StrongSwan

Diese Richtlinien konfigurieren die App StrongSwan sowie deren VPN-Profile auf Android-Enterprise-Geräten.

Relution bietet zwei zusammengehörige Richtlinien für die App StrongSwan → (org.strongswan.android): StrongSwan Restriktionen steuert das Verhalten der App und referenziert ein Standardprofil, StrongSwan VPN Profil definiert die eigentliche IKEv2-VPN-Verbindung. Über Always-On VPN → kann die App StrongSwan zusätzlich als dauerhaft aktive VPN-App festgelegt werden. Welches Profil dabei verbunden wird, bestimmt die Einstellung Wählen Sie ein Standard-VPN-Profil in den StrongSwan Restriktionen.

Sobald eine Richtlinie eine der beiden Konfigurationen enthält, installiert Relution die App StrongSwan automatisch als Pflicht-App, gewährt ihr die angeforderten Berechtigungen und erlaubt ihr, Zertifikate zu installieren. Eine separate Zuweisung über Apps verwalten → ist nicht erforderlich. Eine dort für StrongSwan hinterlegte Einstellung, z. B. ein abweichender Installationstyp, wird überschrieben.

StrongSwan Restriktionen #

• Benutzern erlauben, Profile zu erstellen
• Benutzern erlauben, Profile zu importieren
• Benutzern erlauben, vorhandene Profile zu verwenden
• Benutzern erlauben, Zertifikate zu importieren
• Benutzern den Zugriff auf Einstellungen erlauben
• Keine Warnung anzeigen, wenn die App nicht auf der Power-Whitelist des Geräts steht
• Wählen Sie ein Standard-VPN-Profil (Schaltfläche Auswählen) – Referenz auf eine StrongSwan-VPN-Profil-Konfiguration derselben Richtlinienversion

StrongSwan VPN Profil #

Es können mehrere VPN-Profile angelegt und im Portal verwaltet werden. Das Formular besteht aus dem Bereich StrongSwan VPN Profil mit den Abschnitten Allgemein, Benutzerzertifikat und CA Zertifikat sowie dem Bereich Erweiterte Einstellungen.

Allgemein #

• Name des Profils
• Server – Adresse des VPN-Servers. Der Port wird unter Erweiterte Einstellungen festgelegt.
• VPN-Typ:
  • IKEv2 EAP (Benutzername/Passwort)
  • IKEv2-Zertifikat
  • IKEv2-Zertifikat + EAP (Benutzername/Passwort)
  • IKEv2 EAP-TLS (Zertifikat)
  • IKEv2 EAP-TNC (Benutzername/Passwort)
• Benutzername – nur bei VPN-Typen mit Benutzername/Passwort

Benutzerzertifikat #

Der Abschnitt erscheint nur bei VPN-Typen mit Zertifikat. Hier wird das Benutzerzertifikat festgelegt (siehe Zertifikatsverwaltung →).

CA Zertifikat #

CA- bzw. Server-Zertifikat, mit dem der VPN-Server geprüft wird.

Erweiterte Einstellungen #

Der Bereich Erweiterte Einstellungen ist in die folgenden Abschnitte gegliedert.

Allgemein #

• Serveridentität und Identität des Clients
• DNS-Server, MTU des VPN-Tunnelgeräts, Port und NAT-T Keepalive-Intervall
• Zertifikatsanfragen senden
• Zertifikatsprüfung per OCSP bzw. CRL sowie Strenge Widerrufsprüfung verwenden
• RSA/PSS-Signaturen verwenden und IPv6-Transportadressen verwenden

Split tunneling #

• Ein-/auszuschließende Subnetze
• IPv4-/IPv6-Datenverkehr blockieren, der nicht für das VPN bestimmt ist

Proxy #

Host, Port und Hosts vom Proxy ausschließen.

Apps #

• Nur diese Apps können das VPN nutzen – ausschließlich die gelisteten Apps verwenden das VPN, alle übrigen Apps kommunizieren am Tunnel vorbei
• Diese Apps werden das VPN nicht verwenden – die gelisteten Apps kommunizieren am Tunnel vorbei, alle übrigen Apps verwenden das VPN. Bleibt die Liste leer, wird der gesamte Datenverkehr über das VPN geleitet.

Bei aktivem Lockdown-Modus in Always-On VPN → haben Apps außerhalb des Tunnels nur dann eine Netzwerkverbindung, wenn sie als Lockdown-Ausnahme freigestellt sind.

Algorithmen #

IKEv2-Algorithmen und IPsec/ESP-Algorithmen.

Unterstützung #

• Verwaltete Geräte (Device Owner)
• COPE Arbeitsprofil (Personal Profile Enabled)
• Arbeitsprofil (Profile Owner/BYOD)