Aplikacja Microsoft Tunnel dla usługi Microsoft Intune

Microsoft Tunnel to rozwiązanie bramy VPN dla usługi Microsoft Intune, które działa w kontenerze w systemie Linux i umożliwia dostęp do zasobów lokalnych z urządzeń z systemami iOS/iPadOS i Android Enterprise przy użyciu nowoczesnego uwierzytelniania i dostępu warunkowego.

W tym artykule przedstawiono podstawową aplikację Microsoft Tunnel, sposób jej działania i architekturę.

Jeśli wszystko jest gotowe do wdrożenia aplikacji Microsoft Tunnel, zobacz Wymagania wstępne dotyczące aplikacji Microsoft Tunnel, a następnie Konfigurowanie aplikacji Microsoft Tunnel.

Po wdrożeniu aplikacji Microsoft Tunnel można dodać aplikację Microsoft Tunnel do zarządzania aplikacjami mobilnymi (Tunnel dla zarządzania aplikacjami mobilnymi ). Tunnel for MAM rozszerza bramę sieci VPN Microsoft Tunnel o obsługę urządzeń z systemem Android lub iOS, które nie są zarejestrowane w usłudze Microsoft Intune. Tunnel for MAM to zaawansowana funkcja usługi Microsoft Intune, która wymaga dodatkowych licencji poza usługą Microsoft Intune.

Omówienie aplikacji Microsoft Tiger

Aplikacja Microsoft Tunnel Gateway jest instalowana w kontenerze działającym na serwerze systemu Linux. Serwer systemu Linux może być fizycznym urządzeniem w środowisku lokalnym lub maszyną wirtualną działającą lokalnie lub w chmurze. Aby skonfigurować usługę Tunnel, należy wdrożyć usługę Microsoft Defender jako aplikację kliencką Microsoft Tunnel oraz profile sieci VPN usługi Intune na urządzeniach z systemem iOS i Android. Aplikacja kliencka i profil sieci VPN umożliwiają urządzeniom korzystanie z tunelu w celu łączenia się z zasobami firmowymi. Gdy tunel jest hostowany w chmurze, musisz użyć rozwiązania, takiego jak usługa Azure ExpressRoute, aby rozszerzyć swoją sieć lokalną na chmurę.

Możliwości

Funkcje profilów sieci VPN dla tunelu obejmują:

• Przyjazna nazwa połączenia VPN, która jest widoczna dla użytkowników końcowych.

• Witryna, z którą łączy się klient sieci VPN.

• Konfiguracje VPN dla aplikacji, które określają, dla których aplikacji jest używany profil VPN, oraz czy profil VPN jest zawsze włączony, czy nie. Gdy ta funkcja jest zawsze włączona, sieć VPN automatycznie się łączy i jest używana tylko w przypadku zdefiniowanych aplikacji. Jeśli nie zdefiniowano żadnej aplikacji, zawsze włączone połączenie zapewnia tunelowy dostęp dla całego ruchu sieciowego z urządzenia.

• W przypadku urządzeń z systemem iOS, które mają usługę Microsoft Defender skonfigurowaną do obsługi sieci VPN dla poszczególnych aplikacji i tryb TunnelOnly ustawiony na wartość True, użytkownicy nie muszą otwierać ani logować się do usługi Microsoft Defender na swoim urządzeniu, aby tunel mógł być używany. Zamiast tego, gdy użytkownik jest zalogowany do portalu firmy na urządzeniu lub do dowolnej innej aplikacji używającej uwierzytelniania wieloskładnikowego, która ma ważny token dostępu, sieć VPN dla aplikacji Tunnel jest używana automatycznie. Tryb TunnelOnly jest obsługiwany w systemie iOS/iPadOS i wyłącza funkcję Defender, pozostawiając tylko możliwości tunelu.

• Ręczne połączenia z tunelem, gdy użytkownik uruchomi sieć VPN i wybierze pozycję Połącz.

• Reguły sieci VPN na żądanie, które umożliwiają korzystanie z sieci VPN, gdy są spełnione warunki dla określonych nazw FQDN lub adresów IP. (iOS/iPadOS)

• Obsługa serwera proxy. (iOS/iPadOS, Android 11+)

• Tryb ścisłego tunelowania, który blokuje cały ruch sieciowy, gdy połączenie VPN zostanie przerwane, zapewniając, że żadne dane nie omijają tunelu. W przypadku zarejestrowanych urządzeń z systemem Android tryb ścisłego tunelowania jest dostępny, gdy włączona jest zawsze włączona sieć VPN. Aby uzyskać więcej informacji, zobacz Konfigurowanie aplikacji Microsoft Tunnel. W przypadku niezarejestrowanych urządzeń korzystających z funkcji tunelowania zarządzania aplikacjami MAM tryb ścisłego tunelowania jest konfigurowany za pośrednictwem zasad konfiguracji aplikacji Microsoft Edge. Aby uzyskać więcej informacji, zobacz Aplikacja Microsoft Tunnel do MAM. (Android)

• Wykrywanie roota Androida. Klient usługi Microsoft Defender automatycznie blokuje dostęp urządzenia do aplikacji Microsoft Tunnel, jeśli ustali, że urządzenie jest zrootowane.

  Gdy urządzenie zostanie zidentyfikowane jako zrootowane, klient natychmiast oznacza kategorię ryzyka urządzenia jako wysoką, odrzuca aktywne połączenia tunelowania i kontynuuje blokowanie dostępu, dopóki urządzenie nie zostanie uznane za zgodne. Użytkownik urządzenia otrzymuje powiadomienie o tym stanie od klienta usługi Defender.

  Ta funkcja nie zastępuje korzystania z zasad zgodności usługi Intune dla systemu Android do zarządzania ustawieniami odblokowanych urządzeń, werdyktu integralności odtwarzania i wymagania, aby urządzenie znajdowało się na poziomie zagrożenia urządzenia lub poniżej. Korzystanie z zasad zgodności usługi Intune do zarządzania ustawieniami kluczy dla systemu Android obsługuje model zabezpieczeń Microsoft Zero Trust dla w pełni zarządzanych i należących do użytkownika urządzeń z systemem Android Enterprise.

Omówienie konfiguracji

Centrum administracyjne usługi Microsoft Intune umożliwia:

• Pobierz skrypt instalacyjny aplikacji Microsoft Tunnel uruchamiany na serwerach systemu Linux.
• Skonfiguruj aspekty usługi Microsoft Tunnel Gateway, takie jak adresy IP, serwery DNS i porty.
• Wdróż profile sieci VPN na urządzeniach, aby skłonić je do korzystania z tunelu.
• Wdróż usługę Microsoft Defender (aplikację kliencką Tunnel) na swoich urządzeniach.

Za pośrednictwem aplikacji Defender na urządzeniach z systemami iOS/iPadOS i Android Enterprise:

• Użyj usługi Microsoft Entra ID, aby uwierzytelnić się w tunelu.
• Użyj usług federacyjnych Active Directory Federation Services (AD FS), aby uwierzytelnić się w tunelu.
• Są oceniane pod kątem zgodności z zasadami dostępu warunkowego. Jeśli urządzenie nie jest zgodne, nie może uzyskać dostępu do Twojego serwera VPN ani do Twojej sieci lokalnej.

Możesz zainstalować wiele serwerów systemu Linux do obsługi aplikacji Microsoft Tunnel i połączyć serwery w grupy logiczne zwane lokacjami. Każdy serwer może być przyłączony do jednej witryny. Konfigurując lokację, definiujesz punkt połączenia dla urządzeń, który ma być używany podczas uzyskiwania dostępu do tunelu. Lokacje wymagają konfiguracji serwera zdefiniowanej i przypisanej do witryny. Konfiguracja serwera jest stosowana do każdego serwera dodawanego do witryny, co upraszcza konfigurację większej liczby serwerów.

Aby skierować urządzenia do korzystania z tunelu, należy utworzyć i wdrożyć zasady sieci VPN dla aplikacji Microsoft Tunnel. Te zasady są profilem VPN konfiguracji urządzenia, który używa aplikacji Microsoft Tunnel dla typu połączenia.

Konfiguracje serwera obejmują:

• Zakres adresów IP — adresy IP przypisane do urządzeń łączących się z aplikacją Microsoft Tunnel.
• Serwery DNS — serwer DNS, z którego powinny korzystać urządzenia podczas łączenia się z serwerem.
• Wyszukiwanie sufiksów DNS.
• Reguły dzielonego tunelowania — do 500 reguł wspólnych dla tras, dołączania i wykluczania. Na przykład, jeśli utworzysz 300 reguł dołączania, możesz mieć do 200 reguł wykluczania.
• Port — port, na którym nasłuchuje brama Microsoft Tunnel.

Konfiguracja lokacji obejmuje:

• Publiczny adres IP lub nazwa FQDN, która jest punktem połączenia dla urządzeń korzystających z tunelu. Ten adres może dotyczyć pojedynczego serwera albo adresu IP bądź nazwy FQDN serwera równoważenia obciążenia.
• Konfiguracja serwera, która jest stosowana do każdego serwera w lokacji.

Serwer przypisuje się do witryny w momencie instalowania oprogramowania tunelu na serwerze systemu Linux. Podczas instalacji jest używany skrypt, który można pobrać z poziomu centrum administracyjnego. Po uruchomieniu skryptu zostanie wyświetlony monit o skonfigurowanie jego działania dla środowiska, co obejmuje określenie witryny, do której serwer dołączy.

Aby można było korzystać z aplikacji Microsoft Tunnel, na urządzeniach musi być zainstalowana aplikacja Microsoft Defender . Odpowiednią aplikację można pobrać ze sklepów z aplikacjami dla systemów iOS/iPadOS lub Android i wdrożyć dla użytkowników.

Architektura

Brama Microsoft Tunnel działa w kontenerach działających na serwerach systemu Linux.

Składniki:

• A – Microsoft Intune.
• B- Microsoft Entra ID.
• C – serwer Linux z Podman lub Docker CE (Zobacz wymagania serwera Linux, aby uzyskać szczegółowe informacje o tym, które wersje wymagają Podman lub Docker)
  • C.1 — Microsoft Tunnel Gateway.
  • C.2 – Agent zarządzający.
  • C.3 – Wtyczka uwierzytelniania — wtyczka autoryzacji, która uwierzytelnia się w usłudze Microsoft Entra.
• D — publiczny adres IP lub nazwa FQDN aplikacji Microsoft Tunnel, która może reprezentować moduł równoważenia obciążenia.
• E – urządzenie zarejestrowane w usłudze Zarządzanie urządzeniami mobilnymi (MDM) lub niezarejestrowane urządzenie przenośne korzystające z aplikacji Tunnel do zarządzania aplikacjami mobilnymi.
• F – Zapora sieciowa
• G – Wewnętrzny serwer proxy (opcjonalnie).
• H – Sieć korporacyjna.
• I – Internet publiczny.

Działania:

• 1 - administrator usługi Intune konfiguruje konfiguracje serwerów i lokacje, konfiguracje serwera są skojarzone z lokacjami.
• 2. Administrator usługi Intune instaluje usługę Microsoft Tunnel Gateway, a wtyczka uwierzytelniania uwierzytelnia usługę Microsoft Tunnel Gateway za pomocą usługi Microsoft Entra. Serwer usługi Microsoft Tunnel Gateway jest przypisany do lokacji.
• 3. Agent zarządzania komunikuje się z usługą Intune w celu pobrania zasad konfiguracji serwera i wysłania dzienników telemetrii do usługi Intune.
• 4 — Administrator usługi Intune tworzy i wdraża profile sieci VPN i aplikację Defender na urządzeniach.
• 5 - Urządzenie uwierzytelnia się w usłudze Microsoft Entra. Zasady dostępu warunkowego są oceniane.
• 6 - Z dzielonym tunelem:
  • 6.a - Część ruchu trafia bezpośrednio do publicznego Internetu.
  • 6.b - Część ruchu jest kierowana na publiczny adres IP tunelu. Kanał sieci VPN będzie używać protokołów TCP, TLS, UDP i DTLS na porcie 443. Ten ruch wymaga otwartych portów zapory dla ruchu przychodzącego i wychodzącego.
• 7 — Tunel kieruje ruch do wewnętrznego serwera proxy (opcjonalnie) i/lub Twojej sieci firmowej. Administratorzy IT muszą zapewnić, że ruch z interfejsu wewnętrznego serwera bramy tunelu może być pomyślnie kierowany do wewnętrznych zasobów firmy (zakresów adresów IP i portów).

Zniszcz i sprawdź:

W wielu sieciach korporacyjnych bezpieczeństwo ruchu internetowego jest wymuszane przy użyciu technologii, takich jak serwery proxy, zapory, zabezpieczenia protokołu SSL, głęboka inspekcja pakietów i systemy ochrony przed utratą danych. Te technologie zapewniają istotne ograniczenie ryzyka dla ogólnych żądań internetowych, ale mogą znacznie zmniejszyć wydajność, skalowalność i jakość środowiska użytkownika końcowego w przypadku zastosowania do bramy tunelu Microsoft Tunnel i punktów końcowych usługi Intune.

Poniższe informacje przedstawiają sytuacje, w których funkcja przerywania i sprawdzania nie jest obsługiwana. Odwołania odnoszą się do diagramu architektury z poprzedniej sekcji.

• Funkcja przerywania i sprawdzania nie jest obsługiwana w następujących obszarach:

  • Tunnel Gateway nie obsługuje przerywania i inspekcji protokołu SSL, przerywania i inspekcji TLS ani głębokiej inspekcji pakietów dla połączeń klienckich.
  • Używanie zapór, serwerów proxy, modułów równoważenia obciążenia lub dowolnej technologii, która przerywa i sprawdza sesje klienta przechodzące do bramy tunelu, nie jest obsługiwane i powoduje niepowodzenie połączeń klienckich. (Zapoznaj się z F, D i C na diagramie architektury).
  • Jeśli brama tunelu używa serwera proxy ruchu wychodzącego w celu uzyskania dostępu do Internetu, serwer proxy nie może przeprowadzać operacji przerwania i inspekcji. Jest to spowodowane tym, że agent zarządzania bramą tunelu używa wzajemnego uwierzytelniania TLS podczas nawiązywania połączenia z usługą Intune (zobacz 3 na diagramie architektury). Jeśli na serwerze proxy włączono funkcję przerwania i inspekcji, administratorzy sieci zarządzający tym serwerem muszą dodać adres IP serwera bramy tunelowej i w pełni kwalifikowaną nazwę domeny (FQDN) do listy zatwierdzonych do tych punktów końcowych usługi Intune.

Dodatkowe szczegóły:

• Dostęp warunkowy jest wykonywany w kliencie sieci VPN i oparty na aplikacji w chmurze Microsoft Tunnel Gateway. Niezgodne urządzenia nie otrzymują tokenu dostępu z usługi Microsoft Entra ID i nie mogą uzyskać dostępu do serwera VPN. Aby uzyskać więcej informacji na temat korzystania z dostępu warunkowego z aplikacją Microsoft Tunnel, zobacz Korzystanie z dostępu warunkowego w aplikacji Microsoft Tunnel.

• Agent zarządzający jest autoryzowany względem usługi Microsoft Entra ID przy użyciu identyfikatora aplikacji platformy Azure/kluczy tajnych.

Zawartość pokrewna

• Wymagania wstępne aplikacji Microsoft Tunnel w usłudze Intune
• Dowiedz się więcej o aplikacji Microsoft Tunnel do zarządzania aplikacjami mobilnymi