server.

  • De Subject Alternative Name (SAN) van het TLS-certificaat dat u gebruikt om het Tunnel Gateway-eindpunt te beveiligen, moet overeenkomen met het IP-adres of de FQDN van de tunnelgatewayserver.

  • Voor iOS-apparaten moeten openbare TLS-certificaten worden uitgegeven door de basiscertificeringsinstantie en hebben ze een maximale vervaldatum van 398 dagen. Certificaten die zijn uitgegeven door door een gebruiker toegevoegde of door een beheerder toegevoegde basiscertificeringsinstanties kunnen een maximale verloopdatum hebben van maximaal twee jaar (730 dagen). Zie Informatie over toekomstige limieten voor vertrouwde certificaten op support.apple.com voor meer informatie over deze TLS-certificaatvereisten.

  • Voor Android-apparaten wordt aanbevolen dat openbare TLS-certificaten die worden uitgegeven vanuit de basiscertificeringsinstantie een maximale vervaldatum van 398 dagen hebben.

  • Ondersteuning van jokertekens is beperkt. * .contoso.com wordt bijvoorbeeld ondersteund, maar cont*.com niet.

  • Tijdens de installatie van de Tunnel Gateway-server moet u de hele keten van vertrouwde certificaten kopiëren naar uw Linux-server. Het installatiescript bevat de locatie waar u de certificaatbestanden kopieert en vraagt u dit te doen.

  • Als u een TLS-certificaat gebruikt dat niet openbaar wordt vertrouwd, moet u de hele vertrouwensketen naar apparaten pushen met een Intune vertrouwd certificaatprofiel.

  • Het TLS-certificaat kan de indeling PEM of pfx hebben.

  • Ter ondersteuning van de statuscontrole van het TLS-certificaat moet u ervoor zorgen dat het OCSP-adres (Online Certificate Status Protocol) of het CRL-adres (Certificate Revocation List), zoals gedefinieerd door het TLS-certificaat, toegankelijk is vanaf de server.

  • Configureer het certificaat voor tunnelclients met een sleutel die 2048 bits of groter is. We raden grotere sleutels aan zodat uw implementatie ondersteuning blijft houden voor toekomstige en zich ontwikkelende SSL/TLS-vereisten door verschillende SSL/TLS-bibliotheekoplossingen.

    Tip

    Bekijk regelmatig de vereisten van de door u gekozen SSL/TLS-bibliotheek om ervoor te zorgen dat uw infrastructuur en certificaten ondersteund blijven en voldoen aan de recente wijzigingen voor die bibliotheek, en geef indien nodig tunnelclientcertificaten opnieuw uit om up-to-date te blijven met de veranderende vereisten van uw oplossing.

• TLS-versie: verbindingen tussen Microsoft Tunnel-clients en servers gebruiken standaard TLS 1.3. Als TLS 1.3 niet beschikbaar is, kan de verbinding terugvallen op TLS 1.2.

Standaardbrugnetwerk

Zowel Podman- als Docker-containers gebruiken een brugnetwerk om verkeer door te sturen via de Linux-host. Wanneer het containerbrugnetwerk een conflict veroorzaakt met een bedrijfsnetwerk, kan Tunnel Gateway geen verkeer naar dat bedrijfsnetwerk routeren.

De standaardbrugnetwerken zijn:

• Dokwerker: 172.17.0.0/16
• Podman: 10.88.0.0/16

Om conflicten te voorkomen, kunt u zowel Podman als Docker opnieuw configureren om een brugnetwerk te gebruiken dat u opgeeft.

Het standaardbrugnetwerk wijzigen dat door Docker wordt gebruikt

Docker gebruikt het bestand /etc/docker/daemon.json om een nieuw standaard brug-IP-adres te configureren. In het bestand moet het IP-adres van de brug worden opgegeven in CIDR-notatie (Classless inter-domain routing), een compacte manier om een IP-adres weer te geven, samen met het bijbehorende subnetmasker en routeringsvoorvoegsel.

1. Gebruik de volgende opdracht om de MS Tunnel Gateway-container te stoppen: sudo mst-cli server stop ; sudo mst-cli agent stop

2. Voer vervolgens de volgende opdracht uit om het bestaande Docker-brugapparaat te verwijderen: sudo ip link del docker0

3. Als het bestand /etc/docker/daemon.json aanwezig is op uw server, gebruikt u een bestandseditor zoals vi of nano om het bestand te wijzigen. Voer de bestandseditor uit met de machtigingen Root of Sudo:

   • Wanneer de vermelding "bip": aanwezig is met een IP-adres, wijzig dit dan door een nieuw IP-adres toe te voegen in CIDR-notatie.
   • Als de vermelding "bip": niet aanwezig is, moet u zowel de waarde "bip" als het nieuwe IP-adres in CIDR-notatie toevoegen.

   Het volgende voorbeeld toont de structuur van een daemon.json-bestand met een bijgewerkte vermelding "bip": die gebruikmaakt van het gewijzigde IP-adres "192.168.128.1/24".

   Voorbeeld van daemon.json:

   {
   "bip": "192.168.128.1/24"
   }
   

4. Als het bestand /etc/docker/daemon.json niet aanwezig is op uw server, voert u een opdracht uit die vergelijkbaar is met het volgende voorbeeld om het bestand te maken en het IP-adres van de brug te definiëren dat u wilt gebruiken.

   Voorbeeld: sudo echo '{ "bip":"192.168.128.1/24" }' > /etc/docker/daemon.json

5. Gebruik de volgende opdracht om de MS Tunnel Gateway-container te starten: sudo mst-cli agent start ; sudo mst-cli server start

Zie Brugnetwerken gebruiken in de Docker-documentatie voor meer informatie.

Het standaardbrugnetwerk wijzigen dat door Podman wordt gebruikt

Podman gebruikt het bestand /etc/cni/net.d als 87-podman-bridge.conflist om een nieuw standaard brug-IP-adres te configureren.

1. Gebruik de volgende opdracht om de MS Tunnel Gateway-container te stoppen: sudo mst-cli server stop ; sudo mst-cli agent stop

2. Voer vervolgens de volgende opdracht uit om het bestaande Podman-brugapparaat te verwijderen: sudo ip link del cni-podman0

3. Gebruik root-machtigingen en een bestandseditor zoals vi of nano om /etc/cni/net.d te wijzigen als 87-podman-bridge.conflist om de standaardwaarden voor "subnet:" en "gateway:" bij te werken door de standaardwaarden van Podman te vervangen door de gewenste subnet- en gateway-adressen. Het subnetadres moet worden opgegeven in CIDR-notatie.

   De standaardinstellingen voor Podman zijn:

   • Subnet: 10.88.0.0/16
   • Toegangspoort: 10.88.0.1

4. Gebruik de volgende opdracht om de MS Tunnel Gateway-containers opnieuw te starten: sudo mst-cli agent start ; sudo mst-cli server start

Zie Containernetwerken configureren met Podman in de Red Hat-documentatie voor meer informatie.

Linux-systeemcontrole

Linux-systeemcontrole kan helpen bij het identificeren van beveiligingsrelevante informatie of beveiligingsschendingen op een Linux-server die als host fungeert voor Microsoft-tunnel. Linux-systeemcontrole wordt aanbevolen voor Microsoft Tunnel, maar is niet vereist. Om systeemcontrole te kunnen gebruiken, moet op een Linux-server het gecontroleerde pakket zijn geïnstalleerd om ./etc/audit/auditd.conf

Elke keer dat u het hulpprogramma mst-readiness uitvoert, kan in het hulpprogramma een waarschuwing worden weergegeven dat auditd ontbreekt. Om de controle van tunnelspecifieke mappen in te schakelen, moet u ervoor zorgen dat u het gecontroleerde pakket installeert voordat u mstunnel-setup uitvoert.

Details over het implementeren van controles zijn afhankelijk van het Linux-platform dat u gebruikt:

• Red Hat: Versies van Red Had Enterprise Linux 7 en hoger installeren standaard het gecontroleerde pakket. Als het pakket echter niet is geïnstalleerd, kunt u de volgende opdrachtregel op de Linux-server gebruiken om het te installeren:sudo dnf install audit audispd-plugins

  Doorgaans is het gecontroleerde pakket beschikbaar in de standaardrepository van elke REHL-versie.

  Voor meer informatie over het gebruik van systeemauditing op RHEL, zie Configure Linux system auditing with auditd in the Red Hat Blog.

• Ubuntu: Als u systeemcontrole met Ubuntu wilt gebruiken, moet u het gecontroleerde pakket handmatig installeren. Gebruik hiervoor de volgende opdrachtregel op de Linux-server:sudo apt install auditd audispd-plugins

  Meestal is het gecontroleerde pakket beschikbaar in de standaardrepository van elke Ubuntu-versie.

  Voor meer informatie over het gebruik van systeemcontrole op Ubuntu raadpleegt u How to setup and install Auditd on Ubuntu, een artikel dat beschikbaar is op de website van dev.to dat oorspronkelijk is gepubliceerd op kubefront.com.

Netwerk

• Schakel pakketdoorsturen in voor IPv4: Voor elke Linux-server waarop de tunnelserversoftware wordt gehost, moet IP forwarding voor IPv4 zijn ingeschakeld. Als u de status van IP-doorsturen wilt controleren, voert u op de server een van de volgende algemene opdrachten uit als root of sudo. Beide opdrachten retourneren de waarde 0 voor uitgeschakeld en 1 vooringeschakeld:

  • sysctl net.ipv4.ip_forward
  • cat /proc/sys/net/ipv4/ip_forward

  Als deze optie niet is ingeschakeld, kunt u tijdelijk IP doorsturen inschakelen door een van de volgende algemene opdrachten als root of sudo uit te voeren op de server. Met deze opdrachten kunt u de configuratie voor het doorsturen van IP-adressen wijzigen totdat de server opnieuw wordt opgestart. Nadat de server opnieuw is opgestart, wordt het doorstuurgedrag van IP hersteld naar de vorige status. Gebruik voor beide opdrachten de waarde 1 om doorsturen in te schakelen . Met de waarde 0 wordt doorsturen uitgeschakeld. In de volgende opdrachtvoorbeelden wordt de waarde 1 gebruikt om doorsturen in te schakelen :

  • sysctl -w net.ipv4.ip_forward=1
  • echo 1 > /proc/sys/net/ipv4/ip_forward

  Als u het doorsturen van IP permanent wilt maken, bewerkt u op elke Linux server het bestand /etc/sysctl.conf en verwijdert u de voorloophashtag (#) uit #net.ipv4.ip_forward=1 om het doorsturen van pakketten mogelijk te maken. Na het bewerken moet het item er als volgt uitzien:

  # Uncomment the next line to enable packet forwarding for IPv4
  net.ipv4.ip_forward=1
  

  Deze wijziging wordt pas van kracht nadat u de server opnieuw hebt opgestart of .sysctl -p

  Als de verwachte vermelding niet aanwezig is in het bestand sysctl.conf, raadpleeg dan de documentatie voor de distributie die u gebruikt voor het inschakelen van IP forwarding. Meestal kunt u sysctl.conf bewerken om de ontbrekende regel aan het einde van het bestand toe te voegen om IP-doorsturen permanent in te schakelen.

• Meerdere NIC's per server configureren(optioneel): we raden aan om twee Network Interface Controllers (NIC's) per Linux-server te gebruiken om de prestaties te verbeteren, hoewel het gebruik van twee optioneel is.

  • NIC 1 : deze NIC verwerkt verkeer van uw beheerde apparaten en moet zich op een openbaar netwerk met een openbaar IP-adres bevinden.  Dit IP-adres is het adres dat u configureert in de Siteconfiguratie. Dit adres kan een enkele server of een load balancer voorstellen.

  • NIC 2 : deze NIC verwerkt verkeer naar uw on-premises bronnen en moet zich in uw interne privénetwerk bevinden, zonder netwerksegmentatie.

• Zorg ervoor dat cloud-Linux-VM's toegang hebben tot uw on-premises netwerk: Als u Linux als een VM in een cloud uitvoert, zorg er dan voor dat de server toegang heeft tot uw on-premises netwerk. Voor een VM in Azure kunt u bijvoorbeeld Azure ExpressRoute of iets dergelijks gebruiken om toegang te bieden. Azure ExpressRoute is niet nodig wanneer u de server on-premises uitvoert in een VM.

• Load balancers(optioneel): als je ervoor kiest om een load balancer toe te voegen, raadpleeg je de documentatie van je leverancier voor configuratiedetails. Houd rekening met netwerkverkeer en firewallpoorten die specifiek zijn voor Intune en de Microsoft-tunnel.

  De tunnelserver reageert op GET-aanvragen met een statische pagina. De reactie wordt door load balancers gebruikt als een probe om de liveness van de Tunnel-server te controleren. Het antwoord is statisch en bevat geen gevoelige informatie.

• VPN-ondersteuning per app en topleveldomein: gebruik per app VPN met intern gebruik van lokale topleveldomeinen wordt niet ondersteund door Microsoft Tunnel.

Firewall

Standaard gebruiken de Microsoft-tunnel en server de volgende poorten:

Binnenkomende poorten:

• TCP 443 – vereist door Microsoft Tunnel.
• UDP 443 – vereist door Microsoft Tunnel.
• TCP 22 – Optioneel. Wordt gebruikt voor SSH/SCP naar de Linux-server.

Uitgaande poorten:

• TCP 443: vereist voor toegang tot Intune-services. Vereist door Docker of Podman om afbeeldingen op te halen.

Bij het maken van de serverconfiguratie voor de tunnel kunt u een andere poort opgeven dan de standaardpoort van 443. Als u een andere poort opgeeft, configureert u firewalls zodat deze uw configuratie ondersteunen.

Meer vereisten:

Als u toegang wilt krijgen tot de beveiligingstokenservice en Azure-opslag voor logboeken, moet u toegang bieden tot de volgende FQDN's:

• Security Token Service: *.sts.windows.net
• Azure-opslag voor tunnellogboeken:*.blob.core.windows.net
• Andere eindpunt-URL's voor opslag: *.blob.storage.azure.net
• Microsoft Intune:*.manage.microsoft.com
• Microsoft-verificatie: login.microsoftonline.com
• Microsoft Graph: graph.microsoft.com
• Firewallregels configureren ter ondersteuning van de configuraties die worden beschreven in de configuratie van de firewallregels voor clients van Microsoft-artefactregister (MAR).

Proxy

U kunt een proxyserver gebruiken met Microsoft Tunnel.

De volgende overwegingen kunnen u helpen bij het configureren van de Linux-server en uw omgeving:

Een uitgaande proxy configureren voor Docker

• Als u een interne proxy gebruikt, moet u mogelijk de Linux-host configureren om uw proxyserver te gebruiken met behulp van omgevingsvariabelen. Om de variabelen te gebruiken, bewerkt u het bestand /etc/environment op de Linux-server en voegt u de volgende regels toe, waarbij u het adres in elke regel vervangt door het adres van uw proxy-IP-adres:poort:

  http_proxy=address
https_proxy=address

• Geverifieerde proxy's worden niet ondersteund.

• De proxy kan geen break-and-check uitvoeren omdat de Linux-server wederzijdse TLS-verificatie gebruikt bij het maken van verbinding met Intune.

• Configureer Docker om de proxy te gebruiken om afbeeldingen op te halen. Om dit te doen, bewerkt u het bestand /etc/systemd/docker.service.d/http-proxy.conf op de Linux-server en voegt u de volgende regels toe:

  [Service]
  Environment="HTTP_PROXY=http://your.proxy:8080/"
  Environment="HTTPS_PROXY=https://your.proxy:8080/"
  Environment="NO_PROXY=127.0.0.1,localhost"
  

  Opmerking

  Microsoft Tunnel biedt geen ondersteuning voor Microsoft Entra Application Proxy of vergelijkbare proxyoplossingen.

Een uitgaande proxy configureren voor Podman

De volgende details kunnen u helpen bij het configureren van een interne proxy bij het gebruik van Podman:

• Geverifieerde proxy's worden niet ondersteund.

• De proxy kan geen break-and-check uitvoeren omdat de Linux-server wederzijdse TLS-verificatie gebruikt bij het maken van verbinding met Intune.

• Podman leest HTTP-proxy-informatie die is opgeslagen in /etc/profile.d/http_proxy.sh. Als dit bestand niet aanwezig is op de server, maakt u het. Bewerk http_proxy.sh om de volgende twee regels toe te voegen. In de volgende regels is 10.10.10.1:3128 een voorbeeld address:port entry. Wanneer u deze regels toevoegt, vervangt u 10.10.10.1:3128 door de waarden voor het IP-adres van uw proxy :poort:

  export HTTP_PROXY=http://10.10.10.1:3128
export HTTPS_PROXY=http://10.10.10.1:3128

  Als u toegang hebt tot Red Hat Customer Portal, kunt u het Knowledge Base-artikel bekijken dat bij deze oplossing hoort. Zie HTTP-proxyvariabelen instellen voor Podman - Red Hat Customer Portal.

• Wanneer u deze twee regels aan http_proxy.sh toevoegt voordat u Microsoft Tunnel Gateway installeert door mstunnel-setup uit te voeren, configureert het script automatisch de Tunnel Gateway-proxy-omgevingsvariabelen in /etc/mstunnel/env.sh.

  Voer de volgende acties uit om een proxy te configureren nadat de installatie van de Microsoft-tunnelgateway is voltooid:

  1. Wijzig of maak het bestand /etc/profile.d/http_proxy.sh en voeg de twee regels uit het vorige opsommingsteken toe.

  2. Bewerk /etc/mstunnel/env.sh en voeg de volgende twee regels toe aan het einde van het bestand. Net zoals bij de vorige regels, vervangt u de voorbeeldwaarde address :port van 10.10.10.1:3128 door de waarden voor uw proxy IP-adres:poort:

     HTTP_PROXY=http://10.10.10.1:3128
HTTPS_PROXY=http://10.10.10.1:3128

  3. Start de Tunnel Gateway-server opnieuw: Voer mst-cli server restart

  Let op: RHEL maakt gebruik van SELinux. Omdat een proxy die niet wordt uitgevoerd op een SELinux-poort voor http_port_t extra configuratie kan vereisen, moet u het gebruik van SELinux-beheerde poorten voor http controleren. Voer de volgende opdracht uit om de configuraties weer te geven: sudo semanage port -l | grep "http_port_t"

  Voorbeeld van de resultaten van de opdracht Port Check. In dit voorbeeld gebruikt de proxy 3128 en wordt deze niet weergegeven:

  

  • Als uw proxy wordt uitgevoerd op een van de SELinux-poorten voor http_port_t, kunt u doorgaan met het installatieproces van de tunnelgateway.

  • Als uw proxy niet wordt uitgevoerd op een SELinux-poort voor http_port_t zoals in het vorige voorbeeld, moet u extra configuraties maken.

    Als uw proxypoort niet wordt vermeld voorhttp_port_t, controleert u of de proxypoort wordt gebruikt door een andere service. Gebruik de opdracht semanage om eerst de poort te controleren die door uw proxy wordt gebruikt en later, indien nodig, om deze te wijzigen. Voer het volgende uit om te controleren welke poort door uw proxy wordt gebruikt: sudo semanage port -l | grep "your proxy port"

    Voorbeeld van de resultaten van het zoeken naar een service die de poort zou kunnen gebruiken:

    

    • In het voorbeeld wordt de verwachte poort (3128) gebruikt door inktvis, wat toevallig een OSS-proxyservice is. Squid proxy SELinux-beleid maakt deel uit van veel voorkomende distributies. Omdat squid poort 3128 (onze voorbeeldpoort) gebruikt, moeten we de http_port_t poorten aanpassen en poort 3128 toevoegen om deze toe te staan via SELinux voor de proxy die door Tunnel wordt gebruikt. Voer de volgende opdracht uit om het poortgebruik te wijzigen: sudo semanage port -m -t http_port_t -p tcp "your proxy port"

      Voorbeeld van de opdracht om de poort te wijzigen:

      

      Nadat u de opdracht voor het wijzigen van de poort hebt uitgevoerd, voert u de volgende opdracht uit om te controleren of de poort wordt gebruikt door een andere service: sudo semanage port -l | grep "your proxy port"

      Voorbeeld van de opdracht om de poort te controleren na het wijzigen van de poort:

      

      In dit voorbeeld is poort 3128 nu gekoppeld aan zowel http_port-t als squid_port_t. Dat resultaat is te verwachten. Als uw proxypoort niet wordt weergegeven bij het uitvoeren van de opdracht sudo semanage poort -l | grep "your_proxy_port", voert u de opdracht uit om de poort opnieuw te wijzigen, maar de -m in de opdracht semanage met -a: sudo semanage port -a -t http_port_t -p tcp "your proxy port"

Podman configureren om de proxy te gebruiken om image-updates te downloaden

U kunt Podman configureren om de proxy te gebruiken om bijgewerkte installatiekopieën voor Podman te downloaden (pull). Deze configuratie is belangrijk voor toekomstige upgrades. Omdat het moet worden geconfigureerd nadat de tunnelgateway is geïnstalleerd, vermelden we dit hier, maar hebben we de configuratierichtlijnen voor Podman configureren voor het gebruik van de proxy voor het downloaden van image-updates toegevoegd in het artikel Microsoft Tunnel configureren als een taak die moet worden voltooid na de installatie van de tunnelgatewayserver.

Platforms

Apparaten moeten worden ingeschreven bij Intune om te kunnen worden ondersteund met Microsoft Tunnel. Alleen de volgende apparaatplatforms worden ondersteund:

• iOS/iPadOS

• Android Enterprise:

  • Volledig beheerd
  • Corporate-Owned werkprofiel
  • Personally-Owned Werkprofiel

  Opmerking

  Specifieke Android Enterprise-apparaten worden niet ondersteund door Microsoft Tunnel.

  Belangrijk

  Ondersteuning voor Android 10 in Microsoft Tunnel is beëindigd op 31 maart 2026. Apparaten met Android 10 moeten upgraden naar Android 11 of hoger om Microsoft Tunnel te kunnen blijven gebruiken.

Alle platforms ondersteunen de volgende functionaliteit:

• Microsoft Entra-verificatie voor de tunnel met behulp van gebruikersnaam en wachtwoord.
• Active Directory Federation Services (AD FS)-verificatie voor de tunnel met behulp van gebruikersnaam en wachtwoord.
• Ondersteuning per app.
• Handmatige tunnel voor het volledige apparaat via een tunnel-app, waarbij de gebruiker VPN start en Verbinding maken selecteert.
• Gedeelde tunneling. In iOS worden regels voor split tunneling echter genegeerd wanneer je VPN-profiel per app VPN gebruikt.

Ondersteuning voor een proxy is beperkt tot de volgende platforms:

• Android 11 en hoger
• iOS/iPadOS

Machtigingen

Voor het beheren van de Microsoft-tunnel moeten gebruikers beschikken over machtigingen die zijn opgenomen in de groep Microsoft Tunnel Gateway-machtigingen in Intune. Standaard beschikken Intune-beheerders en Microsoft Entra-beheerders over deze machtigingen. U kunt ze ook toevoegen aan aangepaste rollen die u voor uw Intune tenant maakt.

Vouw tijdens het configureren van een rol op de pagina Machtigingen Microsoft Tunnel Gateway uit en selecteer de machtigingen die u wilt verlenen.

De groep Microsoft Tunnel Gateway-machtigingen verleent de volgende machtigingen:

• Microsoft Tunnel Gateway-servers en -sites maken en configureren. Serverconfiguraties omvatten instellingen voor IP-adresbereiken, DNS-servers, poorten en regels voor gedeelde tunneling. Sites zijn logische groeperingen van meerdere servers die Microsoft Tunnel ondersteunen.

• Bijwerken (wijzigen) - Werk Microsoft Tunnel Gateway-serverconfiguraties en -sites bij. Serverconfiguraties omvatten instellingen voor IP-adresbereiken, DNS-servers, poorten en regels voor gedeelde tunneling. Sites zijn logische groeperingen van meerdere servers die Microsoft Tunnel ondersteunen.

• Verwijderen : Microsoft Tunnel Gateway-serverconfiguraties en -sites verwijderen. Serverconfiguraties omvatten instellingen voor IP-adresbereiken, DNS-servers, poorten en regels voor gedeelde tunneling. Sites zijn logische groeperingen van meerdere servers die Microsoft Tunnel ondersteunen.

• Lezen - Microsoft Tunnel Gateway-serverconfiguraties en -sites bekijken. Serverconfiguraties omvatten instellingen voor IP-adresbereiken, DNS-servers, poorten en regels voor gedeelde tunneling. Sites zijn logische groeperingen van meerdere servers die Microsoft Tunnel ondersteunen.

Het hulpprogramma Gereedheid uitvoeren

Voordat u een serverinstallatie start, wordt u aangeraden de meest recente versie van het hulpprogramma mst-readiness te downloaden en uit te voeren. Het hulpprogramma is een script dat op uw Linux-server draait en de volgende acties uitvoert:

• Valideert dat het Microsoft Entra-account dat je gebruikt om Microsoft Tunnel te installeren, de vereiste rollen heeft om de inschrijving te voltooien.

• Hiermee wordt bevestigd dat uw netwerkconfiguratie Microsoft-tunnel toegang geeft tot de vereiste Microsoft-eindpunten.

• Hiermee wordt gecontroleerd op de aanwezigheid van de ip_tables-module op de Linux-server. Deze controle is toegevoegd aan het script op 11 februari 2022, toen ondersteuning voor RHEL 8.5 werd toegevoegd. RHEL 8.5 later laadt niet standaard de ip_tables module. Als ze ontbreken nadat de Linux server is geïnstalleerd, moet u de ip_tables module handmatig laden.

Het hulpprogramma mst-readiness is afhankelijk van jq, een command-line JSON-processor. Voordat u het hulpprogramma Gereedheid uitvoert, moet u ervoor zorgen dat JQ is geïnstalleerd. Raadpleeg de documentatie voor de versie van Linux die u gebruikt voor informatie over het verkrijgen en installeren van JQ.

Het hulpprogramma Gereedheid gebruiken:

1. Download de meest recente versie van het hulpprogramma voor gereedheid door een van de volgende methoden te gebruiken:

   • Download het hulpprogramma rechtstreeks met behulp van een webbrowser. Ga naar https://aka.ms/microsofttunnelready om een bestand met de naam mst-readiness te downloaden.

   • Aanmelden bij het beheercentrum> van Microsoft IntuneTenantbeheer>Microsoft Tunnel Gateway, selecteer het tabblad Servers, selecteer Maken om het deelvenster Een server maken te openen en selecteer ten slotte het hulpprogramma Gereedheid voor downloaden.

   • Gebruik een Linux-opdracht om het hulpprogramma voor gereedheid direct op te halen. U kunt bijvoorbeeld wget of curl gebruiken om de koppeling https://aka.ms/microsofttunnelreadyte openen.

     Als u bijvoorbeeld wget en logboekgegevens wilt gebruiken om gereed te zijn voor tijdens het downloaden, voert u de volgende opdracht uit wget --output-document=mst-readiness https://aka.ms/microsofttunnelready

   Het script kan worden uitgevoerd vanaf elke Linux-server die zich op hetzelfde netwerk bevindt als de server die u wilt installeren, waardoor netwerkbeheerders het script kunnen gebruiken om zelfstandig netwerkproblemen op te lossen.

2. Als u uw netwerk en de configuratie van uw Linux-configuratie wilt valideren, voert u het script uit met de volgende opdrachten. Met deze opdrachten worden de uitvoeringsmachtigingen voor het script ingesteld, wordt gevalideerd of de tunnel verbinding kan maken met de juiste eindpunten en wordt er gecontroleerd op de aanwezigheid van hulpprogramma's die door de tunnel worden gebruikt:

   • sudo ./mst-readiness

   • sudo ./mst-readiness network - Dit commando voert de volgende acties uit en rapporteert vervolgens succes of fout voor beide:

     • Hiermee wordt geprobeerd verbinding te maken met elk Microsoft-eindpunt dat de tunnel gebruikt.
     • Hiermee wordt gecontroleerd of de vereiste poorten zijn geopend in uw firewall.

   • sudo ./mst-readiness utils - Dit commando valideert dat hulpprogramma's die door Tunnel worden gebruikt, zoals Docker of Podman en ip_tables beschikbaar zijn.

3. Om te valideren dat het account dat u gebruikt om Microsoft Tunnel te installeren de vereiste rollen en machtigingen heeft om de inschrijving te voltooien, voert u het script uit met de volgende opdrachtregel: ./mst-readiness account

   In het script wordt u gevraagd om een andere computer te gebruiken met een webbrowser, die u gebruikt voor verificatie bij Microsoft Entra ID en Intune. Het hulpprogramma meldt dat het programma is geslaagd of een fout.

Zie voor meer informatie over dit hulpprogramma de Naslaginformatie voor mst-cli in het artikel over het naslagwerk voor Microsoft Tunnel.

Handmatig gecontroleerd voor Linux-systeemcontrole installeren

Het hulpprogramma Readiness controleert op de aanwezigheid van het gecontroleerde pakket voor Linux-systeemauditing. Omdat auditd optioneel en niet vereist is, retourneert het gereedheidsscript een waarschuwing wanneer dit pakket niet wordt gedetecteerd.

Auditd wordt standaard geïnstalleerd door RHEL 7 en latere versies, maar wordt mogelijk niet standaard geïnstalleerd door Ubuntu-distributies. Als deze niet aanwezig is, kunt u het handmatig installeren op de Linux-server.

Zie Linux-systeemcontrole eerder in dit artikel voor informatie over hoe u dit handmatig installeert voordat u de tunnelserver installeert.

Als u gecontroleerd na de installatie van Microsoft Tunnel wilt installeren, raadpleegt u Install Linux system auditing after install the Tunnel server in Configure Micrfosoft Tunnel.

Handmatig laden ip_tables

Hoewel bij de meeste Linux-distributies de ip_tables-module automatisch wordt geladen, zijn sommige distributies mogelijk niet. RHEL 8.5 laadt de ip_tables bijvoorbeeld niet standaard.

Als u de aanwezigheid van deze module wilt controleren, voert u de meest recente versie van het hulpprogramma mst-readiness uit op de Linux-server. De controle op ip_tables is op 11 februari 2022 toegevoegd aan het script van de gereedheidshulpprogramma's.

Als de module niet aanwezig is, stopt het hulpprogramma bij de controle van de ip_tables module. In dit scenario kunt u de volgende opdrachten uitvoeren om de module handmatig te laden.

Laad de ip_tables module handmatig

Voer in de context van sudo de volgende opdrachten uit op uw Linux-server:

1. Valideer de aanwezigheid van ip_tables op de server: lsmod |grep ip_tables

2. Als ip_tables niet aanwezig is, voer dan de volgende opdracht uit om de module onmiddellijk in de kernel te laden, zonder opnieuw op te starten: /sbin/modprobe ip_tables

3. Voer de validatie opnieuw uit om te controleren of de tabellen nu worden geladen: lsmod |grep ip_tables

Configureren Linux om ip_tables te laden bij het opstarten

Voer in de context van sudo de volgende opdracht uit op uw Linux server om een configuratiebestand te maken dat de ip_tables tijdens het opstarten in de kernel laadt:echo ip_tables > /etc/modules-load.d/mstunnel_iptables.conf

Laad de tun-module handmatig

Microsoft Tunnel vereist de tun-module, maar sommige Linux-distributies laden de tun-module niet standaard.

Om de aanwezigheid van de tun-module op de server te valideren, voert u het volgende uit: lsmod |grep tun

1. Als tun niet aanwezig is, voer dan de volgende opdracht uit om de module onmiddellijk in de kernel te laden, zonder opnieuw op te starten: /sbin/modprobe tun

2. Voer de validatie opnieuw uit om te bevestigen dat de tun-module nu is geladen: lsmod |grep tun

Configureer Linux om tun te laden bij opstarten

Voer in de context van sudo de volgende opdracht uit op uw Linux-server om een configuratiebestand te maken dat tun in de kernel laadt tijdens het opstarten:echo tun > /etc/modules-load.d/mstunnel_tun.conf

Volgende stappen

Microsoft-tunnel configureren