Configurare Microsoft Tunnel per Intune

Microsoft Tunnel Gateway viene installato in un contenitore in un server Linux eseguito in locale o nel cloud. A seconda dell'ambiente e dell'infrastruttura, potrebbero essere necessarie altre configurazioni e software come Azure ExpressRoute.

Prima di avviare l'installazione, assicurarsi di completare le operazioni seguenti:

• Rivedere e configurare i prerequisiti per Microsoft Tunnel.
• Eseguire lo strumento di preparazione del tunnel Microsoft per verificare che l'ambiente sia pronto per supportare l'uso del tunnel.

Quando i prerequisiti sono pronti, tornare a questo articolo per iniziare l'installazione e la configurazione del tunnel.

Creare una configurazione server

L'uso di una configurazione server consente di creare una configurazione una sola volta e di usare la configurazione da più server. La configurazione include intervalli di indirizzi IP, server DNS e regole di split tunneling. In seguito, si assegnerà una configurazione server a un sito, che applicherà automaticamente tale configurazione server a ogni server che si unisce a quel sito.

Per creare una configurazione server

1. Accedere all Microsoft Intune interfaccia> di amministrazioneAmministrazione> tenantMicrosoft Tunnel Gateway>selezionare lascheda>Configurazioni serverCrea nuovo.

2. Nella scheda Informazioni di base, immettere un Nome e una Descrizione(facoltativo) e selezionare Avanti.

3. Nella scheda Impostazioni configurare gli elementi seguenti:

   • Intervallo di indirizzi IP: gli indirizzi IP all'interno di questo intervallo vengono affittati ai dispositivi quando si connettono al gateway tunnel. L'intervallo di indirizzi IP del client tunnel specificato non deve essere in conflitto con un intervallo di rete locale.

     • Prendere in considerazione l'uso dell'intervallo APIPA (Automatic Private IP Addressing) di 169.254.0.0/16, in quanto questo intervallo evita conflitti con altre reti aziendali.
     • Se l'intervallo di indirizzi IP del client è in conflitto con la destinazione, usa l'indirizzo di loopback e non riesce a comunicare con la rete aziendale.
     • È possibile selezionare qualsiasi intervallo di indirizzi IP client da usare se non è in conflitto con gli intervalli di indirizzi IP della rete aziendale.

   • Porta server: immettere la porta su cui il server è in ascolto per le connessioni.

   • Server DNS: questi server vengono utilizzati quando una richiesta DNS proviene da un dispositivo che si connette a Tunnel Gateway.

   • Ricerca suffisso DNS(facoltativo): questo dominio viene fornito ai client come dominio predefinito quando si connettono a Tunnel Gateway.

   • Disabilita connessioni UDP(facoltativo): quando questa opzione è selezionata, i client si connettono solo al server VPN usando connessioni TCP. Poiché il client del tunnel autonomo richiede l'uso di UDP, selezionare la casella di controllo per disabilitare le connessioni UDP solo dopo aver configurato i dispositivi per l'uso di Microsoft Defender per endpoint come app client del tunnel.

4. Nella scheda Impostazioni configurare le regole di split tunneling, che sono facoltative.

   È possibile includere o escludere indirizzi. Gli indirizzi inclusi vengono instradati a Tunnel Gateway. Gli indirizzi esclusi non vengono instradati al gateway del tunnel. Ad esempio, è possibile configurare una regola di inclusione per 255.255.0.0 o 192.168.0.0/16.

   Per includere o escludere gli indirizzi, usare le opzioni seguenti:

   • Intervalli IP da includere
   • Intervalli IP da escludere

   Nota

   Non usare un intervallo IP che specifica 0.0.0.0 in uno degli indirizzi di inclusione o esclusione. Tunnel Gateway non può instradare il traffico quando viene utilizzato questo intervallo. Se nella configurazione del server viene utilizzato il DNS aziendale, tali indirizzi devono essere aggiunti nelle regole di inclusione per lo split tunneling.

5. Nella scheda Revisione + crea rivedere la configurazione e quindi selezionare Crea per salvarla.

   Nota

   Per impostazione predefinita, ogni sessione VPN rimane attiva solo per 3.600 secondi (un'ora) prima di disconnettersi (una nuova sessione viene stabilita immediatamente nel caso in cui il client sia impostato per l'utilizzo di Always On VPN).

   Tuttavia, è possibile modificare il valore di timeout della sessione insieme ad altre impostazioni di configurazione del server usando chiamate graph (microsoftTunnelConfiguration) Per ulteriori informazioni, vedere Modificare il timeout della sessione VPN dei server tunnel più avanti in questo articolo.

Creare un sito

I siti sono gruppi logici di server che ospitano Microsoft Tunnel. L'inserzionista assegna una configurazione server a ogni sito creato. Tale configurazione viene applicata a ogni server che si unisce al sito.

Per creare una Configurazione del sito

1. Accedere all'interfaccia >di amministrazione di Microsoft IntuneAmministrazione> tenantMicrosoft Tunnel Gateway>selezionare lascheda>Siti Crea.

2. Nel riquadro Crea un sito specificare le proprietà seguenti:

   • Nome: immettere un nome per il sito.

   • Descrizione: facoltativamente, è possibile specificare una descrizione descrittiva per il sito.

   • Indirizzo IP pubblico o FQDN: specificare un indirizzo IP pubblico o FQDN, che è il punto di connessione per i dispositivi che usano il tunnel. Questo indirizzo IP o FQDN può identificare un singolo server o un server di bilanciamento del carico. L'indirizzo IP o il nome di dominio completo deve essere risolvibile in un DNS pubblico e l'indirizzo IP risolto deve essere instradabile pubblicamente.

   • Configurazione server: Per selezionare una configurazione server da associare a questo sito, utilizzare l'elenco a discesa.

   • URL per il controllo dell'accesso alla rete interna: specificare un URL HTTP o HTTPS per un percorso nella rete interna. Ogni cinque minuti, ogni server assegnato a questo sito tenta di accedere all'URL per confermare che può accedere alla rete interna. I server segnalano lo stato di questo controllo come Accessibilità della rete internanella scheda Controllo integrità server.

   • Aggiorna automaticamente i server in questo sito: se Sì, i server vengono aggiornati automaticamente quando è disponibile un aggiornamento. In caso negativo, l'aggiornamento è manuale e l'amministratore deve approvarlo prima che possa essere avviato.

     Per altre informazioni, vedere Aggiornare Microsoft Tunnel.

   • Limita gli aggiornamenti del server alla finestra di manutenzione: se Sì, gli aggiornamenti del server per questo sito possono iniziare solo tra l'ora di inizio e l'ora di fine specificate. Tra l'ora di inizio e l'ora di fine deve trascorrere almeno un'ora. Se impostato su No, non è disponibile alcuna finestra di manutenzione e gli aggiornamenti vengono avviati il prima possibile a seconda di come è configurato l'aggiornamento automatico dei server in questo sito .

     Se impostato su Sì, configura le opzioni seguenti:

     • Fuso orario : il fuso orario selezionato determina l'inizio e la fine della finestra di manutenzione in tutti i server del sito, indipendentemente dal fuso orario dei singoli server.
     • Ora di inizio : consente di specificare il primo orario di inizio del ciclo di aggiornamento, in base al fuso orario selezionato.
     • Ora di fine : consente di specificare l'ora più recente di avvio del ciclo di aggiornamento, in base al fuso orario selezionato. I cicli di aggiornamento avviati prima di questo periodo continueranno a essere eseguiti e possono essere completati dopo questo periodo.

     Per altre informazioni, vedere Aggiornare Microsoft Tunnel.

3. Selezionare Crea per salvare il sito.

Installare Microsoft Tunnel Gateway

Prima di installare Microsoft Tunnel Gateway in un server Linux, configurare il tenant con almeno una configurazione server e quindi creare un sito. In seguito, si specificherà il sito a cui un server si unisce quando si installa il tunnel in tale server.

Con una configurazione server e un sito, è possibile utilizzare la procedura seguente per installare Microsoft Tunnel Gateway.

Tuttavia, se si prevede di installare Microsoft Tunnel Gateway in un contenitore Podman rootless, vedere Utilizzo di un contenitore Podman rootless prima di iniziare l'installazione. La sezione collegata descrive in dettaglio i prerequisiti aggiuntivi e una riga di comando modificata per lo script di installazione. Dopo aver configurato i prerequisiti aggiuntivi, è possibile tornare qui per continuare con la procedura di installazione seguente.

Usare lo script per installare Microsoft Tunnel

1. Scaricare lo script di installazione di Microsoft Tunnel usando uno dei metodi seguenti:

   • Scarica lo strumento direttamente usando un Web browser. Passare a https://aka.ms/microsofttunneldownload per scaricare il file mstunnel-setup.

   • Accedere all Microsoft Intune interfaccia> di amministrazioneAmministrazione> tenantMicrosoft Tunnel Gateway, selezionare la scheda Server, selezionare Crea per aprire il riquadro Crea un server e quindi selezionare Scarica script.

     

   • Utilizzare un comando Linux per scaricare direttamente il software del tunnel. Ad esempio, nel server in cui installerai il tunnel, puoi usare wget o curl per aprire il collegamento https://aka.ms/microsofttunneldownload.

     Ad esempio, per usare i dettagli di wget e log in mstunnel-setup durante il download, eseguire wget --output-document=mstunnel-setup https://aka.ms/microsofttunneldownload

2. Per avviare l'installazione del server, eseguire lo script come root. Ad esempio, è possibile utilizzare la seguente riga di comando: sudo ./mstunnel-setup. Lo script installa sempre la versione più recente di Microsoft Tunnel.

   Importante

   Se stai installando Tunnel in un contenitore Podman rootless, usa la seguente riga di comando modificata per avviare lo script: mst_rootless_mode=1 ./mstunnel-setup

   Per visualizzare l'output dettagliato della console durante il processo di registrazione del tunnel e dell'agente di installazione:

   1. Eseguire export mst_log_verbose=1 prima di eseguire lo script ./mstunnel-setup . Per verificare che la registrazione dettagliata sia abilitata, esegui export.

   2. Al termine dell'installazione, modificare il file di ambiente /etc/mstunnel/env.sh per aggiungere una nuova riga: mst_log_verbose=1. Dopo aver aggiunto la riga, eseguire mst-cli server restart per riavviare il server.

   Importante

   Per il cloud del governo degli Stati Uniti, la riga di comando deve fare riferimento all'ambiente cloud del governo. A tale scopo, eseguire i seguenti comandi per aggiungere intune_env=FXP alla riga di comando:

   1. Eseguire sudo ./mstunnel-setup
   2. Eseguire sudo intune_env=FXP ./mstunnel-setup

   Consiglio

   Se si interrompe l'installazione e lo script, è possibile riavviarlo eseguendo di nuovo la riga di comando. L'installazione riprenderà da dove l'installazione era stata interrotta.

   Quando si avvia lo script, scarica le immagini del contenitore da Microsoft Tunnel Gateway immagini del contenitore dal servizio Intune e crea le cartelle e i file necessari sul server.

   Durante l'installazione, lo script richiede di completare diverse attività amministrative.

3. Quando richiesto dallo script, accettare il contratto di licenza (EULA).

4. Rivedere e configurare le variabili nei file seguenti per supportare l'ambiente.

   • File di ambiente: /etc/mstunnel/env.sh. Per altre informazioni su queste variabili, vedere Variabili di ambiente nell'articolo di riferimento per Microsoft Tunnel.

5. Quando richiesto, copiare l'intera catena del file di certificato TLS (Transport Layer Security) nel server Linux. Lo script visualizza il percorso corretto da usare nel server Linux.

   Il certificato TLS protegge la connessione tra i dispositivi che usano il tunnel e l'endpoint del gateway del tunnel. Il certificato deve contenere l'indirizzo IP o il nome di dominio completo del server Tunnel Gateway nella rete SAN.

   La chiave privata rimane disponibile nel computer in cui si crea la richiesta di firma del certificato TLS. Questo file deve essere esportato con il nome site.key.

   Installare il certificato TLS e la chiave privata. Usare le indicazioni seguenti in base al formato di file:

   • PFX:

     • Il nome del file del certificato deve essere site.pfx. Copia il file del certificato in /etc/mstunnel/private/site.pfx.

   • PEM:

     • La catena completa (radice, intermedio, end-entity) deve trovarsi in un singolo file denominato site.crt. Se si utilizza un certificato emesso da un provider pubblico come Digicert, è possibile scaricare l'intera catena come singolo file .pem.

     • Il nome del file del certificato deve essere *site.crt. Copia il certificato dell'intera catena in /etc/mstunnel/certs/site.crt. Ad esempio: cp [full path to cert] /etc/mstunnel/certs/site.crt

       In alternativa, crea un collegamento al certificato della catena completa in /etc/mstunnel/certs/site.crt. Ad esempio: ln -s [full path to cert] /etc/mstunnel/certs/site.crt

     • Copiare il file della chiave privata in /etc/mstunnel/private/site.key. Ad esempio: cp [full path to key] /etc/mstunnel/private/site.key

       In alternativa, crea un collegamento al file della chiave privata in /etc/mstunnel/private/site.key. Ad esempio: ln -s [full path to key file] /etc/mstunnel/private/site.key questa chiave non deve essere crittografata con una password. Il nome del file della chiave privata deve essere site.key.

6. Dopo l'installazione del certificato e la creazione dei servizi Tunnel Gateway, viene richiesto di accedere e autenticarsi con Intune. All'account utente devono essere assegnate autorizzazioni equivalenti a quelle dell'amministratore di Intune. L'account usato per completare l'autenticazione deve avere una licenza di Intune. Le credenziali di questo account non vengono salvate e vengono usate solo per l'accesso iniziale a Microsoft Entra ID. Dopo aver completato l'autenticazione, gli ID app di Azure/chiavi segrete vengono usati per l'autenticazione tra Tunnel Gateway e Microsoft Entra.

   Questa autenticazione registra Tunnel Gateway con Microsoft Intune e il tenant di Intune.

   1. Aprire https://Microsoft.com/devicelogin un Web browser e immettere il codice del dispositivo fornito dallo script di installazione, quindi accedere con le credenziali di amministratore di Intune.

   2. Dopo la registrazione di Microsoft Tunnel Gateway con Intune, lo script ottiene informazioni sui siti e sulle configurazioni del server da Intune. Lo script chiede quindi di immettere il GUID del sito del tunnel a cui si desidera che il server si unisca. Lo script presenta un elenco dei siti disponibili.

   3. Dopo aver selezionato un sito, il programma di installazione estrae la configurazione server per tale sito da Intune e la applica al nuovo server per completare l'installazione di Microsoft Tunnel.

7. Al termine dello script di installazione, è possibile passare all'interfaccia di amministrazione di Microsoft Intune alla scheda Microsoft Tunnel Gateway per visualizzare lo stato generale del tunnel. È anche possibile aprire la scheda Stato integrità per verificare che il server sia online.

8. Se si utilizza Red Hat Enterprise Linux (RHEL) 8.4 o versione successiva, assicurarsi di riavviare il server Tunnel Gateway prima mst-cli server restart di tentare di connettere i client ad esso.

Configurare Podman per utilizzare il proxy per scaricare gli aggiornamenti delle immagini

Dopo aver installato il server Tunnel Gateway, è possibile configurare Podman per utilizzare il proxy per scaricare (estrarre) immagini aggiornate per Podman. Questa configurazione è importante per consentire gli aggiornamenti futuri:

1. Sul server tunnel, utilizzare un prompt dei comandi per eseguire il comando seguente e aprire un editor per il file di sostituzione per il servizio Microsoft Tunnel:

   systemctl edit --force mstunnel_monitor

2. Aggiungere le tre righe seguenti al file. Sostituire ogni istanza di indirizzo con il DN o l'indirizzo del proxy e quindi salvare il file. Ad esempio, se l'indirizzo del proxy è 10.10.10.1 disponibile sulla porta 3128, la prima riga dopo [Servizio] potrebbe essere visualizzata come Environment="http_proxy=http//10.10.10.1:3128" e la riga successiva come Environment="https_proxy=http//10.10.10.1:3128"

   [Service]
   Environment="http_proxy=address"
   Environment="https_proxy=address"
   

3. Eseguire quindi le operazioni seguenti al prompt dei comandi:

   systemctl restart mstunnel_monitor

4. Infine, eseguire quanto segue al prompt dei comandi per confermare che la configurazione sia riuscita:

   systemctl show mstunnel_monitor | grep http_proxy

   Se la configurazione ha esito positivo, i risultati sono simili alle informazioni seguenti:

   Environment="http_proxy=address:port"
   Environment="https_proxy=address:port"
   

Aggiornare il server proxy in uso dal server tunnel

Per modificare la configurazione del server proxy in uso dall'host Linux del server tunnel, attenersi alla procedura seguente:

1. Sul server tunnel, modificare /etc/mstunnel/env.sh e specificare il nuovo server proxy.

2. Eseguire mst-cli install.

   Questo comando ricompila i contenitori con i dettagli del nuovo server proxy. Durante questo processo, viene chiesto di verificare il contenuto di /etc/mstunnel/env.sh e di assicurarsi che il certificato sia installato. Il certificato dovrebbe essere già presente dalla configurazione precedente del server proxy.

   Per confermare entrambe le impostazioni e completare la configurazione, immettere sì.

Aggiungere certificati radice attendibili ai contenitori del tunnel

I certificati radice attendibili devono essere aggiunti ai contenitori del tunnel quando:

• Il traffico del server in uscita richiede l'ispezione del proxy SSL.
• Gli endpoint a cui accedono i contenitori del tunnel non sono esenti dall'ispezione proxy.

Passi:

1. Copia i certificati radice attendibili con estensione .crt in /etc/mstunnel/ca-trust
2. Riavviare i contenitori del tunnel utilizzando "mst-cli server restart" e "mst-cli agent restart"

Modifica del timeout della sessione VPN dei server tunnel

È possibile usare Microsoft Graph Beta e PowerShell per modificare il timeout della sessione VPN del server tunnel. Per impostazione predefinita, la sessione VPN del server tunnel viene mantenuta per un'ora. È possibile impostare un timeout di sessione più breve usando un computer Windows e PowerShell per modificare il timeout della sessione.

Per impostazione predefinita, la sessione VPN del server tunnel persiste per un'ora. È possibile usare Microsoft Graph Beta e PowerShell per impostare un timeout di sessione più breve di propria scelta, ad esempio cinque o 10 minuti.

Prerequisiti

Installare il modulo di PowerShell Microsoft Graph Beta denominato Microsoft.Graph.Beta in un computer Windows. Per altre informazioni su questo prerequisito, vedere Installare SDK PowerShell di Microsoft Graph nella documentazione di PowerShell.

Comandi di PowerShell per modificare il timeout della sessione VPN

Nel computer Windows in cui è stato importato il modulo Graph usare un account amministratore per eseguire i comandi di PowerShell seguenti.

Nei comandi di PowerShell seguenti sostituire le variabili, che appaiono simili a <id>, con il valore previsto racchiuso tra virgolette doppie. Ad esempio, se l'ID del passaggio 2 è uguale a 12345-abcde-67890-fghij, la riga di comando per il passaggio 3 verrà visualizzata come segue Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId "12345-abcde-67890-fghij" | Format-List

1. Connettersi a Graph usando un account con autorizzazioni di amministratore:

      Connect-MgGraph -Scopes "DeviceManagementConfiguration.ReadWrite.All"
   

2. Elencare le configurazioni del tunnel, quindi copiare l'ID della configurazione che si desidera modificare:

   Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration
   

3. Ottenere i dettagli della configurazione (il campo AdvancedSettings deve essere vuoto):

   Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId <id> | Format-List
   

4. Creare la nuova impostazione con un valore desiderato:

   $setting = New-Object -TypeName Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphKeyValuePair;  $setting.Name = "session-timeout";  $setting.Value = <integer-in-seconds>
   

5. Aggiorna le Impostazioni avanzate della configurazione:

   Update-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId <id> -AdvancedSettings @($setting)
   

6. Verificare che AdvancedSettings sia aggiornato:

   Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId <id> | Format-List
   

Tutti i server dovrebbero ricevere la nuova configurazione entro cinque minuti dalla modifica. Per verificare l'impostazione in un server, verificare /etc/mstunnel/ocserv.conf la presenza del valore aggiornato.

Distribuire l'app client Microsoft Tunnel

Per usare Microsoft Tunnel, i dispositivi devono avere accesso a un'app client Microsoft Tunnel. Microsoft Tunnel usa Microsoft Defender per endpoint come app client Tunnel:

• Android: scaricare Microsoft Defender per endpoint da usare come app client Microsoft Tunnel da Google Play Store. Vedere Aggiungere app di Android Store a Microsoft Intune.

  Quando si usa Microsoft Defender per endpoint come applicazione client tunnel e come applicazione MTD (Mobile Threat Defense), vedere Usare Microsoft Defender per endpoint per MTD e come app client Microsoft Tunnel per importanti indicazioni sulla configurazione.

• iOS/iPadOS: scaricare Microsoft Defender per endpoint da usare come app client Microsoft Tunnel dall'Apple App Store. Vedere Aggiungere app dello store iOS a Microsoft Intune.

Per altre informazioni sulla distribuzione di app con Intune, vedere Aggiungere app a Microsoft Intune.

Passaggio 1: Creare un profilo VPN

Dopo l'installazione di Microsoft Tunnel e l'installazione dei dispositivi Microsoft Defender per endpoint, è possibile distribuire profili VPN per indirizzare i dispositivi a usare il tunnel. A tale scopo, creare profili VPN con un tipo di connessione Microsoft Tunnel:

• Android: la piattaforma Android supporta l'instradamento del traffico attraverso una VPN per app e regole di split tunneling in modo indipendente o contemporaneamente.

• iOS/iPadOS La piattaforma iOS supporta l'instradamento del traffico tramite una VPN per app o regole di split tunneling, ma non entrambe contemporaneamente. Se abiliti una VPN per app per iOS, le regole di split tunneling vengono ignorate.

Android

1. Accedere all'interfaccia >di amministrazione di Microsoft IntuneDispositivi>Gestire i dispositivi>Configurazione> Nella scheda Criteri selezionare Crea.

2. Per Piattaforma selezionare Android Enterprise. In Profilo , selezionare VPN per Profilo di lavoro di proprietà dell'azienda o Profilo di lavoro personale, quindi selezionare Crea.

   Nota

   Microsoft Tunnel non supporta i dispositivi dedicati Android Enterprise .

3. Nella scheda Informazioni di base, immettere un Nome e una Descrizione(facoltativo) e selezionare Avanti.

4. Per Tipo di connessione selezionare Microsoft Tunnel, quindi configurare i dettagli seguenti:

   • VPN di base:

     • In Nome connessione, specificare un nome da visualizzare agli utenti.
     • Per Sito tunnel Microsoft, selezionare il sito del tunnel utilizzato da questo profilo VPN.

   • VPN per app:

     • Le app assegnate nel profilo VPN per app inviano il traffico delle app al tunnel.
     • In Android, l'avvio di un'app non avvia la VPN per app. Tuttavia, quando la VPN ha la VPN sempre attiva impostata su Abilita, la VPN è già connessa e il traffico delle app usa la VPN attiva. Se la VPN non è impostata su Always-on, l'utente deve avviarla manualmente prima di poterla usare.
     • Se si usa l'app Defender per endpoint per connettersi al tunnel, avere la protezione Web abilitata e si usa una VPN per app, la protezione Web si applica solo alle app nell'elenco VPN per app. Nei dispositivi con un profilo di lavoro, in questo scenario è consigliabile aggiungere tutti i Web browser del profilo di lavoro all'elenco VPN per app per garantire la protezione del traffico Web del profilo di lavoro.
     • Per abilitare una VPN per app, selezionare Aggiungi e quindi passare alle app personalizzate o pubbliche importate in Intune.

   • VPN sempre attiva:

     • Per la VPN Always On, selezionare Enable per impostare il client VPN in modo che si connetta e si riconnetta automaticamente alla VPN. Le connessioni VPN sempre attive rimangono connesse. Se la VPN per app è impostata su Abilita, solo il traffico proveniente dalle app selezionate passa attraverso il tunnel.

   • Modalità tunnel rigorosa(solo Android):

     • Questa impostazione è disponibile quando il tipo di connessione è Microsoft Tunnel e VPN sempre attiva è impostato su Abilita. Se abilitata, tutto il traffico di rete viene forzato attraverso il tunnel VPN. Se la connessione VPN non è disponibile o si interrompe, tutto il traffico di rete nel dispositivo viene bloccato fino a quando la VPN non si riconnette, impedendo alle app di accedere alla rete Internet pubblica all'esterno del tunnel.
     • Elenco esclusioni app : quando è abilitata la modalità tunnel limitato, è possibile specificare le app che ignorano il tunnel VPN. Le app nell'elenco di esclusione si connettono direttamente alla rete indipendentemente dallo stato della connessione VPN. Le app non presenti nell'elenco vengono bloccate quando la VPN non è disponibile.
     • La modalità tunnel severa richiede dispositivi registrati tramite l'API di gestione Android (API AM). I dispositivi registrati tramite il profilo di lavoro dell'API EMM legacy non supportano la modalità tunnel severa fino a quando non viene eseguita la migrazione all'API AM.

     Le piattaforme seguenti supportano la modalità tunnel rigoroso:

     • Android Enterprise completamente gestito di proprietà dell'azienda
     • Profilo aziendale Android Enterprise di proprietà dell'azienda
     • Profilo di lavoro personale di Android Enterprise

   • Delega:

     • Configurare i dettagli del server proxy per l'ambiente.

       Nota

       Le configurazioni dei server proxy non sono supportate con le versioni di Android precedenti alla versione 10. Per altre informazioni, vedere VpnService.Builder nella documentazione per sviluppatori Android.

   Per ulteriori informazioni sulle impostazioni VPN, vedere Impostazioni dei dispositivi Android Enterprise per configurare la VPN

   Importante

   Per i dispositivi Android Enterprise che usano Microsoft Defender per endpoint come applicazione client Microsoft Tunnel e come app MTD, devi usare impostazioni personalizzate per configurare Microsoft Defender per endpoint invece di usare un profilo di configurazione dell'app separato. Se non si intende usare alcuna funzionalità di Defender per endpoint, inclusa la protezione Web, usare le impostazioni personalizzate nel profilo VPN e impostare defendertoggle su 0.

5. Nella scheda Assegnazioni configurare i gruppi che riceveranno il profilo.

6. Nella scheda Revisione + crea rivedere la configurazione e quindi selezionare Crea per salvarla.

iOS

1. Accedere all'interfaccia >di amministrazione di Microsoft IntuneDispositivi>,gestire dispositivi>, configurazione>, creare.

2. In Piattaforma selezionare iOS/iPadOS e quindi in Profilo selezionare VPN e quindi Crea.

3. Nella scheda Informazioni di base, immettere un Nome e una Descrizione(facoltativo) e selezionare Avanti.

4. Per Tipo di connessione, selezionare Microsoft Tunnel, quindi configurare gli elementi seguenti:

   • VPN di base:

     • In Nome connessione, specificare un nome da visualizzare agli utenti.
     • Per il sito del tunnel Microsoft, fare clic su Seleziona un sito e quindi selezionare il sito del tunnel usato da questo profilo VPN.

     Nota

     Quando si usa la connessione VPN di Microsoft Tunnel e Protezione Web di Defender in modalità combinata nei dispositivi iOS, è fondamentale configurare le regole "Su richiesta" per attivare efficacemente l'impostazione "Disconnetti in modalità sospensione". In caso contrario, la VPN del tunnel e la VPN di Defender verranno disconnesse quando il dispositivo iOS entra in modalità di sospensione, mentre la VPN è attivata.

     Tuttavia, a causa di un conflitto tra il modo in cui un'applicazione Single Sign-On (SSO) ottiene i token di accesso e il funzionamento delle regole Tunnel VPN su richiesta, la configurazione di una regola su richiesta per connettersi a tutti i domini quando si utilizza anche "Deisconnect on Sleep" non è supportata quando si utilizza SSO.

     In generale, è consigliabile configurare le regole su richiesta per le VPN per app, in quanto consente alle app di avviare connessioni VPN in base alle esigenze e garantisce che l'impostazione "Disconnetti in modalità sospensione" funzioni come previsto.

   • VPN per app: per abilitare una VPN per app, selezionare Abilita. Per le VPN per app di iOS sono necessari passaggi di configurazione aggiuntivi. Quando la VPN per app è configurata, iOS ignora le regole di split tunneling.

     Per altre informazioni, vedere VPN per app per iOS/iPadOS.

   • Regole VPN su richiesta: Definisci regole su richiesta che consentono l'uso della VPN quando vengono soddisfatte le condizioni per FQDN o indirizzi IP specifici.

     Per ulteriori informazioni, vedere Impostazioni VPN automatiche.

   • Proxy: configurare i dettagli del server proxy per l'ambiente.

Usare un elenco di esclusione proxy per Android Enterprise

Quando si usa un singolo server proxy diretto nell'ambiente, è possibile usare un elenco di esclusione proxy nei profili VPN di Microsoft Tunnel per Android Enterprise. Gli elenchi di esclusione proxy sono supportati per Microsoft Tunnel e Microsoft Tunnel per Microsoft Tunnel per MAM.

L'elenco di esclusione proxy nel profilo VPN supporta l'immissione di domini specifici da escludere dalla configurazione del proxy diretto per i dispositivi che ricevono e usano il profilo.

Di seguito sono riportati i formati supportati per le voci dell'elenco di esclusione:

• URL completi con corrispondenza esatta del sottodominio. Ad esempio, sub.contoso.com
• Un carattere jolly iniziale negli URL. Ad esempio, usando l'esempio dell'URL completo, è possibile sostituire il nome del sottodominio iniziale (sub) con un asterisco per espandere il supporto in modo da includere tutti i sottodomini di contso.com: *.contoso.com
• Indirizzi IPv4 e IPv6

I formati non supportati includono:

• Caratteri jolly interni. Ad esempio: con*oso.com, contos*.com, e contoso.*

Configurare l'elenco di esclusioni proxy

È possibile configurare l'elenco di esclusione quando si modifica o si crea un profilo VPN Microsoft Tunnel per la piattaforma Android Enterprise.

Nella pagina Impostazioni di configurazione dopo aver impostato il tipo di connessione su Microsoft Tunnel:

1. Espandere Proxy e quindi per l'elenco Esclusioni proxy selezionare Gestisci esclusioni proxy.

2. Nel riquadro Elenco esclusioni proxy :

   • Nella casella di testo specificare un singolo URL o indirizzo IP. Ogni volta che si aggiunge una voce, viene fornita una nuova casella di testo per altre voci.
   • Selezionare Importa per aprire il riquadro Importa esclusioni proxy , in cui è possibile importare un elenco in formato file CSV.
   • Selezionare Esporta per esportare l'elenco di esclusioni corrente da questo profilo, in formato file CSV.

3. Selezionare OK per salvare la configurazione dell'elenco di esclusioni proxy e continuare a modificare il profilo VPN.

   

Usare le impostazioni personalizzate per Microsoft Defender per endpoint

Intune supporta Microsoft Defender per endpoint sia come app MTD che come applicazione client Microsoft Tunnel nei dispositivi Android Enterprise. Se si usa Defender per endpoint sia per l'applicazione client Microsoft Tunnel che come app MTD, è possibile usare le impostazioni personalizzate nel profilo VPN per Microsoft Tunnel per semplificare le configurazioni. L'uso di impostazioni personalizzate nel profilo VPN sostituisce la necessità di usare un profilo di configurazione dell'app separato.

Per i dispositivi registrati come profilo di lavoro personale di Android Enterprise che usano Defender per endpoint per entrambi gli scopi, è necessario usare le impostazioni personalizzate invece di un profilo di configurazione dell'app. In questi dispositivi, il profilo di configurazione dell'app per Defender per endpoint è in conflitto con Microsoft Tunnel e può impedire al dispositivo di connettersi a Microsoft Tunnel.

Se usi Microsoft Defender per endpoint per Microsoft Tunnel ma non MTD, continuerai a usare il profilo di configurazione del tunnel dell'app per configurare Microsoft Defender per endpoint come client tunnel.

Aggiungere il supporto della configurazione dell'app per Microsoft Defender per endpoint a un profilo VPN per Microsoft Tunnel

Usare le informazioni seguenti per configurare le impostazioni personalizzate in un profilo VPN per configurare Microsoft Defender per endpoint al posto di un profilo di configurazione dell'app separato. Le impostazioni disponibili variano in base alla piattaforma.

Per i dispositivi Android Enterprise:

Per i dispositivi iOS/iPad:

Configurare la modalità TunnelOnly per la conformità al limite dei dati dell'Unione Europea

Entro la fine dell'anno solare 2022, tutti i dati personali, inclusi i contenuti del cliente (CC), EUII, EUPI e i dati di supporto devono essere archiviati ed elaborati nell'Unione Europea (UE) per i tenant dell'UE.

La funzionalità VPN Microsoft Tunnel in Defender per endpoint è conforme allo standard European Union Data Boundary (EUDB). Tuttavia, anche se i componenti di protezione dalle minacce di Defender per endpoint correlati alla registrazione non sono ancora conformi all'EUDB, Defender per endpoint fa parte dell'addendum sulla protezione dei dati (DPA) ed è conforme al Regolamento generale sulla protezione dei dati (GDPR).

Nel frattempo, i clienti di Microsoft Tunnel con tenant dell'Unione Europea possono abilitare la modalità TunnelOnly nell'app client Defender per endpoint. Per eseguire questa configurazione, eseguire la procedura seguente:

1. Segui i passaggi disponibili in Installare e configurare la soluzione VPN Microsoft Tunnel per Microsoft Intune | Microsoft Learn per creare un criterio di configurazione dell'app che disabilita la funzionalità di Defender per endpoint.

2. Crea una chiave denominata TunnelOnly e imposta il valore su True.

Configurando la modalità TunnelOnly, tutte le funzionalità di Defender per endpoint vengono disabilitate, mentre la funzionalità Tunnel rimane disponibile per l'uso nell'app.

Gli account guest e gli account Microsoft (MSA) che non sono specifici del tenant dell'organizzazione non sono supportati per l'accesso tra tenant tramite VPN Microsoft Tunnel. Ciò significa che questi tipi di account non possono essere usati per accedere alle risorse interne in modo sicuro tramite VPN. È importante tenere presente questa limitazione quando si configura l'accesso sicuro alle risorse interne tramite VPN Microsoft Tunnel.

Per altre informazioni sul limite dei dati dell'UE, vedere Limite dei dati dell'UE per Microsoft Cloud | Domande frequenti sul blog Microsoft su sicurezza e conformità.

Installare il controllo del sistema Linux dopo aver installato il server Tunnel

Il controllo del sistema Linux consente di identificare informazioni rilevanti per la sicurezza o violazioni della sicurezza in un server Linux che ospita Microsoft Tunnel. Il controllo del sistema Linux è consigliato per Microsoft Tunnel, ma non obbligatorio. Per usare il controllo del sistema, un server Linux deve avere il pacchetto opzionale per auditd installato in /etc/audit/auditd.conf.

Se è già stato installato un server Tunnel su Linux e auditd non è presente, utilizzare le informazioni nella procedura seguente per installarlo. Per informazioni sull'installazione di auditd in un server Linux prima di installare Microsoft Tunnel, vedere Installazione manuale di auditd per il controllo del sistema Linux nei prerequisiti di Microsoft Tunnel.

Installazione controllata su un server tunnel

Quando Microsoft Tunnel Server è già installato su un server Linux, è possibile utilizzare lo strumento da riga di comando mst-cli e i seguenti passaggi per installare auditd.

Prima di avviare la procedura di installazione, utilizzare il collegamento seguente per scaricare il file mst.rules da Microsoft: https://aka.ms/TunnelAuditdRules. (Il collegamento scarica un piccolo file di testo denominato mst.rules.)

1. Installare la libreria e i plug-in controllati. Esegui il seguente comando sul server Linux:

   • Ubuntu: sudo apt install auditd audispd-plugins
   • RHEL: sudo dnf install audit audit-libs audispd-plugins(Per impostazione predefinita, RHEL dovrebbe avere già auditd installato.)

2. Copiare le regole di controllo mst.rules del tunnel nel server Linux:

   • Copiare il file mst.rules nel server e quindi eseguire il comando seguente per spostarli nella cartella corretta: sudo cp /path/to/mst.rules /etc/audit/rules.d

3. Per caricare le nuove regole controllate, eseguire il comando seguente: sudo augenrules --load

4. Verificare che le nuove regole vengano applicate. Esegui 'sudo auditctl -l'

I log vengono salvati in /var/log/audit/audit.log. È possibile usare il comando per eseguire ricerche nel sudo ausearch log. Ad esempio, sudo ausearch -f TARGET_DIRECTORY.

Aggiornare Microsoft Tunnel

Intune rilascia periodicamente gli aggiornamenti nel server Microsoft Tunnel. Per rimanere in supporto, i server tunnel devono eseguire la versione più recente o, al massimo, essere indietro di una versione.

Per impostazione predefinita, quando è disponibile un nuovo aggiornamento, Intune avvia automaticamente l'aggiornamento dei server tunnel il prima possibile, in ogni sito del tunnel. Per gestire gli aggiornamenti, puoi configurare le opzioni che gestiscono il processo di aggiornamento:

• È possibile consentire l'aggiornamento automatico dei server in un sito o richiedere l'approvazione dell'amministratore prima dell'inizio degli aggiornamenti.

• È possibile configurare una finestra di manutenzione, che limita l'avvio degli aggiornamenti in un sito.

Per altre informazioni sugli aggiornamenti per Microsoft Tunnel, incluso come visualizzare lo stato del tunnel e configurare le opzioni di aggiornamento, vedere Aggiornare Microsoft Tunnel.

Aggiornare il certificato TLS nel server Linux

È possibile usare lo strumento da riga di comando ./mst-cli per aggiornare il certificato TLS nel server:

PFX:

1. Copia il file del certificato in /etc/mstunnel/private/site.pfx
2. Esegui: mst-cli import_cert
3. Esegui: mst-cli server restart

PEM:

1. Copia il nuovo certificato in /etc/mstunnel/certs/site.crt
2. Copia la chiave privata in /etc/mstunnel/private/site.key
3. Esegui: mst-cli import_cert
4. Esegui: mst-cli server restart

Per altre informazioni su mst-cli, vedere Informazioni di riferimento per Microsoft Tunnel.

Usa un contenitore Podman senza radici

Quando si utilizza Red Hat Linux con i container Podman per ospitare il tunnel Microsoft, è possibile configurare il container come contenitore rootless.

L'uso di un contenitore rootless può aiutare a limitare l'impatto di una fuga del contenitore, con tutti i file dentro e sotto la cartella /etc/mstunnel sul server di proprietà di un account di servizio utente non privilegiato. Il nome account nel server Linux che esegue Tunnel è invariato rispetto a un'installazione standard, ma viene creato senza le autorizzazioni dell'utente root.

Per utilizzare con successo un contenitore Podman rootless, è necessario:

• Configurare gli altri prerequisiti descritti nella sezione seguente.
• Modificare la riga di comando dello script all'avvio dell'installazione di Microsoft Tunnel.

Una volta stabiliti i prerequisiti, è possibile utilizzare la procedura dello script di installazione per scaricare prima lo script di installazione ed eseguire l'installazione utilizzando la riga di comando dello script modificato.

Prerequisiti aggiuntivi per i contenitori Podman senza radici

L'uso di un contenitore Podman rootless richiede che l'ambiente soddisfi i seguenti prerequisiti, che sono in aggiunta ai prerequisiti predefiniti di Microsoft Tunnel:

Piattaforma supportata:

• Il server Linux deve eseguire Red Hat (RHEL) 8.8 o versione successiva.

• Il contenitore deve eseguire Podman 4.6.1 o versioni successive. I contenitori rootless non sono supportati con Docker.

• Il contenitore rootless deve essere installato nella cartella /home .

• La cartella /home deve avere almeno 10 GB di spazio disponibile.

Produttività:

• Il throughput di picco non deve superare i 230 Mbps

Rete:

Le seguenti impostazioni di rete, che non sono disponibili in un namespace rootless, devono essere impostate in /etc/sysctl.conf:

• net.core.somaxconn=8192
• net.netfilter.nf_conntrack_acct=1
• net.netfilter.nf_conntrack_timestamp=1

Inoltre, se si associa il Tunnel Gateway rootless a una porta inferiore a 1024, è necessario aggiungere anche la seguente impostazione in /etc/sysctl.conf e impostarla uguale alla porta utilizzata:

• net.ipv4.ip_unprivileged_port_start

Ad esempio, per specificare la porta 443, utilizzare la voce seguente: net.ipv4.ip_unprivileged_port_start=443

Dopo aver modificato sysctl.conf, è necessario riavviare il server Linux prima che le nuove configurazioni abbiano effetto.

Proxy in uscita per l'utente rootless:

Per supportare un proxy in uscita per l'utente rootless, modificare /etc/profile.d/http_proxy.sh e aggiungere le due righe seguenti. Nelle righe seguenti, 10.10.10.1:3128 è un esempio di indirizzo:voce porta . Quando si aggiungono queste righe, sostituire 10.10.10.1:3128 con i valori dell'indirizzo IP e della porta del proxy:

• export http_proxy=http://10.10.10.1:3128
• export https_proxy=http://10.10.10.1:3128

Riga di comando di installazione modificata per contenitori Podman rootless

Per installare Microsoft Tunnel in un contenitore Podman rootless, utilizzare la riga di comando seguente per iniziare lo script di installazione. Questa riga di comando imposta mst_rootless_mode come variabile di ambiente e sostituisce l'uso della riga di comando di installazione predefinita durante il passaggio 2 della procedura di installazione:

• mst_rootless_mode=1 ./mstunnel-setup

Disinstallare Microsoft Tunnel

Per disinstallare il prodotto, eseguire mst-cli uninstall dal server Linux come root. Verrà inoltre rimosso il server dall'interfaccia di amministrazione di Intune.

Contenuto correlato

Usare l'accesso condizionale con Microsoft TunnelMonitor Microsoft Tunnel