Relution Signet Customer Hub

Always-On VPN

Diese Richtlinie bestimmt, welche VPN-App auf dem Gerät dauerhaft aktiv gehalten wird.

Die Richtlinie Always-On VPN legt fest, welche bereits installierte VPN-App auf einem Android Enterprise Gerät dauerhaft aktiv sein soll. Anders als die StrongSwan-Konfigurationen →, die eine konkrete VPN-App mit eigenem Profil ausstatten, wählt diese Richtlinie lediglich aus, welche App als Always-On-VPN fungiert – die App selbst muss über Apps verwalten → separat installiert werden, da sie durch diese Richtlinie nicht automatisch bereitgestellt wird.

Einstellungen

  • Wählen Sie die Always-On VPN-App (Pflichtfeld, Schaltfläche Auswählen) – die App, die dauerhaft als VPN-Verbindung aktiv bleiben soll.
  • Netzwerkverbindung ablehnen, wenn VPN nicht verbunden ist (Lockdown-Modus) – erlaubt Netzwerkverkehr ausschließlich über die VPN-Verbindung. Solange das VPN nicht verbunden ist, besteht kein Netzwerkzugriff. Auch bei bestehender VPN-Verbindung bleibt jeglicher Datenverkehr außerhalb des Tunnels gesperrt, sofern die jeweilige App nicht als Lockdown-Ausnahme → freigestellt ist.

Split Tunneling

Die Richtlinie Always-On VPN legt ausschließlich fest, welche VPN-App dauerhaft aktiv ist. Welcher Datenverkehr durch den Tunnel geleitet wird, bestimmt die Konfiguration der VPN-App bzw. des VPN-Gateways. Enthält diese keine Einschränkung auf bestimmte Apps oder Zielnetze, leitet Android den gesamten Datenverkehr durch das VPN.

Split Tunneling ist daher auch in Kombination mit Always-On VPN möglich, sofern die VPN-App dies unterstützt:

  • App-Konfiguration der VPN-App – Bietet der Hersteller eine Managed-Konfiguration an, steht sie in Apps verwalten → über die Aktion Konfiguration zur Verfügung. Ob und in welcher Form dort Apps oder Netze für den Tunnel festgelegt werden können, hängt vom jeweiligen VPN-Client ab.
  • StrongSwan – Im StrongSwan VPN Profil → wird im Bereich Apps zwischen Nur diese Apps können das VPN nutzen und Diese Apps werden das VPN nicht verwenden (Standard) gewählt. Bleibt die Liste bei Diese Apps werden das VPN nicht verwenden leer, nutzen alle Apps das VPN. Im Bereich Split tunneling lässt sich der Datenverkehr zusätzlich nach Zielnetzen aufteilen: Nur Datenverkehr zu definierten Subnetzen über VPN routen, alles andere wird so geroutet, als gäbe es kein VPN oder Der Datenverkehr zu diesen Subnetzen wird nicht über VPN geroutet. Optional wird über IPv4-Verkehr blockieren, der nicht für das VPN bestimmt ist bzw. IPv6-Verkehr blockieren, der nicht für das VPN bestimmt ist der übrige Datenverkehr der jeweiligen Protokollversion gesperrt.
  • VPN-Gateway – Alternativ werden am Gateway nur die internen Netze als Routen an das Gerät übergeben, statt den gesamten Datenverkehr zu tunneln.

Lockdown-Modus und Ausnahmen

Bei aktivem Lockdown-Modus sperrt Android jeglichen Datenverkehr, der nicht über das VPN läuft. Apps, die per Split Tunneling vom Tunnel ausgenommen sind, haben in diesem Fall keine Netzwerkverbindung. Dasselbe gilt für Datenverkehr zu Zielnetzen, für die das VPN keine Route bereitstellt. Ein Split Tunneling, das nur nach Zielnetzen unterscheidet, ist mit aktivem Lockdown-Modus daher nicht nutzbar. Das gilt auch für die Aufteilung nach Subnetzen im Bereich Split tunneling des StrongSwan VPN Profils.

Einzelne Apps lassen sich vom Lockdown ausnehmen. Dazu wird in Apps verwalten → über die Aktion Erweitert die Option Always-On VPN Lockdown-Ausnahme gesetzt:

  • Nicht spezifiziert / Erzwingen – die App unterliegt dem Lockdown-Modus.
  • Freistellung – die App darf auch ohne aktive VPN-Verbindung kommunizieren. Die Einstellung wird ab Android 10 unterstützt.

Die Option steht nicht für APK-Apps aus dem Relution App Store zur Verfügung. Bei diesen enthält Erweitert nur die Option App-Deinstallationsmodus für Benutzer.

Eine freigestellte App nutzt das VPN weiterhin, sofern die VPN-App sie in den Tunnel einbezieht. Damit eine App bei aktivem Lockdown-Modus am Tunnel vorbei kommuniziert, muss sie daher sowohl als Freistellung markiert als auch in der VPN-App vom Tunnel ausgenommen sein.

Unterstützung

  • Verwaltete Geräte (Device Owner)
  • COPE Arbeitsprofil (Personal Profile Enabled)
  • Arbeitsprofil (Profile Owner/BYOD)