VPN

Die Konfiguration VPN richtet eine VPN-Verbindung auf iOS-, iPadOS- und macOS-Geräten ein. Unterstützt werden die systemeigenen Verbindungstypen IKEv2, IPSec, L2TP und PPTP sowie VPN-Apps von Cisco (AnyConnect), Juniper, SonicWALL und anderen Herstellern. Relution überträgt die Einstellungen als Profil mit dem Payload-Typ com.apple.vpn.managed, bei aktivierter Option VPN-Verbindung für Apps und Konten mit com.apple.vpn.managed.applayer.

Voraussetzungen #

• Die Konfiguration steht in iOS- und macOS-Richtlinien zur Verfügung und kann mehrfach pro Richtlinie angelegt werden, z. B. für mehrere VPN-Server.
• Eine Überwachung (Supervision) setzt Relution nicht voraus. Das Portal kennzeichnet die Konfiguration als Unterstützt Benutzerregistrierung, sie wird also auch an Geräte mit Benutzer-Einschreibung → verteilt. Welche VPN-Arten das Betriebssystem bei Benutzer-Einschreibung annimmt, entscheidet Apple.
• Für die Typen AnyConnect Legacy, AnyConnect, JuniperSSL, SonicWALL und Benutzerdefiniertes SSL muss die VPN-App des Herstellers auf dem Gerät installiert sein. Das Profil enthält nur die Verbindungsdaten, nicht die App.

Plattformen #

Das Formular ist in iOS- und macOS-Richtlinien identisch, iPadOS-Geräte werden über iOS-Richtlinien verwaltet. Das Portal bietet auf beiden Plattformen alle Verbindungstypen an, prüft aber nicht, ob das Betriebssystem den Typ unterstützt. Nach Apple-Dokumentation gilt (ohne Gewähr):

• IKEv2 Always On ist nur für überwachte iPhones und iPads vorgesehen, nicht für macOS.
• PPTP wird seit iOS 10 und macOS 10.12 nicht mehr unterstützt.

Unter macOS werden die Zuordnungen aus der Konfiguration App zu VPN Zuordnung direkt in das VPN-Profil übernommen, siehe App zu VPN Zuordnung (macOS) →. Für VPN-Apps, die als Systemerweiterung arbeiten, ist bei Benutzerdefiniertes SSL zusätzlich das Feld Vom Anbieter festgelegte Anforderung erforderlich.

Allgemein #

Die Konfiguration wird unter Geräte → Richtlinien in einer iOS- oder macOS-Richtlinie über Hinzufügen und die Auswahl VPN angelegt. Der Abschnitt Allgemein enthält:

• Verbindungsname: Pflichtfeld. Name der Verbindung, wie er auf dem Gerät angezeigt wird.
• Typ der Verbindung: IKEv2, IKEv2 Always On, L2TP (bei einer neuen Konfiguration vorausgewählt), PPTP, IPSec, JuniperSSL, SonicWALL, AnyConnect Legacy, AnyConnect oder Benutzerdefiniertes SSL. Je nach Typ blendet das Formular die passenden Felder ein (siehe Verbindungstypen →).
• VPN-Verbindung für Apps und Konten: Standardmäßig deaktiviert. Ist die Option aktiv, gilt die Verbindung nicht mehr geräteweit, sondern nur für zugeordnete Apps, Konten und Domänen (siehe VPN pro App und Konto →). Verfügbar für IPSec, JuniperSSL, SonicWALL, AnyConnect Legacy, AnyConnect, IKEv2 und Benutzerdefiniertes SSL. Bei L2TP und PPTP ist der Schalter gesperrt und ein Hinweis nennt die unterstützten Typen, bei IKEv2 Always On entfällt er.
• Deaktivieren von Verbindungen zulassen: Nur bei IKEv2 Always On, standardmäßig aktiviert. Legt fest, ob der Benutzer die Always-On-Verbindung ausschalten darf. Ist die Option deaktiviert, zeigt das Formular eine Warnung: Das Gerät benötigt dann für jede Kommunikation ein funktionierendes VPN, und bei einer Fehlkonfiguration erreichen auch Änderungen aus Relution das Gerät nicht mehr.
• Typ des Anbieters: Nur bei AnyConnect Legacy, AnyConnect, JuniperSSL, SonicWALL und Benutzerdefiniertes SSL. Paket-Tunnel (Standardwert) leitet den Datenverkehr auf IP-Ebene, App-Proxy auf Anwendungsebene. Welche Variante funktioniert, hängt von der VPN-App ab.

Verbindungstypen #

Das Feld Server (Hostname oder IP-Adresse des VPN-Servers) ist bei allen Typen Pflicht. Das Feld Benutzerkonto nimmt den Benutzernamen für die Anmeldung auf und kann Platzhalter wie ${user.name} enthalten. Die Felder für Passwort, Shared Secret und Zertifikat sind im Abschnitt Authentifizierung → beschrieben.

IKEv2 und IKEv2 Always On #

Beide Typen verwenden dasselbe Formular. IKEv2 Always On baut die Verbindung dauerhaft über WLAN und Mobilfunk auf.

• Entfernte ID: Pflichtfeld. Kennung des Servers, Formate FQDN, UserFQDN, Adresse oder ASN1DN.
• Lokale ID: Optional. Kennung des Geräts in denselben Formaten.
• Authentifizierungsmethode: Keine, Shared Secret / Gruppen-Name oder Zertifikat (Standardwert).
• Nur bei Zertifikat: Allgemeiner Serverzertifikatname, Allgemeiner Name des Serverzertifikatsausstellers und Zertifikatstyp (Nicht konfiguriert, RSA, RSA-PSS, ECDSA256, ECDSA384, ECDSA521).
• Erweiterte Authentifizierung aktivieren (EAP): Schaltet die Felder TLS minimum Version (Standardwert 1.0) und TLS maximum Version (Standardwert 1.2) frei. Die minimale Version darf nicht größer als die maximale sein. Ist ein Zertifikatstyp gewählt und EAP aktiv, ist beim Speichern das Feld Allgemeiner Name des Serverzertifikatsausstellers Pflicht.
• Dead Peer-Erkennungsrate: Keine, Gering, Mittel oder Hoch.
• Schalter Mobilität und Multihoming deaktivieren, Weiterleitungen deaktivieren, Zertifikat-Widerrufungsprüfung aktivieren, Perfect Forward Secrecy aktivieren und Fallback aktivieren (Tunnel über Mobilfunk für Datenverkehr, der für WLAN-Unterstützung infrage kommt; der Server muss mehrere Tunnel pro Benutzer unterstützen).
• IPv4/IPv6 für interne Teilnetzattribute verwenden: Der Schalter wird in Relution 27.0.1 nicht in das Profil übernommen; das Gerät erhält die Option immer deaktiviert.
• Verbindungstrennung bei Inaktivität aktivieren: Schaltet das Feld Inaktivitätszeit frei (NAT-Keepalive-Intervall in Sekunden, Standardwert und Minimum 20).

Unter IKE SA-Parameter und Untergeordnete SA-Parameter werden die Parameter beider Sicherheitszuordnungen festgelegt:

Bei IKEv2 Always On überträgt Relution einen Tunnel für WLAN und Mobilfunk mit diesen IKEv2-Einstellungen. VPN on demand und die Auf-Abruf Regeln werden bei diesem Typ nicht gespeichert, auch wenn das Formular sie anzeigt.

L2TP #

• Benutzerkonto, Shared Secret und Passwort.
• RSA SecurID: Anmeldung per RSA SecurID statt Passwort. Das Feld Passwort ist dann gesperrt.
• Senden Sie den gesamten Datenverkehr über VPN: Standardmäßig aktiviert. Leitet den gesamten Datenverkehr durch den Tunnel.

PPTP #

• Benutzerkonto, RSA SecurID, Passwort und Senden Sie den gesamten Datenverkehr über VPN wie bei L2TP. Ein Shared Secret gibt es nicht.
• Verschlüsselungsgrad: Pflichtfeld. Keine, Automatisch (Standardwert, MPPE 40 und 128 Bit) oder Maximal (128 Bit).

IPSec #

• Benutzerkonto und Passwort für die erweiterte Anmeldung (XAuth).
• Authentifizierungsmethode: Shared Secret / Gruppen-Name (Standardwert) oder Zertifikat.
• Bei Shared Secret / Gruppen-Name: Gruppen-Name, Shared Secret, Hybrid-Authentifizierung (hängt [hybrid] an den Gruppennamen an) und Passwort abfragen (das Gerät fragt das Passwort bei jeder Verbindung ab).
• Bei Zertifikat: Zertifikatsauswahl, VPN-PIN abfragen sowie VPN on demand mit den Auf-Abruf Regeln.

AnyConnect, AnyConnect Legacy, JuniperSSL und SonicWALL #

Diese Typen übergeben die Verbindung an die VPN-App des Herstellers. AnyConnect steht für den aktuellen Cisco Secure Client, AnyConnect Legacy für die ältere AnyConnect-App.

Sobald ein Zertifikat beteiligt ist, erscheinen VPN on demand und die Auf-Abruf Regeln.

Benutzerdefiniertes SSL #

Für VPN-Apps anderer Hersteller:

• Kennung: Pflichtfeld. Kennung des VPN-Typs, die die VPN-App erwartet (in der Regel ihre Bundle-ID).
• Server, Benutzerkonto und Passwort. Das Feld Passwort wird unabhängig von der Authentifizierungsmethode angezeigt.
• Benutzerauthentifizierung: Passwort (Standardwert) oder Zertifikat.
• Provider Bundle Identifier: Bundle-ID des VPN-Anbieters, falls die App mehrere Anbieter enthält.
• Vom Anbieter festgelegte Anforderung: Designated Requirement der App, erforderlich, wenn der VPN-Anbieter eine Systemerweiterung ist.
• Senden Sie den gesamten Datenverkehr über VPN: Standardmäßig deaktiviert. Erst bei aktivierter Option ist Lokale Netzwerke ausschließen verfügbar; der lokale Datenverkehr bleibt dann außerhalb des Tunnels.
• Benutzerdefinierte Daten: Schlüssel-Wert-Paare, die unverändert an die VPN-App übergeben werden. Welche Schlüssel gelten, legt der Hersteller fest.
• Nur bei Zertifikat: VPN on demand (hier standardmäßig deaktiviert), die Auf-Abruf Regeln und Im Ruhezustand trennen. Die Auswahl Niemals (Standardwert), 1 Minute, 2 Minuten, 5 Minuten, 15 Minuten, 30 Minuten oder 1 Stunde ist nur bei aktivem VPN on demand verfügbar. Im deutschen Portal ist der Eintrag für zwei Minuten derzeit fälschlich mit 5 Minuten beschriftet; er ist der erste der beiden Einträge 5 Minuten.

Authentifizierung #

Welche Authentifizierungsmethoden zur Verfügung stehen, hängt vom Verbindungstyp ab (siehe Verbindungstypen →). Für Passwörter, Shared Secrets und Zertifikate gilt typübergreifend Folgendes.

Passwort und Shared Secret #

Die Felder Passwort und Proxy-Benutzer-Passwort sind ab Relution 26.5.5 maskiert: Ein gespeicherter Wert erscheint als *****, bleibt das Feld unverändert, gilt weiterhin der gespeicherte Wert. Details unter Passwörter und Schlüssel in Konfigurationen →.

Ein Passwort im Feld Passwort wird unverändert an alle Geräte der Richtlinie übertragen. Für persönliche Konten bleibt das Feld in der Regel leer; die VPN-App oder das Betriebssystem fragt das Passwort dann beim Verbindungsaufbau ab.

Zertifikat #

Ist ein Zertifikat Teil der Authentifizierung, stehen zwei Varianten zur Verfügung:

• Zertifikat wählen (Standardwert): Ein Zertifikat oder eine Zertifikatsvorlage aus der Zertifikatsverwaltung → wird verwendet, z. B. eine SCEP-Vorlage, aus der jedes Gerät ein eigenes Zertifikat erhält. Die Auswahl ist Pflicht.
• Benutzerdefiniertes Zertifikat verwenden: Das Zertifikat des jeweiligen Gerätebenutzers wird verwendet. Besitzt ein Benutzer mehrere Zertifikate dieses Typs, wählt das Feld Zertifikatsname eines davon aus; es kann Platzhalter enthalten. Bleibt es leer, wird das am längsten gültige Zertifikat verwendet. Weitere Informationen: Benutzerzertifikate →

Relution legt das Zertifikat automatisch mit in das Profil.

Platzhalter #

Textfelder wie Benutzerkonto oder Gruppen-Name können Platzhalter für Benutzer und Gerät enthalten, die pro Gerät aufgelöst werden. Die verfügbaren Platzhalter zeigt der Bereich Verfügbare Platzhalter unter dem Formular.

VPN on demand #

Ist VPN on demand aktiv, baut das Gerät die Verbindung bei Bedarf selbst auf. Der Schalter erscheint nur bei zertifikatsbasierter Anmeldung, bei IKEv2 auch bei der Authentifizierungsmethode Keine. Er ist bei IKEv2, IPSec, AnyConnect, JuniperSSL und SonicWALL standardmäßig aktiviert, bei Benutzerdefiniertes SSL deaktiviert.

Wann eine Verbindung aufgebaut wird, legen die Auf-Abruf Regeln fest. Hinzufügen, Bearbeiten und Löschen sind nur bei aktivem VPN on demand verfügbar. Die Regeln werden der Reihe nach ausgewertet, die erste zutreffende Regel gilt; die Reihenfolge wird per Drag-and-drop geändert.

Jede Regel besteht aus einer Aktion (Pflichtfeld) und optionalen Bedingungen:

• Aktion: Verbinden (VPN beim nächsten Netzwerkzugriff aufbauen), Trennen (VPN abbauen und nicht erneut verbinden, solange die Regel zutrifft), Bewerten (Aktionsparameter bei jedem Verbindungsversuch prüfen) oder Ignorieren (bestehende Verbindung halten, aber nicht neu verbinden).
• DNS-Domänen: trifft zu, wenn eine Suchdomäne des Geräts übereinstimmt; Präfix * ist erlaubt, z. B. *.example.com.
• DNS-Server-Adressen: trifft zu, wenn ein DNS-Server des Netzwerks übereinstimmt, z. B. 17.*.
• Interface: -- (alle), Ethernet, Wi-Fi oder Mobilfunk.
• SSIDs: trifft nur in den angegebenen WLANs zu.
• Zu prüfende URL: trifft zu, wenn die URL ohne Umleitung mit HTTP-Status 200 erreichbar ist.

Bei der Aktion Bewerten werden unter Action-Parameter über Aktionsparameter hinzufügen ein oder mehrere Parameter angelegt, ebenfalls in Reihenfolge ausgewertet:

• Domain-Aktion: Pflichtfeld. Verbinden, falls erforderlich (VPN, wenn die Namensauflösung der Domäne fehlschlägt) oder Niemals verbinden.
• Domains: Pflichtfeld. Domänen, für die der Parameter gilt.
• Erforderliche DNS-Server: DNS-Server zur Auflösung dieser Domänen.
• Erforderliche URL-Sonde: HTTP- oder HTTPS-URL; ist sie nicht mit Status 200 erreichbar, wird das VPN aufgebaut.

Ältere Konfigurationen der Typen IPSec, AnyConnect, JuniperSSL und SonicWALL können noch die Domänenlisten Immer verbinden, Niemals verbinden und Verbinden wenn benötigt enthalten. Das Formular zeigt sie nur an, wenn sie gefüllt sind. Sie werden nur übertragen, solange keine Auf-Abruf Regeln angelegt sind.

Proxy Konfiguration #

Im Abschnitt Proxy Konfiguration wird ein Proxy für den Datenverkehr durch das VPN festgelegt. Proxy Typ:

• Keine (Standardwert): kein Proxy.
• Manuell: Proxy-Server und Proxy-Server-Port (1 bis 65535) sind Pflicht, Proxy-Benutzername und Proxy-Benutzer-Passwort optional. Server und Port gelten für HTTP und HTTPS.
• Automatisch: Proxy-Konfigurations-URL zu einer PAC-Datei.

VPN pro App und Konto #

Mit aktivierter Option VPN-Verbindung für Apps und Konten erscheint unter dem Formular der Bereich Per Account VPN:

• Automatisch mit dem VPN verbinden, wenn eine zugehörige App eine Netzwerkverbindung anfordert
• Zugehörige Domänen, Ausgeschlossene Domänen, Safari Domänen und SMB Domänen
• Konfigurationen auswählen: Konten derselben Richtlinie (E-Mail, Exchange, Kalender, Kontakt, Google Account, Kalender-Abonnements), deren Datenverkehr über das VPN läuft. In diesen Konfigurationen weist ein Hinweis auf die verknüpfte VPN-Konfiguration hin.

Welche Apps das VPN nutzen, wird in der Konfiguration App zu VPN Zuordnung → festgelegt. Wird eine VPN-Konfiguration gelöscht, entfernt Relution auch ihre App-Zuordnungen.

Verwandte Themen #

• Zertifikat →
• SCEP →
• App zu VPN Zuordnung →
• Exchange →
• Zertifikatsverwaltung →
• Erweiterte Platzhalter →
• Richtlinien →