StrongSwan

Ces politiques configurent l'application StrongSwan ainsi que ses profils VPN sur les appareils Android Enterprise.

Relution propose deux politiques complémentaires pour l’application StrongSwan → (org.strongswan.android) : Restrictions StrongSwan contrôle le comportement de l’application et référence un profil par défaut, tandis que Profil VPN StrongSwan définit la connexion VPN IKEv2 proprement dite. Via VPN permanent →, l’application StrongSwan peut en outre être définie comme application VPN toujours active. Le profil connecté est déterminé par le paramètre Sélectionner un profil VPN par défaut dans les Restrictions StrongSwan.

Dès qu’une politique contient l’une des deux configurations, Relution installe automatiquement l’application StrongSwan en tant qu’application obligatoire, lui accorde les autorisations demandées et lui permet d’installer des certificats. Une attribution séparée via Gérer les applications → n’est pas nécessaire. Un paramètre défini à cet endroit pour StrongSwan, par exemple un type d’installation différent, est écrasé.

Restrictions StrongSwan #

• Permettre aux utilisateurs de créer des profils
• Permettre aux utilisateurs d’importer des profils
• Permettre aux utilisateurs d’utiliser des profils existants
• Permettre aux utilisateurs d’importer des certificats
• Autoriser les utilisateurs à accéder aux paramètres
• Ne pas afficher d’avertissement si l’application n’est pas dans la liste blanche d’alimentation de l’appareil
• Sélectionner un profil VPN par défaut (bouton Sélectionnez) – référence à une configuration Profil VPN StrongSwan de la même version de politique

Profil VPN StrongSwan #

Plusieurs profils VPN peuvent être créés et gérés dans le portail. Le formulaire se compose de la zone Profil VPN StrongSwan avec les sections Général, Certificat d’utilisateur et Certificat CA, ainsi que de la zone Paramètres avancés.

Général #

• Nom du profil
• Serveur – adresse du serveur VPN. Le port est défini sous Paramètres avancés.
• Type de VPN :
  • IKEv2 EAP (nom d’utilisateur/mot de passe)
  • Certificat IKEv2
  • Certificat IKEv2 + EAP (nom d’utilisateur/mot de passe)
  • IKEv2 EAP-TLS (Certificat)
  • IKEv2 EAP-TNC (nom d’utilisateur/mot de passe)
• Nom d’utilisateur – uniquement pour les types de VPN avec nom d’utilisateur/mot de passe

Certificat d’utilisateur #

Cette section n’apparaît que pour les types de VPN avec certificat. Le certificat utilisateur y est défini (voir Gestion des certificats →).

Certificat CA #

Certificat CA ou certificat du serveur permettant de vérifier le serveur VPN.

Paramètres avancés #

La zone Paramètres avancés est divisée en plusieurs sections.

Général #

• Identité du serveur et Identité du client
• Serveurs DNS, MTU de l’appareil du tunnel VPN, Port et Intervalle de maintien NAT-T
• Envoyer des demandes de certificat
• Vérification du certificat via OCSP ou LCR, ainsi que Utiliser un contrôle strict de la révocation
• Utiliser des signatures RSA/PSS et Utiliser les adresses de transport IPv6

Tunnel divisé #

• Sous-réseaux à inclure ou exclure
• Bloquer le trafic IPv4/IPv6 non destiné au VPN

Proxy #

Hôte, port et Exclure des hôtes du proxy.

Applications #

• Seules ces applications utiliseront le VPN – seules les applications listées utilisent le VPN, toutes les autres applications communiquent en dehors du tunnel
• Ces applications n’utiliseront pas le VPN – les applications listées communiquent en dehors du tunnel, toutes les autres applications utilisent le VPN. Si la liste reste vide, l’ensemble du trafic est acheminé via le VPN.

Lorsque le mode verrouillage est activé dans VPN permanent →, les applications en dehors du tunnel ne disposent d’une connexion réseau que si elles sont définies comme exemption de verrouillage.

Algorithmes #

Algorithmes IKEv2 et Algorithmes IPsec/ESP.

Prise en charge #

• Appareils gérés (Device Owner)
• Profil professionnel COPE (Personal Profile Enabled)
• Profil professionnel (Profile Owner/BYOD)