VPN

Mit der Richtlinien-Konfiguration VPN werden VPN-Profile zentral auf verwaltete Windows-Geräte verteilt. Die Konfiguration deckt neben der eigentlichen Verbindung auch Authentifizierung, Namensauflösung, Split-Tunneling und Proxy-Einstellungen ab. Unterstützt werden Windows Home, Pro, Enterprise und Education ab Version 1607.

Das Formular ist in die Abschnitte Allgemein, Apps, DNS Einstellungen, Split tunneling und Proxy Konfiguration gegliedert.

Allgemein #

Authentifizierung #

Das Feld Authentifizierungstyp bietet je nach VPN Typ folgende Optionen. Bei einem Wechsel des VPN Typs wird der Authentifizierungstyp zurückgesetzt.

Beim VPN Typ L2TP ist entweder ein vorinstallierter Schlüssel oder ein Identitätszertifikat erforderlich (Zertifikat, Zertifikatsvorlage oder Benutzerzertifikat). Fehlt beides, wird die Konfiguration nicht gespeichert.

EAP XML #

EAP wird nicht über einzelne Felder eingerichtet, sondern als XML-Konfiguration im Textfeld EAP XML. Über dem Feld verlinkt das Portal die Microsoft-Dokumentation zum Aufbau dieser Konfiguration: EAP-Konfiguration →.

Das Feld steht bei allen Kombinationen außer IKEv2 mit Computerzertifikat zur Verfügung. An das Gerät übertragen wird das XML nur beim Authentifizierungstyp EAP; bei Keine und Vorinstallierter Schlüssel wird es ignoriert.

Ab Relution 26.5.5 darf das XML keine DOCTYPE-Deklaration (<!DOCTYPE …>) enthalten. Eine solche Konfiguration lässt sich zwar speichern, das VPN-Profil kann dann aber nicht an das Gerät übertragen werden. EAP-Konfigurationen nach der Microsoft-Vorlage enthalten keine DOCTYPE-Deklaration und sind nicht betroffen. Enthält eine bestehende Konfiguration eine solche Deklaration, ist sie aus dem XML zu entfernen.

Identitätszertifikat #

Außer beim Authentifizierungstyp Vorinstallierter Schlüssel wird unter Identitätszertifikat festgelegt, welches Zertifikat für die Verbindung verwendet wird:

• Benutzerdefiniertes Zertifikat verwenden: Verwendet das Benutzerzertifikat. Über das optionale Feld Zertifikatsname wird ein bestimmtes Zertifikat anhand des Namens ausgewählt, wenn der Benutzer mehrere Zertifikate dieses Typs besitzt; der Name kann Platzhalter enthalten. Bleibt das Feld leer, wird das am längsten gültige Zertifikat verwendet. Voraussetzung ist, dass dem Gerät ein Benutzer zugewiesen ist, für den ein Benutzerzertifikat existiert.
• Zertifikat wählen: Auswahl eines Zertifikats oder einer Zertifikatsvorlage aus der Zertifikatsverwaltung.

Das Zertifikat wird nur beim Authentifizierungstyp EAP zusammen mit dem VPN-Profil auf dem Gerät installiert.

IKEv2-Parameter #

Beim VPN Typ IKEv2 lassen sich zusätzlich die Kryptografie-Parameter festlegen. Standardwert aller Felder ist Nicht konfiguriert.

• IKE SA-Parameter: Verschlüsselungsalgorithmus, Integritätsalgorithmus und Diffie-Hellman-Gruppe
• Untergeordnete SA-Parameter: Verschlüsselungsalgorithmus, Integritätsalgorithmus und Diffie-Hellman-Gruppe (PFS-Gruppe, zusätzlich mit der Option Übergeordnete Diffie-Hellman-Gruppe verwenden)

Es werden entweder alle sechs Werte oder keiner gesetzt; eine teilweise Angabe wird nicht gespeichert.

Apps #

DNS Einstellungen #

Das Feld DNS suffix nimmt DNS-Suffixe auf, die zur DNS-Suchliste hinzugefügt werden, damit Kurznamen korrekt aufgelöst werden. Das erste Suffix der Liste wird zugleich als primäres verbindungsspezifisches DNS-Suffix der VPN-Schnittstelle verwendet.

Die Regeln für die Name-Resolution-Policy-Tabelle (NRPT) legen fest, wie DNS-Namen aufgelöst werden, während eine VPN-Verbindung besteht. Jede Regel gibt eine Domäne und die DNS-Server oder den Web-Proxy-Server an, die zur Auflösung dieser Domäne verwendet werden. Über Hinzufügen wird eine Regel mit folgenden Feldern angelegt:

Split tunneling #

Split-Tunneling wird über den Schalter Split tunneling aktiviert. Nur dann werden die Einträge unter Split-Tunneling Routen für die VPN-Verbindung an das Gerät übertragen, und nur der Datenverkehr zu diesen Zielen läuft über das VPN.

Jede Route wird über Hinzufügen als Zielpräfix in CIDR-Schreibweise eingetragen, als IPv4- oder IPv6-Adresse mit Präfixlänge (z. B. 10.22.0.0/16). Die Präfixlänge (Subnetzmaske) muss größer als 0 sein.

Proxy Konfiguration #

Das Feld Proxy Typ bestimmt, welche weiteren Felder erscheinen:

Verwandte Themen #

• Zertifikate → — Identitäts- und Vertrauenszertifikate bereitstellen.
• WLAN → — Netzwerkprofile für Windows-Geräte.