Relution Signet Customer Hub

VPN permanent

Cette politique définit quelle application VPN reste en permanence active sur l'appareil.

La politique VPN permanent détermine quelle application VPN déjà installée doit rester en permanence active sur un appareil Android Enterprise. Contrairement aux configurations StrongSwan →, qui équipent une application VPN spécifique de son propre profil, cette politique sélectionne uniquement quelle application fait office de VPN toujours actif – l’application elle-même doit être installée séparément via Gérer les applications →, car elle n’est pas déployée automatiquement par cette politique.

Paramètres

  • Sélectionner l’application Always-On VPN (obligatoire, bouton Sélectionnez) – l’application qui doit rester en permanence active comme connexion VPN.
  • Refuser la mise en réseau lorsque le VPN n’est pas connecté (mode verrouillage) – autorise le trafic réseau exclusivement via la connexion VPN. Tant que le VPN n’est pas connecté, aucun accès réseau n’est possible. Même lorsque le VPN est connecté, tout trafic en dehors du tunnel reste bloqué, sauf si l’application concernée est définie comme exemption de verrouillage →.

Tunnel divisé

La politique VPN permanent détermine uniquement quelle application VPN reste en permanence active. Le trafic acheminé via le tunnel est déterminé par la configuration de l’application VPN ou de la passerelle VPN. Si celle-ci ne limite pas le tunnel à certaines applications ou à certains réseaux de destination, Android achemine l’ensemble du trafic via le VPN.

Le tunnel divisé (split tunneling) est donc également possible en combinaison avec le VPN permanent, à condition que l’application VPN le prenne en charge :

  • Configuration de l’application VPN – Si l’éditeur propose une configuration gérée, celle-ci est disponible dans Gérer les applications → via l’action Configuration. Les possibilités de définir des applications ou des réseaux pour le tunnel dépendent du client VPN concerné.
  • StrongSwan – Dans le Profil VPN StrongSwan →, la section Applications permet de choisir entre Seules ces applications utiliseront le VPN et Ces applications n’utiliseront pas le VPN (par défaut). Si la liste reste vide avec Ces applications n’utiliseront pas le VPN, toutes les applications utilisent le VPN. La section Tunnel divisé permet en outre de répartir le trafic selon les réseaux de destination : Acheminer uniquement le trafic vers des sous-réseaux spécifiques via le VPN, tout le reste étant acheminé comme s’il n’y avait pas de VPN ou Le trafic vers ces sous-réseaux ne sera pas acheminé via le VPN. En option, Bloquer le trafic IPv4 non destiné au VPN et Bloquer le trafic IPv6 non destiné au VPN bloquent le reste du trafic de la version de protocole concernée.
  • Passerelle VPN – Alternativement, la passerelle transmet à l’appareil uniquement les réseaux internes comme routes, au lieu de faire passer l’ensemble du trafic par le tunnel.

Mode verrouillage et exemptions

Lorsque le mode verrouillage est activé, Android bloque tout trafic qui ne passe pas par le VPN. Les applications exclues du tunnel via le tunnel divisé n’ont alors aucune connexion réseau. Il en va de même pour le trafic vers des réseaux de destination pour lesquels le VPN ne fournit pas de route. Un tunnel divisé basé uniquement sur les réseaux de destination n’est donc pas utilisable lorsque le mode verrouillage est activé. Cela vaut également pour la répartition par sous-réseaux dans la section Tunnel divisé du Profil VPN StrongSwan.

Certaines applications peuvent être exemptées du verrouillage. Pour cela, l’option VPN toujours sur l’exemption de verrouillage est définie dans Gérer les applications → via l’action Avancée :

  • Non spécifié / Appliquer – l’application est soumise au mode verrouillage.
  • Exemption – l’application peut communiquer même sans connexion VPN active. Ce paramètre est pris en charge à partir d’Android 10.

L’option n’est pas disponible pour les applications APK du Relution App Store. Pour celles-ci, Avancée contient uniquement l’option Mode de désinstallation d’application par l’utilisateur.

Une application exemptée continue d’utiliser le VPN tant que l’application VPN l’inclut dans le tunnel. Pour qu’une application communique en dehors du tunnel lorsque le mode verrouillage est activé, elle doit donc être marquée comme Exemption et également être exclue du tunnel dans l’application VPN.

Prise en charge

  • Appareils gérés (Device Owner)
  • Profil professionnel COPE (Personal Profile Enabled)
  • Profil professionnel (Profile Owner/BYOD)