Windows och Windows Holographic enhetsinställningar för att lägga till VPN-anslutningar med Intune

Du kan lägga till och konfigurera VPN-anslutningar för enheter med Microsoft Intune. I den här artikeln beskrivs några av de inställningar och funktioner som du kan konfigurera när du skapar virtuella privata nätverk (VPN). De här VPN-inställningarna används i enhetskonfigurationsprofiler och distribueras sedan till enheter.

Som en del av din MDM-lösning (hantering av mobila enheter) använder du de här inställningarna för att tillåta eller inaktivera funktioner, inklusive att använda en specifik VPN-leverantör, aktivera Always On, använda DNS, lägga till en proxy med mera.

De här inställningarna gäller för enheter som kör:

• Windows
• Windows Holographic for Business

Innan du börjar

• Distribuera VPN-appen och skapa en konfigurationsprofil för VPN-enheter för Windows-klient. De tillgängliga inställningarna beror på vilken VPN-klientapp du väljer. Vissa inställningar är bara tillgängliga för specifika VPN-klienter.

• Vissa Microsoft 365-tjänster, till exempel Outlook, kanske inte fungerar bra med VPN-tjänster från tredje part eller partner. Om du använder en VPN från tredje part eller partner och upplever problem med latens eller prestanda tar du bort VPN-tjänsten.

  Om problemet försvinner när du tar bort VPN-tjänsten kan du:

  • Arbeta med tredje part eller partner-VPN för möjliga lösningar. Microsoft tillhandahåller inte teknisk support för VPN från tredje part eller partner.
  • Använd inte ett VPN med Outlook-trafik.
  • Om du behöver använda ett VPN kan du använda ett VPN med delad tunnel. Och tillåt Outlook-trafiken att kringgå VPN.

  Mer information finns i:

  • Översikt: VPN-delade tunnlar för Microsoft 365
  • Använda nätverksenheter eller lösningar från tredje part med Microsoft 365
  • Microsoft 365 principer för nätverksanslutningar

• De här inställningarna använder VPNv2 CSP.

Användaromfattning eller Enhetsomfattning

• Använd den här VPN-profilen med ett användar-/enhetsomfång: Tillämpa profilen på användaromfånget eller enhetsomfånget:

  • Användaromfång: VPN-profilen installeras i användarens konto på enheten, till exempel user@contoso.com. Om en annan användare loggar in på enheten är VPN-profilen inte tillgänglig.
  • Enhetsomfång: VPN-profilen installeras i enhetskontexten och gäller för alla användare på enheten. Windows Holographic-enheter stöder endast enhetsomfång.

Befintliga VPN-profiler gäller för deras befintliga omfång. Som standard installeras nya VPN-profiler i användaromfånget förutom profiler med enhetstunnel aktiverat. VPN-profiler med enhetstunnel aktiverat använder enhetsomfånget.

Anslutningstyp

• Anslutningstyp: Välj VPN-anslutningstyp från följande lista med leverantörer:

  • Check Point Capsule VPN
  • Cisco AnyConnect
  • Citrix
  • F5 Access
  • Palo Alto Networks GlobalProtect
  • Pulse Secure
  • SonicWall Mobile Connect
  • Automatiskt (ursprunglig typ)
  • IKEv2 (ursprunglig typ)
  • L2TP (ursprunglig typ)
  • PPTP (ursprunglig typ)

Bas-VPN

Följande inställningar visas beroende på vilken anslutningstyp du väljer. Alla inställningar är inte tillgängliga för alla anslutningstyper.

• Anslutningsnamn: Ange ett namn för den här anslutningen. Slutanvändarna ser det här namnet när de bläddrar i listan över tillgängliga VPN-anslutningar på sin enhet. Ange till exempel Contoso VPN.

• Servrar: Lägg till en eller flera VPN-servrar som enheter ansluter till. När du lägger till en server anger du följande information:

  • Importera: Bläddra till en kommaavgränsad fil som innehåller en lista över servrar i formatet: beskrivning, IP-adress eller FQDN, Standardserver. Välj OK för att importera dessa servrar till listan Servrar .
  • Exportera: Exporterar den befintliga listan över servrar till en fil med kommaavgränsade värden (csv).
  • Beskrivning: Ange ett beskrivande namn för servern, till exempel Contoso VPN-server.
  • VPN-serveradress: Ange IP-adressen eller det fullständigt kvalificerade domännamnet (FQDN) för den VPN-server som enheterna ansluter till, till exempel 192.168.1.1 eller vpn.contoso.com.
  • Standardserver: True aktiverar den här servern som standardserver som enheter använder för att upprätta anslutningen. Ange endast en server som standard. False (standard) använder inte den här VPN-servern som standardserver.

• Registrera IP-adresser med intern DNS: Välj Aktivera för att konfigurera VPN-profilen för dynamisk registrering av IP-adresser som tilldelats VPN-gränssnittet med den interna DNS:en. Välj Inaktivera om du inte vill registrera IP-adresserna dynamiskt.

• Alltid på: Aktivera ansluter automatiskt till VPN-anslutningen när följande händelser inträffar:

  • Användarna loggar in på sina enheter.
  • Nätverket på enheten ändras.
  • Skärmen på enheten slås på igen när den har stängts av.

  Aktivera den här inställningen om du vill använda tunnelanslutningar för enheter, till exempel IKEv2.

  VPN-anslutningen aktiveras inte automatiskt om du inaktiverar. Användare kan behöva slå på VPN manuellt.

• Autentiseringsmetod: Välj hur du vill att användarna ska autentisera sig för VPN-servern. Dina alternativ:

  • Certifikat: Välj en befintlig användarklientcertifikatprofil för att autentisera användaren. Det här alternativet ger förbättrade funktioner, till exempel zero-touch-upplevelse, on-demand VPN och per-app VPN.

    Information om hur du skapar certifikatprofiler i Intune finns i Använda certifikat för autentisering.

  • Användarnamn och lösenord: Kräv att användarna anger sitt användarnamn och lösenord för domänen för att autentisera, till exempel user@contoso.com, eller contoso\user.

  • Härledd autentiseringsuppgift: Använd ett certifikat som härleds från en användares smartkort. Om ingen utfärdare av härledda autentiseringsuppgifter har konfigurerats uppmanar Intune dig att lägga till en. Mer information finns i Använda härledda autentiseringsuppgifter i Intune.

    Obs!

    För närvarande fungerar inte härledda autentiseringsuppgifter som autentiseringsmetod för VPN-profiler som förväntat på Windows-enheter. Det här beteendet påverkar bara VPN-profiler på Windows-enheter och kommer att åtgärdas i en framtida version (ingen beräknad ankomsttid).

  • EAP (endast IKEv2): Välj en befintlig EAP-klientcertifikatprofil (Extensible Authentication Protocol) som ska autentiseras. Ange autentiseringsparametrar i EAP XML-inställningen .

    Mer information om EAP-autentisering finns i EAP (Extensible Authentication Protocol) för nätverksåtkomst och EAP-konfiguration.

  • Datorcertifikat (endast IKEv2): Välj en befintlig enhetsklientcertifikatprofil för att autentisera enheten.

    Om du använder tunnelanslutningar för enheter måste du välja Datorcertifikat.

    Information om hur du skapar certifikatprofiler i Intune finns i Använda certifikat för autentisering.

• Kom ihåg autentiseringsuppgifterna vid varje inloggning: Aktivera cachelagrar autentiseringsuppgifterna. När värdet är Inte konfigurerat ändrar eller uppdaterar Intune inte den här inställningen. Som standard kanske operativsystemet inte cachelagrar autentiseringsuppgifterna.

• Anpassad XML: Ange eventuella anpassade XML-kommandon som konfigurerar VPN-anslutningen.

• EAP XML: Ange eventuella EAP XML-kommandon som konfigurerar VPN-anslutningen.

  Mer information, inklusive hur du skapar anpassad EAP XML, finns i EAP-konfiguration.

• Enhetstunnel (endast IKEv2): Aktivera ansluter enheten till VPN automatiskt utan någon användarinteraktion eller inloggning. Den här inställningen gäller för enheter som är anslutna till Microsoft Entra ID.

  Om du vill använda den här funktionen måste du konfigurera följande inställningar:

  • Anslutningstyp: Inställd på IKEv2.
  • Alltid på: Inställd på Aktivera.
  • Autentiseringsmetod: Ange till datorcertifikat.

  Tilldela bara en profil per enhet när enhetstunneln är aktiverad.

Parametrar för IKE-säkerhetsassociation (endast IKEv2)

De här kryptografiinställningarna används under IKE-säkerhetsassociationsförhandlingar (kallas main mode även eller phase 1) för IKEv2-anslutningar. De här inställningarna måste stämma överens med VPN-serverinställningarna. Om inställningarna inte stämmer överens kan VPN-profilen inte ansluta.

• Krypteringsalgoritm: Välj den krypteringsalgoritm som används på VPN-servern. Om VPN-servern till exempel använder AES 128 bitar väljer du AES-128 i listan.

  När värdet är Inte konfigurerat ändrar eller uppdaterar Intune inte den här inställningen.

• Algoritm för integritetskontroll: Välj den integritetsalgoritm som används på VPN-servern. Om VPN-servern till exempel använder SHA1-96 väljer du SHA1-96 i listan.

  När värdet är Inte konfigurerat ändrar eller uppdaterar Intune inte den här inställningen.

• Diffie-Hellman-grupp: Välj den Diffie-Hellman beräkningsgrupp som används på VPN-servern. Om VPN-servern till exempel använder Grupp2 (1024 bitar) väljer du 2 i listan.

  När värdet är Inte konfigurerat ändrar eller uppdaterar Intune inte den här inställningen.

Parametrar för Child Security Association (endast IKEv2)

De här kryptografiinställningarna används under förhandlingar om barnsäkerhetsassociationer (kallas även quick mode eller phase 2) för IKEv2-anslutningar. De här inställningarna måste stämma överens med VPN-serverinställningarna. Om inställningarna inte stämmer överens kan VPN-profilen inte ansluta.

• Algoritm för chiffertransformering: Välj den algoritm som används på VPN-servern. Om VPN-servern till exempel använder AES-CBC 128-bitars väljer du CBC-AES-128 i listan.

  När värdet är Inte konfigurerat ändrar eller uppdaterar Intune inte den här inställningen.

• Algoritm för autentiseringstransformering: Välj den algoritm som används på VPN-servern. Om VPN-servern till exempel använder AES-GCM 128-bitars väljer du GCM-AES-128 i listan.

  När värdet är Inte konfigurerat ändrar eller uppdaterar Intune inte den här inställningen.

• PFS-grupp (Perfect Forward Secrecy): Välj den Diffie-Hellman beräkningsgrupp som används för PFS (Perfect Forward Secrecy) på VPN-servern. Om VPN-servern till exempel använder Grupp2 (1024 bitar) väljer du 2 i listan.

  När värdet är Inte konfigurerat ändrar eller uppdaterar Intune inte den här inställningen.

Exempel på Pulse Secure

<pulse-schema><isSingleSignOnCredential>true</isSingleSignOnCredential></pulse-schema>

F5 Edge-klientexempel

<f5-vpn-conf><single-sign-on-credential /></f5-vpn-conf>

Exempel på SonicWALL Mobile Connect

Inloggningsgrupp eller domän: Den här egenskapen kan inte anges i VPN-profilen. Mobile Connect parsar i stället det här värdet när användarnamn och domän anges i username@domain eller-formaten DOMAIN\username .

Exempel:

<MobileConnect><Compression>false</Compression><debugLogging>True</debugLogging><packetCapture>False</packetCapture></MobileConnect>

Exempel på CheckPoint Mobile VPN

<CheckPointVPN port="443" name="CheckPointSelfhost" sso="true" debug="3" />

Appar och trafikregler

• Associera WIP eller appar med detta VPN: Aktivera den här inställningen om du bara vill att vissa appar ska använda VPN-anslutningen. Dina alternativ:

  • Inte konfigurerad (standard): Intune varken ändrar eller uppdaterar den här inställningen.
  • Associera en WIP med den här anslutningen: VPN-anslutningen används automatiskt för alla appar i Windows Identity Protection-domänen.
    • WIP-domän för den här anslutningen: Ange en WIP-domän (Windows Identity Protection). Ange till exempel contoso.com.
  • Koppla appar till den här anslutningen: De appar du anger använder automatiskt VPN-anslutningen.

    • Begränsa VPN-anslutningen till dessa appar: Inaktivera (standard) tillåter alla appar att använda VPN-anslutningen. Aktivera begränsar VPN-anslutningen till de appar som du anger (per app-VPN). Trafikregler för de appar som du lägger till läggs automatiskt till i reglerna för nätverkstrafik för den här VPN-anslutningsinställningen .

      När du väljer Aktivera blir listan med appidentifierare skrivskyddad. Innan du aktiverar den här inställningen lägger du till dina associerade appar.

    • Associerade appar: Välj Importera om du vill importera en .csv fil med listan över appar. Du .csv ser ut ungefär som i följande fil:

      %windir%\system32\notepad.exe,desktop Microsoft.Office.OneNote_8wekyb3d8bbwe,universal

      Appidentifieraren bestäms av apptypen. För en universell app anger du paketfamiljenamnet, till exempel Microsoft.Office.OneNote_8wekyb3d8bbwe. För en skrivbordsapp anger du filens sökväg, till exempel %windir%\system32\notepad.exe.

      Om du vill hämta paketfamiljenamnet kan du använda cmdleten Get-AppxPackage Windows PowerShell. Om du till exempel vill hämta OneNote-paketfamiljenamnet öppnar du Windows PowerShell och anger Get-AppxPackage *OneNote. Mer information finns i Hitta ett PFN för en app som är installerad på en Windows-klientdator och cmdleten Get-AppxPackage.

  Viktigt

  Vi rekommenderar att du skyddar alla applistor som skapats för VPN:er per app. Om en obehörig användare ändrar den här listan och du importerar den till VPN-applistan per app kan du potentiellt auktorisera VPN-åtkomst till appar som inte ska ha åtkomst. Ett sätt att skydda applistor är att använda en åtkomstkontrollista (ACL).

• Nätverkstrafikregler för den här VPN-anslutningen: Du kan lägga till nätverksregler som gäller för den här VPN-anslutningen. Använd den här funktionen för att filtrera nätverkstrafik till den här VPN-anslutningen.

  • Om du skapar en regel för nätverkstrafik använder VPN endast de protokoll, portar och IP-adressintervall som du anger i den här regeln.
  • Om du inte skapar en regel för nätverkstrafik aktiveras alla protokoll, portar och adressintervall för den här VPN-anslutningen.

  När du lägger till trafikregler rekommenderar vi att du lägger till en catch-all-regel som är minst restriktiv för att undvika VPN-problem.

  Välj Lägg till för att skapa en regel och ange följande information. Du kan också importera en fil med den här informationen .csv .

  • Namn: Ange ett namn för regeln för nätverkstrafik.

  • Regeltyp: Ange tunnelmetoden för den här regeln. Den här inställningen gäller bara när regeln är kopplad till en app. Dina alternativ:

    • Ingen (standard)
    • Delad tunnel: Det här alternativet ger klientenheter två anslutningar samtidigt. En anslutning är säker och utformad för att hålla nätverkstrafiken privat. Den andra anslutningen är öppen till nätverket och låter internettrafiken gå igenom.
    • Tvinga tunnel: All nätverkstrafik i den här regeln går via VPN. Ingen nätverkstrafik i den här regeln går direkt till Internet.

  • Riktning: Välj det flöde av nätverkstrafik som din VPN-anslutning tillåter. Dina alternativ:

    • Inkommande: Tillåter endast trafik från externa webbplatser via VPN. Utgående trafik blockeras från att komma in i VPN.
    • Utgående (standard): Tillåter endast trafik till externa webbplatser via VPN. Inkommande trafik blockeras från att komma in i VPN-nätverket.

    Skapa två separata regler om du vill tillåta inkommande och utgående. Skapa en regel för inkommande och en annan regel för utgående.

  • Protokoll: Ange portnumret för det nätverksprotokoll som du vill att VPN-tjänsten ska använda, från 0-255. Ange till exempel 6 för TCP eller 17 för UDP.

    När du anger ett protokoll ansluter du två nätverk via samma protokoll. Om du använder TPC- eller6 UDP-protokollen (17) måste du också ange de tillåtna intervallen för lokala & fjärrportar och de tillåtna lokala & fjärr-IP-adressintervallen.

    Du kan också importera en fil med den här informationen .csv .

  • Lokala portintervall: Om du använder TPC- (6) eller UDP-protokoll (17) anger du de tillåtna lokala nätverksportintervallen. Ange 100 till exempel för den nedre porten och 120 för den övre porten.

    Du kan skapa en lista med tillåtna portintervall, till exempel 100–120, 200, 300–320. För en enda port anger du samma portnummer i båda fälten.

    Du kan också importera en fil med den här informationen .csv .

  • Fjärrportintervall: Om du använder protokollen TPC (6) eller UDP (17) anger du de tillåtna intervallen för fjärrnätverksportar. Ange 100 till exempel för den nedre porten och 120 för den övre porten.

    Du kan skapa en lista med tillåtna portintervall, till exempel 100–120, 200, 300–320. För en enda port anger du samma portnummer i båda fälten.

    Du kan också importera en fil med den här informationen .csv .

  • Lokala adressintervall: Ange de tillåtna IPv4-adressintervallen för det lokala nätverket som kan använda VPN. Endast IP-adresser för klientenheter i det här intervallet använder det här VPN.

    Ange 10.0.0.22 till exempel för den nedre porten och 10.0.0.122 för den övre porten.

    Du kan skapa en lista över tillåtna IP-adresser. För en enda IP-adress anger du samma IP-adress i båda fälten.

    Du kan också importera en fil med den här informationen .csv .

  • Fjärradressintervall: Ange de tillåtna IPv4-adressintervallen för fjärrnätverk som kan använda VPN. Endast IP-adresser i det här intervallet använder denna VPN.

    Ange 10.0.0.22 till exempel för den nedre porten och 10.0.0.122 för den övre porten.

    Du kan skapa en lista över tillåtna IP-adresser. För en enda IP-adress anger du samma IP-adress i båda fälten.

    Du kan också importera en fil med den här informationen .csv .

Villkorsstyrd åtkomst

• Villkorlig åtkomst för den här VPN-anslutningen: Aktiverar flödet för enhetsefterlevnad från klienten. När den är aktiverad kommunicerar VPN-klienten med Microsoft Entra ID för att få ett certifikat som ska användas för autentisering. VPN ska konfigureras för att använda certifikatautentisering och VPN-servern måste lita på servern som returneras av Microsoft Entra ID.

• Enkel inloggning (SSO) med alternativt certifikat: För enhetsefterlevnad använder du ett certifikat som skiljer sig från VPN-autentiseringscertifikatet för Kerberos-autentisering. Ange certifikatet med följande inställningar:

  • Namn: Namn för utökad nyckelanvändning (EKU)
  • Objektidentifierare: Objektidentifierare för EKU
  • Utfärdarhash: Tumavtryck för SSO-certifikat

DNS-inställningar

• Söklista för DNS-suffix: I DNS-suffix anger du ett DNS-suffix och lägger till. Du kan lägga till många suffix.

  När du använder DNS-suffix kan du söka efter en nätverksresurs med hjälp av dess korta namn, i stället för det fullständiga domännamnet (FQDN). När du söker på kortnamnet bestäms suffixet automatiskt av DNS-servern. Till exempel utah.contoso.com finns i DNS-suffixlistan. Du ping.DEV-comp I det här scenariot matchas det till DEV-comp.utah.contoso.com.

  DNS-suffix matchas i den ordning som anges och ordningen kan ändras. Till exempel colorado.contoso.com och utah.contoso.com finns i DNS-suffixlistan, och båda har en resurs som kallas DEV-comp. Eftersom colorado.contoso.com är först i listan matchas det som DEV-comp.colorado.contoso.com.

  Om du vill ändra ordningen markerar du punkterna till vänster om DNS-suffixet och drar sedan suffixet högst upp:

  

• NRPT-regler (Name Resolution Policy Table): NRPT-regler (Name Resolution Policy Table) definierar hur DNS matchar namn när de är anslutna till VPN. När VPN-anslutningen är upprättad väljer du vilka DNS-servrar VPN-anslutningen ska använda.

  Du kan lägga till regler som inkluderar domän, DNS-server, proxy och annan information. Dessa regler löser den domän du anger. VPN-anslutningen använder följande regler när användarna ansluter till de domäner som du anger.

  Välj Lägg till för att lägga till en ny regel. För varje server anger du:

  • Domän: Ange det fullständigt kvalificerade domännamnet (FQDN) eller ett DNS-suffix för att tillämpa regeln. Du kan också ange en punkt (.) i början för ett DNS-suffix. Skriv contoso.com till exempel in eller .allcontososubdomains.com.
  • DNS-servrar: Ange IP-adressen eller DNS-servern som matchar domänen. Skriv 10.0.0.3 till exempel in eller vpn.contoso.com.
  • Proxy: Ange den webbproxyserver som matchar domänen. Ange till exempel http://proxy.com.
  • Anslut automatiskt: När den är aktiverad ansluter enheten automatiskt till VPN när en enhet ansluter till en domän som du anger, till exempel contoso.com. När enheten inte är konfigurerad (standard) ansluter den inte automatiskt till VPN
  • Beständig: När den är inställd på Aktiverad finns regeln kvar i tabellen för namnmatchningsprincip (NRPT) tills regeln tas bort manuellt från enheten, även efter att VPN-anslutningen har kopplats från. När värdet är Inte konfigurerat (standard) tas NRPT-regler i VPN-profilen bort från enheten när VPN kopplas från.

Fullmakt

• Skript för automatisk konfiguration: Använd en fil för att konfigurera proxyservern. Ange proxyserverns URL som innehåller konfigurationsfilen. Ange till exempel http://proxy.contoso.com/pac.
• Adress: Ange IP-adressen eller det fullständigt kvalificerade värdnamnet för proxyservern. Skriv 10.0.0.3 till exempel in eller vpn.contoso.com.
• Portnummer: Ange det portnummer som används av proxyservern. Ange till exempel 8080.
• Förbikoppla proxy för lokala adresser: Den här inställningen gäller om VPN-servern kräver en proxyserver för anslutningen. Om du inte vill använda en proxyserver för lokala adresser väljer du Aktivera.

Delade tunnlar

• Split tunneling: Aktivera eller inaktivera för att låta enheter bestämma vilken anslutning som ska användas beroende på trafiken. En användare på ett hotell använder till exempel VPN-anslutningen för att komma åt arbetsfiler, men använder hotellets standardnätverk för vanligt surfande.
• Delade tunnelvägar för den här VPN-anslutningen: Lägg till valfria vägar för VPN-leverantörer från tredje part. Ange ett målprefix och en prefixstorlek för varje anslutning.

Identifiering av betrott nätverk

DNS-suffix för betrott nätverk: När användare redan är anslutna till ett betrott nätverk kan du hindra enheter från att automatiskt ansluta till andra VPN-anslutningar.

I DNS-suffix anger du ett DNS-suffix som du vill lita på, till exempel contoso.com, och väljer Lägg till. Du kan lägga till så många suffix du vill.

Om en användare är ansluten till ett DNS-suffix i listan ansluter användaren inte automatiskt till en annan VPN-anslutning. Användaren fortsätter att använda den betrodda listan med DNS-suffix som du anger. Det betrodda nätverket används fortfarande, även om några autoutlösare har angetts.

Om användaren till exempel redan är ansluten till ett betrott DNS-suffix ignoreras följande autoutlösare. Mer specifikt avbryter DNS-suffixen i listan alla andra automatiska utlösare för anslutningar, inklusive:

• Alltid på
• Appbaserad utlösare
• Automatisk DNS-utlösare

Relaterade artiklar

Se till att tilldela profilen och övervaka dess status.

Konfigurera VPN-inställningar på Android- och iOS/iPadOS- och macOS-enheter .