Microsoft Tunnel para Microsoft Intune

O Microsoft Tunnel é uma solução de gateway de VPN para o Microsoft Intune que é executada em um contêiner no Linux e permite o acesso a recursos locais de dispositivos iOS/iPadOS e Android Enterprise usando autenticação moderna e Acesso Condicional.

Este artigo apresenta o núcleo do Microsoft Tunnel, como ele funciona e sua arquitetura.

Se estiver pronto para implantar o Microsoft Tunnel, confira Pré-requisitos do Microsoft Tunnel e Configure o Microsoft Tunnel.

Depois de implantar o Microsoft Tunnel, você pode optar por adicionar o Microsoft Tunnel for Mobile Application Management (Tunnel for MAM). O Tunnel for MAM estende o gateway de VPN do Microsoft Tunnel para dar suporte a dispositivos que executam Android ou iOS e que não estão registrados no Microsoft Intune. O Tunnel for MAM é um recurso avançado do Microsoft Intune que requer licenciamento adicional além do Microsoft Intune.

Visão geral do Microsoft Tunnel

O Gateway do Microsoft Tunnel é instalado em um contêiner executado em um servidor Linux. O servidor Linux pode ser uma caixa física no ambiente local ou uma máquina virtual executada localmente ou na nuvem. Para configurar o Tunnel, você implanta um Microsoft Defender como o aplicativo cliente Microsoft Tunnel e perfis VPN do Intune em seus dispositivos iOS e Android. O aplicativo cliente e o perfil VPN permitem que os dispositivos usem o túnel para se conectar a recursos corporativos. Quando o túnel está hospedado na nuvem, você precisa usar uma solução como o Azure ExpressRoute para estender sua rede local para a nuvem.

Recursos

Os recursos dos perfis de VPN para o túnel incluem:

• Um nome amigável para a conexão VPN visível para os usuários finais.

• O site ao qual o cliente VPN se conecta.

• Configurações da VPN por aplicativo que definem para quais aplicativos o perfil de VPN será usado e se ele estará sempre ativo ou não. Quando sempre ativa, a VPN se conecta automaticamente e é usada apenas para os aplicativos que você definir. Se nenhum aplicativo for definido, a conexão sempre ativa fornecerá acesso ao túnel para todo o tráfego de rede do dispositivo.

• Para dispositivos iOS que têm o Microsoft Defender configurado para dar suporte a VPNs por aplicativo e o modo TunnelOnly definido como True, os usuários não precisam abrir ou entrar no Microsoft Defender em seu dispositivo para que o túnel seja usado. Em vez disso, com o usuário conectado ao Portal da Empresa no dispositivo ou em qualquer outro aplicativo que use autenticação multifator que tenha um token válido para acesso, a VPN de túnel por aplicativo é usada automaticamente. O modo TunnelOnly é compatível com iOS/iPadOS e desabilita a funcionalidade do Defender, deixando apenas os recursos de túnel.

• Conexões manuais com o túnel quando um usuário inicia a VPN e seleciona Conectar.

• Regras de VPN sob demanda que permitem o uso de VPN quando são atendidas as condições para FQDNs ou endereços IP específicos. (iOS/iPadOS)

• Suporte a proxy. (iOS/iPadOS, Android 11+)

• Modo de túnel estrito, que bloqueia todo o tráfego de rede quando a conexão VPN cai, garantindo que nenhum dado ignore o túnel. Para dispositivos Android registrados, o Modo de Túnel Estrito está disponível quando a VPN sempre ativa está habilitada. Para obter mais informações, consulte Configurar o Microsoft Tunnel. Para dispositivos não registrados usando o túnel MAM, o modo de túnel estrito é configurado por meio da política de configuração de aplicativos Microsoft Edge. Para obter mais informações, consulte Microsoft Tunnel para MAM. (Android)

• Detecção de raiz do Android. O cliente do Microsoft Defender bloqueia automaticamente o acesso de um dispositivo ao Microsoft Tunnel se identificar que o dispositivo está enraizado.

  Quando um dispositivo é identificado como enraizado, o cliente marca imediatamente a categoria de risco do dispositivo como Alta, descarta as conexões ativas de túnel e continua a bloquear o acesso até que o dispositivo seja determinado como compatível. O usuário do dispositivo recebe uma notificação sobre esse status do cliente do Defender.

  Essa funcionalidade não substitui o uso das políticas de conformidade do Intune para Android para gerenciar as configurações de dispositivos com acesso root, Veredicto de Integridade de Jogo e Exigir que o dispositivo esteja no Nível de Ameaça do Dispositivo ou abaixo dele. O uso de políticas de conformidade do Intune para gerenciar as configurações de chaves para Android oferece suporte ao modelo de segurança de Confiança Zero da Microsoft para dispositivos Android Enterprise de propriedade pessoal e totalmente gerenciados.

Visão geral da configuração

Por meio do Centro de administração do Microsoft Intune, você:

• Baixe o script de instalação do Microsoft Tunnel que você executa nos servidores Linux.
• Configurar os aspectos do Gateway do Microsoft Tunnel, como endereços IP, servidores DNS e portas.
• Implantar perfis de VPN em dispositivos para direcioná-los a usar o túnel.
• Implante o Microsoft Defender (o aplicativo cliente de encapsulamento) em seus dispositivos.

Por meio do aplicativo Defender, dispositivos iOS/iPadOS e Android Enterprise:

• Use o Microsoft Entra ID para autenticar no túnel.
• Use Serviços de Federação do Active Directory (AD FS) para autenticar no túnel.
• São avaliados em relação às políticas de Acesso Condicional. Se o dispositivo não estiver em conformidade, ele não poderá acessar seu servidor VPN ou sua rede local.

Você pode instalar vários servidores Linux para oferecer compatibilidade com o Microsoft Tunnel e combinar servidores em grupos lógicos chamados de Sites. Cada servidor pode ingressar em apenas um Site. Ao configurar um Site, você está definindo um ponto de conexão para os dispositivos usarem quando acessarem o túnel. Os sites exigem uma configuração de servidor que você define e atribui ao site. A configuração do servidor é aplicada a todo servidor que você adiciona ao site, simplificando a configuração de mais servidores.

Para direcionar dispositivos para usar o túnel, você cria e implanta uma política de VPN para o Microsoft Tunnel. Essa política é um perfil de VPN para configuração de dispositivo que usa o Microsoft Tunnel pelo tipo de conexão.

Essas configurações incluem:

• Intervalo de endereços IP – Endereços IP atribuídos a dispositivos que se conectam a um Microsoft Tunnel.
• Servidores DNS – Os dispositivos do servidor DNS devem usar quando se conectam ao servidor.
• Pesquisa de sufixo DNS.
• Dividir as regras de túnel – Até 500 regras compartilhadas entre as rotas de inclusão e exclusão. Por exemplo, se você criar 300 regras de inclusão, só poderá ter 200 regras de exclusão.
• Porta – A porta que o Gateway do Microsoft Tunnel escuta.

A configuração do Site inclui:

• Um endereço IP público ou FQDN, que é o ponto de conexão para dispositivos que usam o túnel. Esse endereço pode ser de um servidor individual ou pode ser o IP ou o FQDN de um servidor de balanceamento de carga.
• A configuração do servidor que é aplicada a cada servidor do Site.

Você atribui um servidor a um Site no momento em que instala o software de túnel no servidor Linux. A instalação usa um script que você pode baixar de dentro do centro de administração. Depois de iniciar o script, você será solicitado a configurar sua operação para seu ambiente, o que inclui especificar o Site em que o servidor ingressará.

Para usar o Microsoft Tunnel, os dispositivos devem instalar o aplicativo Microsoft Defender. Você obtém o aplicativo em questão nas lojas de aplicativos iOS/iPadOS ou Android e o implanta para os usuários.

Arquitetura

O Gateway do Microsoft Tunnel é executado em contêineres que são executados em servidores Linux.

Componentes:

• A – Microsoft Intune.
• B- Microsoft Entra ID.
• C – Servidor Linux com Podman ou Docker CE (consulte os requisitos Linux server para obter detalhes sobre quais versões exigem Podman ou Docker)
  • C.1 – Gateway do Microsoft Tunnel.
  • C.2 – Agente de Gerenciamento.
  • C.3 – Plugin de autenticação – Plugin de autorização, que se autentica com o Microsoft Entra.
• D – IP voltado para o público ou FQDN do Microsoft Tunnel, que pode representar um balanceador de carga.
• E – dispositivo inscrito de Gerenciamento de Dispositivos Móveis (MDM) ou um dispositivo móvel não registrado usando o Tunnel for Mobile Application Management.
• F – Firewall.
• G – Servidor Proxy Interno (opcional).
• H – Rede corporativa.
• I – Internet pública.

Ações:

• 1 – O administrador do Intune define as Configurações do servidor e os Sites, as configurações do servidor são associadas aos Sites.
• 2 – O administrador do Intune instala o Gateway do Microsoft Tunnel e o plug-in de autenticação autentica o Gateway do Microsoft Tunnel com o Microsoft Entra. O servidor do Gateway do Microsoft Tunnel é atribuído a um site.
• 3 – O Agente de Gerenciamento se comunica com o Intune para recuperar as políticas de configuração do servidor e para enviar os logs de telemetria ao Intune.
• 4 – O administrador de serviços do Intune cria e implanta perfis de VPN e o aplicativo do Defender para os dispositivos.
• 5 - O dispositivo é autenticado no Microsoft Entra. Políticas de Acesso Condicional são avaliadas.
• 6 – Com túnel dividido:
  • 6.a – Parte do tráfego vai diretamente para a Internet pública.
  • 6.b – Parte do tráfego vai para o endereço IP do Tunnel voltado ao público. O canal VPN usará TCP, TLS, UDP e DTLS na porta 443. Esse tráfego exige que as portas de entrada e saída do Firewall estejam abertas.
• 7 - O Túnel roteia o tráfego para seu proxy interno (opcional) e/ou sua rede corporativa. Os administradores de TI devem garantir que o tráfego da interface interna do servidor do Gateway de Túnel possa ser roteado com êxito para o recurso corporativo interno (intervalos de endereços IP e portas).

Interromper e inspecionar:

Muitas redes corporativas reforçam a segurança da rede para o tráfego da Internet usando tecnologias como servidores proxy, firewalls, interrupção e inspeção de SSL, inspeção profunda de pacotes e sistemas de prevenção de perda de dados. Essas tecnologias oferecem redução de risco importantes para solicitações de Internet genéricas, mas podem reduzir significativamente o desempenho, a capacidade de expansão e a qualidade da experiência do usuário final quando aplicada aos pontos de extremidade do Gateway do Microsoft Tunnel e Intune.

As informações a seguir descrevem onde não há suporte para a interrupção e a inspeção. As referências são para o diagrama de arquitetura da seção anterior.

• Não há suporte para interrupção e inspeção nas seguintes áreas:

  • O Gateway de Túnel não dá suporte a interrupção e inspeção de SSL, interrupção e inspeção de TLS ou inspeção profunda de pacotes para conexões de cliente.
  • O uso de firewalls, proxies, balanceadores de carga ou qualquer tecnologia que encerre e inspecione as sessões de cliente que vão para o Gateway de Túnel não é suportado e faz com que as conexões de cliente falhem. (Consulte F, De C no diagrama de arquitetura).
  • Se o Gateway de Túnel usar um proxy de saída para acesso à Internet, o servidor proxy não poderá executar a interrupção e a inspeção. Isso ocorre porque o Tunnel Gateway Management Agent usa autenticação mútua TLS ao se conectar ao Intune (consulte 3 no diagrama de arquitetura). Se a interrupção e a inspeção forem habilitadas no servidor proxy, os administradores de rede que gerenciam o servidor proxy deverão adicionar o endereço IP do servidor Gateway de túnel e o FQDN (Nome de Domínio Totalmente Qualificado) a uma lista de aprovação para esses pontos de extremidade do Intune.

Detalhes adicionais:

• O Acesso Condicional é feito no cliente VPN e baseado no aplicativo de nuvem Gateway do Microsoft Tunnel. Dispositivos fora de conformidade não recebem um token de acesso do Microsoft Entra ID e não podem acessar o servidor VPN. Para obter mais informações sobre como usar o Acesso Condicional com o Microsoft Tunnel, confira Usar o Acesso Condicional com o Microsoft Tunnel.

• O Agente de Gerenciamento está autorizado em relação ao Microsoft Entra ID usando chaves secretas/ID do aplicativo do Azure.

Conteúdo relacionado

• Pré-requisitos para o Microsoft Tunnel no Intune
• Saiba mais sobre o Microsoft Tunnel para Gerenciamento de Aplicativos Móveis