VPN

La configuration VPN établit une connexion VPN sur les appareils iOS, iPadOS et macOS. Elle prend en charge les types de connexion intégrés IKEv2, IPSec, L2TP et PPTP ainsi que les applications VPN de Cisco (AnyConnect), Juniper, SonicWALL et d’autres fabricants. Relution transmet les réglages sous forme de profil avec le type de payload com.apple.vpn.managed, ou com.apple.vpn.managed.applayer lorsque l’option VPN par application et par compte est activée.

Prérequis #

• La configuration est disponible dans les politiques iOS et macOS et peut être ajoutée plusieurs fois par politique, par exemple pour plusieurs serveurs VPN.
• Relution n’exige pas la supervision. Le portail signale la configuration par Prend en charge l’inscription des utilisateurs ; elle est donc aussi distribuée aux appareils avec inscription utilisateur (User Enrollment) →. Les types de VPN acceptés par le système d’exploitation en cas d’inscription utilisateur relèvent d’Apple.
• Pour les types AnyConnect Legacy, AnyConnect, JuniperSSL, SonicWall et SSL personnalisé, l’application VPN du fabricant doit être installée sur l’appareil. Le profil ne contient que les données de connexion, pas l’application.

Plateformes #

Le formulaire est identique dans les politiques iOS et macOS ; les appareils iPadOS sont gérés via les politiques iOS. Le portail propose tous les types de connexion sur les deux plateformes, mais ne vérifie pas si le système d’exploitation prend le type en charge. Selon la documentation d’Apple (sans garantie) :

• IKEv2 toujours activé (Always On) est prévu uniquement pour les iPhone et iPad supervisés, pas pour macOS.
• PPTP n’est plus pris en charge depuis iOS 10 et macOS 10.12.

Sous macOS, les mappages de la configuration Mappage App vers VPN sont intégrés directement au profil VPN, voir Mappage App vers VPN (macOS) →. Pour les applications VPN fonctionnant comme extension système, le type SSL personnalisé exige en outre le champ Exigence désignée par le fournisseur.

Général #

La configuration est créée sous Appareils → Politiques dans une politique iOS ou macOS via Ajouter et la sélection VPN. La section Général contient :

• Nom de la connexion : obligatoire. Nom de la connexion tel qu’il est affiché sur l’appareil.
• Type de connexion : IKEv2, IKEv2 toujours activé, L2TP (présélectionné pour une nouvelle configuration), PPTP, IPSec, JuniperSSL (libellé Junipers SL dans le portail), SonicWall, Héritage d’AnyConnect (AnyConnect Legacy), AnyConnect ou SSL personnalisé. Selon le type, le formulaire affiche les champs correspondants (voir Types de connexion →).
• VPN par application et par compte : désactivé par défaut. Lorsque l’option est active, la connexion ne s’applique plus à tout l’appareil, mais uniquement aux applications, comptes et domaines associés (voir VPN par application et par compte →). Disponible pour IPSec, JuniperSSL, SonicWall, AnyConnect Legacy, AnyConnect, IKEv2 et SSL personnalisé. Pour L2TP et PPTP, l’interrupteur est verrouillé et un message indique les types pris en charge ; pour IKEv2 toujours activé, il n’est pas affiché.
• Autoriser la désactivation des connexions : uniquement pour IKEv2 toujours activé, activé par défaut. Détermine si l’utilisateur peut désactiver la connexion Always On. Si l’option est désactivée, le formulaire affiche un avertissement : l’appareil a alors besoin d’un VPN opérationnel pour toute communication et, en cas de mauvaise configuration, même les modifications de Relution n’atteignent plus l’appareil.
• Type de fournisseur : uniquement pour AnyConnect Legacy, AnyConnect, JuniperSSL, SonicWall et SSL personnalisé. Tunnel de paquets (valeur par défaut) achemine le trafic au niveau IP, Proxy d’application au niveau de l’application. La variante qui fonctionne dépend de l’application VPN.

Types de connexion #

Le champ Serveur (nom d’hôte ou adresse IP du serveur VPN) est obligatoire pour tous les types. Le champ Compte contient le nom d’utilisateur pour la connexion et peut contenir des espaces réservés tels que ${user.name}. Les champs du mot de passe, du secret partagé et du certificat sont décrits dans la section Authentification →.

IKEv2 et IKEv2 toujours activé #

Les deux types utilisent le même formulaire. IKEv2 toujours activé maintient la connexion en permanence via le Wi-Fi et le réseau cellulaire.

• Identifiant à distance : obligatoire. Identifiant du serveur, formats FQDN, UserFQDN, adresse ou ASN1DN.
• Identifiant local : facultatif. Identifiant de l’appareil dans les mêmes formats.
• Authentification machine : Aucun, Secret partagé/Nom du groupe ou Certificat (valeur par défaut).
• Uniquement avec Certificat : Nom commun du certificat du serveur, Nom commun de l’émetteur du certificat de serveur et Type de certificat (Non configuré, RSA, RSA-PSS, ECDSA256, ECDSA384, ECDSA521).
• Activer l’authentification étendue (EAP) : déverrouille les champs Version minimale du protocole TLS (valeur par défaut 1.0) et Version maximale du protocole TLS (valeur par défaut 1.2). La version minimale ne doit pas être supérieure à la version maximale. Si un Type de certificat est sélectionné et que l’EAP est actif, le champ Nom commun de l’émetteur du certificat de serveur est obligatoire pour l’enregistrement.
• Taux de détection des pairs morts : Aucun, Faible, Moyen ou Élevé.
• Interrupteurs Désactiver la mobilité et le multihébergement, Désactiver les redirections, Activer le contrôle de révocation des certificats, Permettre un secret de transmission parfait (Perfect Forward Secrecy) et Activer le Fallback (tunnel via les données cellulaires pour le trafic éligible à l’assistance Wi-Fi ; le serveur doit prendre en charge plusieurs tunnels par utilisateur).
• Utiliser les attributs de sous-réseau internes IPv4/IPv6 : dans Relution 27.0.1, l’interrupteur n’est pas repris dans le profil ; l’appareil reçoit toujours l’option désactivée.
• Activer le déchargement Keep Alive NAT : déverrouille le champ Intervalle Keep Alive NAT (en secondes, valeur par défaut et minimum 20).

Sous Paramètres IKE SA et Params SA enfant, les paramètres des deux associations de sécurité sont définis :

Pour IKEv2 toujours activé, Relution transmet un tunnel pour le Wi-Fi et le réseau cellulaire avec ces réglages IKEv2. VPN à la demande et les Règles à la demande ne sont pas enregistrés pour ce type, même si le formulaire les affiche.

L2TP #

• Compte, Secret partagé et Mot de passe.
• RSA SecurID : connexion via RSA SecurID au lieu d’un mot de passe. Le champ Mot de passe est alors verrouillé.
• Envoyez tout le trafic via un VPN : activé par défaut. Achemine tout le trafic par le tunnel.

PPTP #

• Compte, RSA SecurID, Mot de passe et Envoyez tout le trafic via un VPN comme pour L2TP. Il n’y a pas de secret partagé.
• Niveau de cryptage : obligatoire. Aucun, Automatique (valeur par défaut, MPPE 40 et 128 bits) ou Maximum (128 bits).

IPSec #

• Compte et Mot de passe pour l’authentification étendue (XAuth).
• Authentification machine : Secret partagé/Nom du groupe (valeur par défaut) ou Certificat.
• Avec Secret partagé/Nom du groupe : Nom du groupe, Secret partagé, Authentification hybride (ajoute [hybrid] au nom du groupe) et Demander le mot de passe (l’appareil demande le mot de passe à chaque connexion).
• Avec Certificat : sélection du certificat, Invite pour le code PIN VPN ainsi que VPN à la demande avec les Règles à la demande.

AnyConnect, AnyConnect Legacy, JuniperSSL et SonicWall #

Ces types transmettent la connexion à l’application VPN du fabricant. AnyConnect désigne le Cisco Secure Client actuel, AnyConnect Legacy (libellé Héritage d’AnyConnect dans le portail) l’ancienne application AnyConnect.

Dès qu’un certificat intervient, VPN à la demande et les Règles à la demande apparaissent.

SSL personnalisé #

Pour les applications VPN d’autres fabricants :

• Identifiant : obligatoire. Identifiant du type de VPN attendu par l’application VPN (en général son identifiant de bundle).
• Serveur, Compte et Mot de passe. Le champ Mot de passe est affiché quelle que soit la méthode d’authentification.
• Authentification utilisateur : Mot de passe (valeur par défaut) ou Certificat.
• Identifiant du bundle fournisseur : identifiant de bundle du fournisseur VPN si l’application contient plusieurs fournisseurs.
• Exigence désignée par le fournisseur : exigence désignée (Designated Requirement) de l’application, obligatoire si le fournisseur VPN est une extension système.
• Envoyez tout le trafic via un VPN : désactivé par défaut. Exclusion des réseaux locaux n’est disponible que lorsque cette option est active ; le trafic local reste alors en dehors du tunnel.
• Données personnalisées : paires clé-valeur transmises telles quelles à l’application VPN. Les clés valables sont définies par le fabricant.
• Uniquement avec Certificat : VPN à la demande (désactivé par défaut ici), les Règles à la demande et Déconnexion au ralenti. Les options Jamais (valeur par défaut), 1 minute, 2 minutes, 5 minutes, 15 minutes, 30 minutes ou 1 heure ne sont disponibles que lorsque VPN à la demande est actif.

Authentification #

Les méthodes d’authentification disponibles dépendent du type de connexion (voir Types de connexion →). Ce qui suit s’applique aux mots de passe, secrets partagés et certificats pour tous les types.

Mot de passe et secret partagé #

Depuis Relution 26.5.5, les champs Mot de passe et Mot de passe proxy sont masqués : une valeur enregistrée apparaît sous la forme ***** ; si le champ reste inchangé, la valeur enregistrée continue de s’appliquer. Détails sous Mots de passe et clés dans les configurations →.

Un mot de passe saisi dans le champ Mot de passe est transmis tel quel à tous les appareils de la politique. Pour les comptes personnels, le champ reste en général vide ; l’application VPN ou le système d’exploitation demande alors le mot de passe lors de l’établissement de la connexion.

Certificat #

Lorsqu’un certificat fait partie de l’authentification, deux variantes sont disponibles :

• Sélectionnez un certificat (valeur par défaut) : un certificat ou un modèle de certificat de la gestion des certificats → est utilisé, par exemple un modèle SCEP à partir duquel chaque appareil reçoit son propre certificat. La sélection est obligatoire.
• Utiliser un certificat utilisateur : le certificat de l’utilisateur de l’appareil est utilisé. Si un utilisateur possède plusieurs certificats de ce type, le champ Nom du certificat en sélectionne un ; il peut contenir des espaces réservés. S’il reste vide, le certificat ayant la plus longue durée de validité est utilisé. Plus d’informations : Certificats utilisateur →

Relution ajoute automatiquement le certificat au profil.

Espaces réservés #

Les champs de texte tels que Compte ou Nom du groupe peuvent contenir des espaces réservés pour l’utilisateur et l’appareil, résolus par appareil. Les espaces réservés disponibles sont affichés dans la zone Espaces réservés disponibles sous le formulaire.

VPN à la demande #

Lorsque VPN à la demande est actif, l’appareil établit lui-même la connexion en cas de besoin. L’interrupteur n’apparaît qu’en cas d’authentification par certificat ; pour IKEv2, également avec la méthode d’authentification Aucun. Il est activé par défaut pour IKEv2, IPSec, AnyConnect, JuniperSSL et SonicWall, et désactivé pour SSL personnalisé.

Les Règles à la demande déterminent quand une connexion est établie. Ajouter, Éditer et Supprimer ne sont disponibles que lorsque VPN à la demande est actif. Les règles sont évaluées dans l’ordre, et la première règle correspondante s’applique ; l’ordre se modifie par glisser-déposer.

Chaque règle se compose d’une Action (obligatoire) et de conditions facultatives :

• Action : Connecter (établir le VPN lors du prochain accès réseau), Déconnectez (couper le VPN et ne pas se reconnecter tant que la règle correspond), Évaluer (vérifier les paramètres d’action à chaque tentative de connexion) ou Ignore (conserver une connexion existante, mais ne pas se reconnecter).
• Domaines DNS : correspond si un domaine de recherche de l’appareil correspond ; le préfixe * est autorisé, par exemple *.example.com.
• Adresses des serveurs DNS : correspond si un serveur DNS du réseau correspond, par exemple 17.*.
• Interface : — (toutes), Ethernet, Wi-Fi ou cellulaire.
• SSID : ne correspond que dans les réseaux Wi-Fi indiqués.
• URL pour sonder : correspond si l’URL est accessible sans redirection avec le statut HTTP 200.

Pour l’action Évaluer, un ou plusieurs paramètres sont créés sous Paramètres d’action via Ajouter un paramètre d’action ; ils sont également évalués dans l’ordre :

• Action sur le domaine : obligatoire. Se connecter, si nécessaire (VPN si la résolution du nom de domaine échoue) ou Ne vous connectez jamais (jamais de connexion VPN).
• Domaines : obligatoire. Domaines auxquels le paramètre s’applique.
• Serveurs DNS requis : serveurs DNS utilisés pour résoudre ces domaines.
• Sonde d’URL requise : URL HTTP ou HTTPS ; si elle n’est pas accessible avec le statut 200, le VPN est établi.

Les configurations plus anciennes des types IPSec, AnyConnect, JuniperSSL et SonicWall peuvent encore contenir les listes de domaines Établissez toujours, Ne jamais établir et Établir si nécessaire. Le formulaire ne les affiche que si elles sont renseignées. Elles ne sont transmises que tant qu’aucune Règle à la demande n’existe.

Configuration du proxy #

La section Configuration du proxy définit un proxy pour le trafic passant par le VPN. Type de proxy :

• Aucun (valeur par défaut) : pas de proxy.
• Manuelle : Serveur proxy et Port du serveur proxy (1 à 65535) sont obligatoires, Utilisateur proxy et Mot de passe proxy sont facultatifs. Le serveur et le port s’appliquent à HTTP et HTTPS.
• Automatique : URL de configuration du proxy vers un fichier PAC.

VPN par application et par compte #

Lorsque l’option VPN par application et par compte est activée, la zone VPN par compte apparaît sous le formulaire :

• Une option permettant d’établir automatiquement la connexion au VPN lorsqu’une application associée demande une connexion réseau.
• Domaines associés, Domaines exclus, Domaines Safari et Domaines SMB.
• Sélectionnez les configurations : comptes de la même politique (e-mail, Exchange, calendrier, contacts, compte Google, abonnement au calendrier) dont le trafic passe par le VPN. Dans ces configurations, un message renvoie à la configuration VPN associée.

Les applications qui utilisent le VPN sont définies dans la configuration Mappage App vers VPN →. Lorsqu’une configuration VPN est supprimée, Relution supprime également ses mappages d’applications.

Rubriques connexes #

• Certificat →
• SCEP →
• Mappage App vers VPN →
• Exchange →
• Gestion des certificats →
• Espaces réservés avancés →
• Les politiques expliquées →