Intune 用に Microsoft Tunnel を構成する

Microsoft Tunnel Gateway は、オンプレミスまたはクラウドで実行される Linux サーバー上のコンテナーにインストールされます。 環境やインフラストラクチャによっては、Azure ExpressRoute などの他の構成とソフトウェアが必要になる場合があります。

インストールを開始する前に、次のタスクを完了してください。

• Microsoft Tunnel の前提条件を確認して構成します。
• Microsoft Tunnel 準備ツールを実行して、ご利用の環境でトンネルの使用をサポートする準備ができていることを確認します。

前提条件の準備ができたら、この記事に戻り、トンネルのインストールと構成を開始します。

サーバー構成を作成する

"サーバー構成" を使うと、構成を 1 回作成し、その構成を複数のサーバーで使用することができます。 構成には、IP アドレスの範囲、DNS サーバー、および分割トンネリング規則が含まれます。 後で、サーバー構成をサイトに割り当てます。これにより、そのサイトに参加する各サーバーにそのサーバー構成が自動的に適用されます。

サーバー構成を作成するには

1. Microsoft Intune管理センターにサインインします >テナント管理>Microsoft Tunnel Gateway>[サーバーの構成] タブを選択します>新規作成。

2. [基本] タブで、[名前] と [説明](省略可能) を入力し、[次へ] を選択します。

3. [設定] タブで、次の項目を構成します。

   • [IP アドレスの範囲]: この範囲内の IP アドレスが、Tunnel Gateway に接続するときにデバイスにリースされます。 指定されたトンネル クライアントの IP アドレス範囲は、オンプレミスのネットワーク範囲と競合してはなりません。

     • 169.254.0.0/16 の自動プライベート IP アドレッシング (APIPA) 範囲を使用することを検討してください。この範囲は、他の企業ネットワークとの競合を回避するためです。
     • クライアントの IP アドレス範囲が宛先と競合する場合、ループバック アドレスが使用され、企業ネットワークとの通信は失敗します。
     • 企業ネットワークの IP アドレス範囲と競合しない場合は、使用するクライアント IP アドレス範囲を選択できます。

   • [サーバー ポート]: サーバーで接続をリッスンするポートを入力します。

   • DNS サーバー: これらのサーバーは、DNS 要求が Tunnel ゲートウェイに接続するデバイスから送信される場合に使用されます。

   • DNS サフィックス検索(オプション): このドメインは、クライアントが Tunnel ゲートウェイに接続するときに既定のドメインとしてクライアントに提供されます。

   • UDP 接続を無効にする(オプション): 選択すると、クライアントは TCP 接続を使用してのみ VPN サーバーに接続します。 スタンドアロン トンネル クライアントでは UDP を使用する必要があるため、Microsoft Defender for Endpoint をトンネル クライアント アプリとして使用するようにデバイスを構成した後にのみ、UDP 接続を無効にするチェック ボックスをオンにします。

4. また、 [設定] タブで、オプションの 分割トンネリング規則を構成します。

   アドレスを含めたり除外したりすることができます。 包含されたアドレスは、Tunnel Gateway にルーティングされます。 除外されたアドレスは Tunnel Gateway にルーティングされません。 たとえば、255.255.0.0 または 192.168.0.0/16 の包含規則を構成することができます。

   アドレスを含めるか除外するには、次のオプションを使用します:

   • 含める IP 範囲
   • 除外する IP 範囲

   注:

   含めるアドレスまたは除外するアドレスには、0.0.0.0 を指定する IP 範囲を使用しないでください。 この範囲を使用すると、Tunnel Gateway はトラフィックをルーティングできません。 サーバー構成で企業 DNS が使用されている場合は、それらのアドレスをスプリット トンネリングの包含ルールに追加する必要があります。

5. [確認 + 作成] タブで、構成を確認し、[作成] を選択して保存します。

   注:

   既定では、各 VPN セッションは、切断されるまで 3,600 秒 (1 時間) だけアクティブなままになります (クライアントが Always On VPN を使用するように設定されている場合は、新しいセッションが直ちに確立されます)。

   ただし、 Graph 呼び出し (microsoftTunnelConfiguration) を使用して、他のサーバー構成設定と共にセッション タイムアウト値を変更できます。詳細については、この記事で後述する「 トンネル サーバーの VPN セッション タイムアウトの変更 」を参照してください。

サイトの作成

サイトとは、Microsoft Tunnel をホストするサーバーの論理グループです。 作成する各サイトにサーバー構成を割り当てます。 この構成は、そのサイトに参加する各サーバーに適用されます。

サイト構成を作成するには

1. 管理センター>テナント管理>Microsoft Tunnel Gateway>[サイト] タブ>作成Microsoft Intuneにサインインします。

2. [サイトの作成] ウィンドウで、次のプロパティを指定します。

   • [名前]: このサイトの名前を入力します。

   • 説明: 必要に応じて、サイトのわかりやすい説明を指定できます。

   • パブリック IP アドレスまたは FQDN: トンネルを使用するデバイスの接続ポイントであるパブリック IP アドレスまたは FQDN を指定します。 この IP アドレスまたは FQDN によって、個々のサーバー、または負荷分散サーバーを識別できます。 IP アドレスまたは FQDN はパブリック DNS で解決可能である必要があり、解決された IP アドレスはパブリックにルーティング可能である必要があります。

   • サーバー構成: このサイトに関連付けるサーバー構成を選択するには、ドロップダウンを使用します。

   • [URL for internal network access check]\(内部ネットワークのアクセス チェック用の URL\): 内部ネットワーク上の場所の HTTP または HTTPS URL を指定します。 このサイトに割り当てられている各サーバーは 5 分ごとに URL へのアクセスを試み、内部ネットワークにアクセスできることを確認します。 サーバーにより、このチェックの状態が、サーバーの [正常性チェック] タブで "内部ネットワークのアクセス可能性" として報告されます。

   • [このサイトのサーバーを自動的にアップグレードする]: [はい] の場合、アップグレードが利用可能になると、サーバーは自動的にアップグレードされます。 [いいえ] の場合、アップグレードは手動で行われ、管理者はアップグレードを開始する前に承認する必要があります。

     詳細については、「Microsoft Tunnel のアップグレード」を参照してください。

   • [Limit server upgrades to maintenance window]\(サーバーのアップグレードをメンテナンス期間に制限する\): [はい] の場合、このサイトのサーバーのアップグレードは、指定されている開始時刻から終了時刻までの間にのみ開始できます。 開始時刻と終了時刻の間には、少なくとも 1 時間が必要です。 [いいえ] に設定すると、メンテナンス期間はなく、[Automatically upgrade servers at this site]\(このサイトのサーバーを自動的にアップグレードする\) の構成方法に応じて、可能な限り早くアップグレードが開始されます。

     [はい] に設定したら、次のオプションを構成します。

     • [タイム ゾーン] – 選択したタイム ゾーンによって、個々のサーバーのタイム ゾーンに関係なく、サイト内のすべてのサーバーでのメンテナンス期間の開始と終了が決まります。
     • [開始時刻] – 選択したタイム ゾーンに基づいて、アップグレード サイクルを開始できる最も早い時刻を指定します。
     • [終了時刻] - 選択したタイム ゾーンに基づいて、アップグレード サイクルを開始できる最も遅い時刻を指定します。 この時刻より前に開始されたアップグレード サイクルは引き続き実行され、この時刻より後で完了してもかまいません。

     詳細については、「Microsoft Tunnel のアップグレード」を参照してください。

3. [作成] を選択してサイトを保存します。

Microsoft Tunnel Gateway をインストールする

Linux サーバーに Microsoft Tunnel Gateway をインストールする前に、少なくとも 1 つの サーバー構成でテナントを構成し、サイトを作成します。 後で、そのサーバーにトンネルをインストールするときにサーバーが参加するサイトを指定します。

サーバー構成とサイトがあれば、 次の手順 に従って Microsoft Tunnel Gateway をインストールできます。

ただし、Microsoft Tunnel Gateway をルートレス Podman コンテナーにインストールする場合は、インストールを開始する前に ルートレス Podman コンテナーの使用 を参照してください。 リンクされたセクションでは、追加の前提条件要件と、インストール スクリプトの変更されたコマンド ラインについて詳しく説明します。 追加の前提条件を構成したら、ここに戻って次のインストール手順に進むことができます。

スクリプトを使用して Microsoft Tunnel をインストールする

1. 次のいずれかの方法を使用して、Microsoft Tunnel インストール スクリプトをダウンロードします。

   • Web ブラウザーを使用して、ツールを直接ダウンロードします。 https://aka.ms/microsofttunneldownload にアクセスして、ファイル mstunnel-setup をダウンロードします。

   • Microsoft Intune管理センター>テナント管理>Microsoft Tunnel Gateway にサインインし、[サーバー] タブを選択し、[作成] を選択して [サーバーの作成] ウィンドウを開き、[スクリプトのダウンロード] を選択します。

     

   • Linux コマンドを使用して、トンネル ソフトウェアを直接ダウンロードします。 たとえば、トンネルをインストールするサーバーでは、 wget または curl を使用してリンク https://aka.ms/microsofttunneldownloadを開くことができます。

     たとえば、ダウンロード中に wget を使用して詳細を mstunnel-setup に記録するには、wget --output-document=mstunnel-setup https://aka.ms/microsofttunneldownload を実行します。

2. サーバーのインストールを開始するには、ルートとしてスクリプトを実行します。 たとえば、次のコマンド ラインを使用できます: sudo ./mstunnel-setup。 このスクリプトにより、最新バージョンの Microsoft Tunnel が常にインストールされます。

   重要

   ルートレス Podman コンテナに Tunnel をインストールする場合は、以下の変更されたコマンドラインを使用してスクリプトを起動します。mst_rootless_mode=1 ./mstunnel-setup

   トンネルおよびインストール エージェントの登録プロセス中に詳細なコンソール出力を表示するには:

   1. ./mstunnel-setup スクリプトを実行する前に export mst_log_verbose=1 を実行します。 詳細ログが有効になっていることを確認するには、 export を実行します。

   2. セットアップが完了したら、環境ファイル /etc/mstunnel/env.sh を編集して、新しい行 mst_log_verbose=1 を追加します。 行を追加したら、 mst-cli server restart を実行してサーバーを再起動します。

   重要

   米国政府向けクラウドの場合、コマンド ラインは政府向けクラウド環境を参照する必要があります。 これを行うには、次のコマンドを実行して intune_env=FXP をコマンド ラインに追加します。

   1. sudo ./mstunnel-setup を実行します。
   2. sudo intune_env=FXP ./mstunnel-setup を実行します。

   ヒント

   インストールとスクリプトを停止した場合は、コマンド ラインを再度実行して再起動できます。 インストールは、中断した場所から続行されます。

   スクリプトを開始すると、Intune サービスから Microsoft Tunnel Gateway コンテナー イメージからのコンテナー イメージがダウンロードされ、サーバーに必要なフォルダーとファイルが作成されます。

   セットアップ中に、スクリプトはいくつかの管理タスクを完了するように求めるメッセージを表示します。

3. スクリプトによってメッセージが表示されたら、使用許諾契約書 (EULA) に同意します。

4. 次のファイル内の変数を確認して、ご利用の環境をサポートするように構成します。

   • 環境ファイル: /etc/mstunnel/env.sh。これらの変数の詳細については、Microsoft Tunnel 記事の参照先の「環境変数」を参照してください。

5. プロンプトが表示されたら、トランスポート層セキュリティ (TLS) 証明書ファイルのチェーン全体を Linux サーバーにコピーします。 スクリプトによって、Linux サーバーで使用する正しい場所が表示されます。

   TLS 証明書により、トンネルを使用するデバイスと Tunnel Gateway エンドポイント間の接続がセキュリティで保護されます。 証明書には、SAN にトンネル ゲートウェイ サーバーの IP アドレスまたは FQDN が含まれている必要があります。

   秘密キーは、TLS 証明書の証明書署名要求を作成するコンピューターで引き続き使用できます。 このファイルは、site.key という名前でエクスポートする必要があります。

   TLS 証明書と秘密キーをインストールします。 ファイル形式に合わせて次のガイダンスを使用します。

   • PFX:

     • 証明書ファイル名は、site.pfx である必要があります。 証明書ファイルを /etc/mstunnel/private/site.pfx にコピーします。

   • PEM:

     • 完全なチェーン (ルート、中間、エンドエンティティ) が、site.crt という名前の単一ファイル内に存在する必要があります。 Digicert などのパブリック プロバイダーによって発行された証明書を使用している場合は、完全なチェーンを単一の .pem ファイルとしてダウンロードすることもできます。

     • 証明書ファイル名は、*site.crt である必要があります。 完全なチェーン証明書を /etc/mstunnel/certs/site.crt にコピーします。 例: cp [full path to cert] /etc/mstunnel/certs/site.crt

       または、/etc/mstunnel/certs/site.crt で完全なチェーン証明書へのリンクを作成します。 例: ln -s [full path to cert] /etc/mstunnel/certs/site.crt

     • 秘密キー ファイルを /etc/mstunnel/private/site.key にコピーします。 例: cp [full path to key] /etc/mstunnel/private/site.key

       または、/etc/mstunnel/private/site.key で秘密キー ファイルへのリンクを作成します。 例: ln -s [full path to key file] /etc/mstunnel/private/site.key このキーは、パスワードを使用して暗号化しないでください。 秘密キー ファイル名は、site.key である必要があります。

6. セットアップによって証明書がインストールされ、トンネル ゲートウェイ サービスが作成されると、Intune でサインインして認証するように求められます。 ユーザー アカウントには、Intune 管理者と同等のアクセス許可が割り当てられている必要があります。 認証を完了するために使用するアカウントには、Intune ライセンスが必要です。 このアカウントの資格情報は保存されず、Microsoft Entra ID への初回サインインにのみ使用されます。 認証が成功すると、Azure アプリ ID/秘密鍵が Tunnel ゲートウェイと Microsoft Entra 間の認証に使用されます。

   この認証によって、トンネル ゲートウェイが Microsoft Intune および Intune テナントに登録されます。

   1. Web ブラウザーを開いて、インストール スクリプトによって提供されたデバイス コードをhttps://Microsoft.com/deviceloginして入力し、Intune管理者の資格情報でサインインします。

   2. Microsoft Tunnel Gateway が Intune に登録されると、サイトとサーバーの構成に関する情報が Intune から取得されます。 スクリプトによって、このサーバーが参加するトンネル サイトの GUID を入力するように求められます。 使用可能なサイトの一覧が、スクリプトによって表示されます。

   3. サイトを選択した後、セットアップによってそのサイトのサーバー構成が Intune から取得され、新しいサーバーに適用されて Microsoft Tunnel のインストールが完了します。

7. インストール スクリプトが完了したら、Microsoft Intune 管理センターで [Microsoft Tunnel ゲートウェイ] タブに移動して、トンネルの高レベルの状態を表示できます。 [正常性状態] タブを開いて、サーバーがオンラインであることを確認することもできます。

8. Red Hat Enterprise Linux (RHEL) 8.4 以降を使用している場合は、クライアントを接続する前に、必ず mst-cli server restart を入力して Tunnel Gateway サーバーを再起動してください。

プロキシを使用してイメージの更新をダウンロードするように Podman を構成する

Tunnel Gateway サーバーをインストールした後、プロキシを使用して Podman の更新イメージをダウンロード (プル) するように Podman を構成できます。 この構成は、将来のアップグレードを有効にするために重要です。

1. トンネル サーバーで、コマンド プロンプトを使用して次のコマンドを実行し、Microsoft トンネル サービスの上書きファイルのエディターを開きます。

   systemctl edit --force mstunnel_monitor

2. 次の 3 行をファイルに追加します。 アドレスの各インスタンスをプロキシ DN またはアドレスに置き換え、ファイルを保存します。 たとえば、プロキシの アドレス が 10.10.10.1 であり、ポート 3128 で利用可能な場合、[Service] の後の 1 行目は Environment="http_proxy=http//10.10.10.1:3128" と表示され、次の行は Environment="https_proxy=http//10.10.10.1:3128"

   [Service]
   Environment="http_proxy=address"
   Environment="https_proxy=address"
   

3. 次に、コマンド プロンプトで次を実行します。

   systemctl restart mstunnel_monitor

4. 最後に、コマンド プロンプトで次を実行して、構成が成功したことを確認します。

   systemctl show mstunnel_monitor | grep http_proxy

   構成が成功した場合、結果は次のようになります。

   Environment="http_proxy=address:port"
   Environment="https_proxy=address:port"
   

トンネル サーバーで使用中のプロキシ サーバーを更新する

トンネル サーバーの Linux ホストで使用されているプロキシ サーバー構成を変更するには、次の手順を使用します:

1. トンネル サーバーで、/etc/mstunnel/env.sh を編集し、新しいプロキシ サーバーを指定します。

2. mst-cli install を実行します。

   このコマンドは、新しいプロキシ サーバーの詳細を使用してコンテナーを再構築します。 このプロセスでは、 /etc/mstunnel/env.sh の内容を確認し、証明書がインストールされていることを確認するように求められます。 証明書は、以前のプロキシ サーバー構成から既に存在している必要があります。

   両方を確認して構成を完了するには、「はい」 と入力してください。

信頼されたルート証明書を Tunnel コンテナーに追加する

次の場合は、信頼されたルート証明書をトンネル コンテナーに追加する必要があります。

• 送信サーバー トラフィックには、SSL プロキシ検査が必要です。
• トンネル コンテナーによってアクセスされるエンドポイントは、プロキシ検査から除外されません。

手順:

1. 拡張子が .crt の信頼されたルート証明書を以下にコピーする /etc/mstunnel/ca-trust
2. "mst-cli サーバーの再起動" と "mst-cli エージェントの再起動" を使用してトンネル コンテナーを再起動します

トンネル サーバーの VPN セッション タイムアウトの変更

Microsoft Graph Beta と PowerShell を使用して、トンネル サーバーの VPN セッション タイムアウトを変更できます。 既定では、Tunnel Server VPN セッションは 1 時間持続します。 Windows マシンと PowerShell を使用してセッション タイムアウトを変更することで、セッション タイムアウトを短く設定できます。

既定では、Tunnel Server VPN セッションは 1 時間継続します。 Microsoft Graph Beta と PowerShell を使用して、選択したセッション タイムアウトを短く設定できます (5 分や 10 分など)。

前提条件

Microsoft.Graph.Beta という名前の Microsoft Graph Beta PowerShell モジュールを Windows マシンにインストールします。 この前提条件の詳細については、PowerShell ドキュメントの 「Microsoft Graph PowerShell SDK のインストール 」を参照してください。

VPN セッション タイムアウトを変更する PowerShell コマンド

Graph モジュールをインポートした Windows マシンで、管理者アカウントを使用して次の PowerShell コマンドを実行します。

次の PowerShell コマンドで、 <id>に似ている変数を、二重引用符で囲まれた意図した値に置き換えます。 たとえば、手順 2 の ID が 12345-abcde-67890-fghij と等しい場合、手順 3 のコマンド ラインは次のように表示されます Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId "12345-abcde-67890-fghij" | Format-List

1. 管理者権限を持つアカウントを使用して Graph に接続します。

      Connect-MgGraph -Scopes "DeviceManagementConfiguration.ReadWrite.All"
   

2. トンネル構成を一覧表示し、変更する構成の ID をコピーします。

   Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration
   

3. 構成の詳細を取得します ( AdvancedSettings フィールドが空である必要があります)。

   Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId <id> | Format-List
   

4. 目的の値で新しい設定を作成します。

   $setting = New-Object -TypeName Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphKeyValuePair;  $setting.Name = "session-timeout";  $setting.Value = <integer-in-seconds>
   

5. 構成の AdvancedSettings を更新します。

   Update-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId <id> -AdvancedSettings @($setting)
   

6. AdvancedSettings が更新されていることを確認します。

   Get-MgBetaDeviceManagementMicrosoftTunnelConfiguration -MicrosoftTunnelConfigurationId <id> | Format-List
   

すべてのサーバーは、変更から 5 分以内に新しい構成を受け取る必要があります。 サーバー上の設定を確認するには、 /etc/mstunnel/ocserv.conf で更新された値を調べます。

Microsoft Tunnel クライアント アプリを展開する

Microsoft Tunnel を使用するには、デバイスで、Microsoft Tunnel クライアント アプリにアクセスできる必要があります。 Microsoft Tunnel では、Microsoft Defender for Endpoint が Tunnel クライアント アプリとして使用されます。

• Android: Google Play ストアから Microsoft Defender for Endpoint をダウンロードして、Microsoft Tunnel クライアント アプリとして使用します。 「Android ストア アプリを Microsoft Intune に追加する」を参照してください。

  Microsoft Defender for Endpoint をトンネル クライアント アプリケーションとして、および Mobile Threat Defense (MTD) アプリケーションとして使用する場合は、重要な構成ガイダンスについて Microsoft Defender for Endpoint を MTD 用および Microsoft Tunnel クライアント アプリとして使用する方法に関する記事を参照してください。

• iOS/iPadOS: Apple App Store から Microsoft Defender for Endpoint をダウンロードして、Microsoft Tunnel クライアント アプリとして使用します。 「iOS ストア アプリを Microsoft Intune に追加する」を参照してください。

Intune を使用したアプリの展開の詳細については、「Microsoft Intune にアプリを追加する」を参照してください。

VPN プロファイルの作成

Microsoft トンネルがインストールされ、デバイスに Microsoft Defender for Endpoint がインストールされたら、VPN プロファイルを展開して、デバイスにトンネルを使用するよう指示できます。 これを行うには、 Microsoft トンネルの接続の種類を使用して VPN プロファイルを作成します。

• Android: Android プラットフォームは、アプリごとの VPN とスプリット トンネリング ルールを介したトラフィックのルーティングを個別に、または同時にサポートします。

• iOS/iPadOS iOS プラットフォームでは、アプリごとの VPN または分割トンネリング規則によるトラフィックのルーティングがサポートされていますが、両方を同時に行うことはできません。 iOS でアプリごとの VPN を有効にすると、分割トンネリング規則は無視されます。

Android

1. Microsoft Intune管理センター>デバイス>デバイスの管理>構成> にサインインし、[ポリシー] タブの [作成] を選択します。

2. [プラットフォーム] に、[Android エンタープライズ] を選択します。 "プロファイル" には [企業所有の仕事用プロファイル] または [個人所有の仕事用プロファイル] のいずれかに [VPN] を選択して、[作成] を選択します。

   注:

   Microsoft Tunnel では、 Android Enterprise 専用 デバイスはサポートされていません。

3. [基本] タブで、[名前] と [説明](省略可能) を入力し、[次へ] を選択します。

4. "接続の種類" に [Microsoft Tunnel] を選択して、次の詳細を構成します。

   • [基本 VPN]:

     • [ 接続名] で、ユーザーに表示する名前を指定します。
     • Microsoft トンネル サイトの場合は、この VPN プロファイルで使用するトンネル サイトを選択します。

   • アプリごとの VPN:

     • アプリごとの VPN プロファイルで割り当てられているアプリにより、アプリのトラフィックがトンネルに送信されます。
     • Android では、アプリを起動しても、アプリごとの VPN は起動しません。 ただし、VPN で 常時オン VPN が 有効に設定されている場合、VPN は既に接続されており、アプリ トラフィックはアクティブな VPN を使用します。 VPN が [常時接続] に設定されていない場合、ユーザーは VPN を使用する前に手動で開始する必要があります。
     • Defender for Endpoint アプリを使用してトンネルに接続し、Web 保護を有効にして、アプリごとの VPN を使用している場合、Web 保護はアプリごとの VPN 一覧にあるアプリにのみ適用されます。 作業プロファイルを持つデバイスでは、このシナリオでは、作業プロファイル内のすべての Web ブラウザーをアプリごとの VPN リストに追加して、すべての作業プロファイル Web トラフィックが保護されるのを確認することをお勧めします。
     • アプリごとの VPN を有効にするには、[追加] を選択し、Intune にインポートされたカスタム アプリまたはパブリック アプリを参照します。

   • [常時接続 VPN]:

     • "常時接続 VPN" には、[有効化] を選択して、VPN に自動的に接続および再接続するように VPN クライアントを設定します。 常時接続 VPN 接続は接続されたままです。 [アプリごとの VPN] が [有効化]に設定されている場合、選択したアプリからのトラフィックのみがトンネルを通過します。

   • ストリクト トンネル モード(Android のみ):

     • この設定は、接続の種類が Microsoft トンネルで、 Always-on VPN が Enable に設定されている場合に使用できます。 有効にすると、すべてのネットワーク トラフィックが強制的に VPN トンネルを通過します。 VPN 接続が利用できないか切断された場合は、VPN が再接続されるまでデバイス上のすべてのネットワーク トラフィックがブロックされ、アプリがトンネル外のパブリック インターネットにアクセスできなくなります。
     • アプリの除外リスト :ストリクトトンネルモードが有効になっている場合、VPNトンネルをバイパスするアプリを指定できます。 除外リストのアプリは、VPN 接続の状態に関係なく、ネットワークに直接接続します。 VPN が利用できない場合、一覧にないアプリはブロックされます。
     • 厳密なトンネル モードでは、 Android Management API (AM API) を使用して登録されたデバイスが必要です。 従来の EMM API 作業プロファイルを使用して登録されたデバイスは、AM API に移行するまでストリクト トンネル モードをサポートしません。

     次のプラットフォームでは、ストリクト トンネル モードがサポートされています。

     • Android Enterprise 企業所有のフル マネージド
     • Android Enterprise の会社所有の仕事用プロファイル
     • Android Enterprise の個人所有の仕事用プロファイル

   • プロキシ:

     • 環境に合わせてプロキシ サーバーの詳細を構成します。

       注:

       プロキシ サーバーの構成は、バージョン 10 より前のバージョンの Android ではサポートされていません。 詳細については、Android 開発者向けドキュメントの VpnService.Builder を参照してください。

   詳細については、VPN を構成するための Android エンタープライズ デバイスの設定に関するページをご覧ください。

   重要

   Microsoft Defender for Endpoint を Microsoft Tunnel クライアント アプリケーションおよび MTD アプリとして使用する Android Enterprise デバイスの場合、カスタム設定を使用して Microsoft Defender for Endpoint を構成する必要があります。アプリ構成プロファイルを別途使用する必要はありません。 Web 保護を含む Defender for Endpoint 機能を使用する予定がない場合は、VPN プロファイルでカスタム設定を使用し、defendertoggle 設定を 0 に設定します。

5. [割り当て] タブで、このプロファイルを受け取るグループを構成します。

6. [確認 + 作成] タブで、構成を確認し、[作成] を選択して保存します。

iOS

1. 管理センター>デバイス>管理>構成>Create Microsoft Intuneにサインインします。

2. "プラットフォーム" には [iOS/iPadOS] を選択し、"プロファイル" には、[VPN] を選択して、[作成] を選択します。

3. [基本] タブで、[名前] と [説明](省略可能) を入力し、[次へ] を選択します。

4. [ 接続の種類] で [Microsoft トンネル ] を選択し、次の項目を構成します。

   • [基本 VPN]:

     • [ 接続名] で、ユーザーに表示する名前を指定します。
     • Microsoft トンネル サイトの場合は、[サイトの選択] をクリックしてから、この VPN プロファイルで使用するトンネル サイトを選択します。

     注:

     iOS デバイスで Microsoft Tunnel VPN 接続と Defender Web Protection の両方を組み合わせモードで使用する場合、「オンデマンド」ルールを構成して「スリープ時に切断」設定を効果的にアクティブにすることが重要です。 これを行わないと、VPN がオンになっているときに iOS デバイスがスリープ モードになったときに、トンネル VPN と Defender VPN の両方が切断されます。

     ただし、単一 Sign-On (SSO) アプリケーションがアクセス トークンを取得する方法とトンネル VPN オンデマンド ルールのしくみの間で競合があるため、「スリープ時の Deisconnect」も使用している場合にすべてのドメインに接続するためのオンデマンド ルールの設定は、SSO を使用する場合はサポートされていません。

     一般に、アプリごとの VPN のオンデマンド ルールを構成することをお勧めします。これにより、アプリが必要に応じて VPN 接続を開始できるようになり、[スリープ時に切断] 設定が意図したとおりに機能するようになります。

   • アプリごとの VPN: アプリごとの VPN を有効にするには、[ 有効にする] を選択します。 iOS のアプリごとの VPN には、追加の構成手順が必要です。 アプリごとの VPN が構成されている場合、iOS は分割トンネル ルールを無視します。

     詳細については、iOS/iPadOS に対するアプリごとの VPN の設定に関するページを参照してください。

   • オンデマンド VPN ルール: 特定の FQDN または IP アドレスの条件が満たされた場合に VPN の使用を許可するオンデマンド ルールを定義します。

     詳細については、「 自動 VPN 設定」を参照してください。

   • プロキシ: 環境のプロキシ サーバーの詳細を構成します。

Android Enterprise でプロキシ除外リストを使用する

環境で単一のダイレクト プロキシ サーバーを使用する場合は、Android Enterprise 用の Microsoft Tunnel VPN プロファイルでプロキシ除外リストを使用できます。 プロキシ除外リストは、Microsoft Tunnel および MAM 用 Microsoft Tunnel でサポートされています。

VPN プロファイルのプロキシ除外リストでは、プロファイルを受信して使用するデバイスの直接プロキシ構成から除外する特定のドメインのエントリがサポートされています。

除外リスト エントリでサポートされている形式は、次のとおりです。

• サブドメインが完全に一致する完全な URL。 たとえば、sub.contoso.com のように指定します。
• URL の先頭ワイルドカード。 たとえば、完全な URL の例を使用すると、先頭のサブドメイン名 (sub) をアスタリスクに置き換えて、contso.com のすべてのサブドメインを含むようにサポートを拡張できます。 *.contoso.com
• IPv4 アドレスと IPv6 アドレス

サポートされていない形式は次のとおりです。

• 内部ワイルドカード。 例: con*oso.com、 contos*.com、 contoso.*

プロキシ除外リストを構成する

Android Enterprise プラットフォーム用の Microsoft Tunnel VPN プロファイル を編集または作成するときに、除外リストを構成できます。

[構成設定] ページで、[接続の種類] を [Microsoft トンネル] に設定した後:

1. [ プロキシ] を展開し、[ プロキシの除外リスト] で、[ プロキシの除外の管理] を選択します。

2. [ プロキシ除外リスト ] ウィンドウで、次の操作を行います。

   • テキスト入力ボックスに、単一の URL または IP アドレスを指定します。 エントリを追加するたびに、新しいテキスト入力ボックスが提供され、エントリが追加されます。
   • [インポート] を選択して [プロキシの除外のインポート] ウィンドウを開きます。ここで、CSV ファイル形式のリストをインポートできます。
   • [ エクスポート] を選択して、このプロファイルから現在の除外リストを CSV ファイル形式でエクスポートします。

3. [ OK ] を選択してプロキシ除外リストの構成を保存し、VPN プロファイルの編集を続行します。

   

Microsoft Defender for Endpoint 用のカスタム設定を使用する

Intune では、Android Enterprise デバイス上で、MTD アプリおよび Microsoft Tunnel クライアント アプリケーションの両方として Microsoft Defender for Endpoint がサポートされています。 Defender for Endpoint を Microsoft Tunnel クライアント アプリケーションと MTD アプリの両方として使用する場合は、Microsoft Tunnel の VPN プロファイルでカスタム設定を使用して、構成を簡略化できます。 VPN プロファイルでカスタム設定を使用すると、個別のアプリ構成プロファイルを使用する必要がなくなります。

Android Enterprise の個人所有の仕事用プロファイルとして登録されており、両方の目的で Defender for Endpoint を使用しているデバイスの場合、アプリ構成プロファイルの代わりにカスタム設定を使用する必要があります。 これらのデバイスでは、Defender for Endpoint 用のアプリ構成プロファイルは Microsoft Tunnel と競合するため、デバイスは Microsoft Tunnel に接続できなくなる可能性があります。

MTD ではなく Microsoft Defender for Endpoint for Microsoft Tunnel を使用する場合は、引き続きアプリ トンネル構成プロファイルを使用して Microsoft Defender for Endpoint をトンネル クライアントとして構成します。

Microsoft Defender for Endpoint 用のアプリ構成サポートを Microsoft Tunnel の VPN プロファイルに追加する

個別のアプリ構成プロファイルの代わりに、次の情報を使用して VPN プロファイルでカスタム設定を構成し、Microsoft Defender for Endpoint を構成します。 使用可能な設定はプラットフォームによって異なります。

Android Enterprise デバイス向け::

iOS/iPad デバイス向け:

欧州連合のデータ境界に準拠するように TunnelOnly モードを構成する

2022 年の末までに、お客様コンテンツ (CC)、EUII、EUPI、サポート データを含むすべての個人データは、EU テナントの欧州連合 (EU) で保存および処理する必要があります。

Defender for Endpoint の Microsoft Tunnel VPN 機能は、欧州連合のデータ境界 (EUDB) に準拠しています。 ただし、ログ記録に関連する Defender for Endpoint 脅威保護コンポーネントはまだ EUDB に準拠していませんが、Defender for Endpoint は データ保護補遺 (DPA) の一部であり、一般データ保護規則 (GDPR) に準拠しています。

それまでの間、EU テナントを持つ Microsoft Tunnel のお客様は、Defender for Endpoint クライアント アプリで TunnelOnly モードを有効にすることができます。 これを構成するには、次の手順を使用します。

1. 「Microsoft Intune 用 Microsoft Tunnel VPN ソリューションのインストールと構成 |Microsoft Learn は、Defender for Endpoint 機能を無効にするアプリ構成ポリシーを作成します。

2. TunnelOnly というキーを作成し、値を True に設定します。

TunnelOnly モードを構成すると、Tunnel 機能は引き続きアプリで使用できますが、Defender for Endpoint のすべての機能が無効になります。

organization のテナントに固有ではないゲスト アカウントと Microsoft アカウント (MSA) は、Microsoft Tunnel VPN を使用したテナント間アクセスではサポートされていません。 つまり、これらの種類のアカウントを使用して、VPN 経由で内部リソースに安全にアクセスすることはできません。 Microsoft Tunnel VPN を使用して内部リソースへのセキュリティで保護されたアクセスを設定する場合は、この制限事項に留意することが重要です。

EU データ境界の詳細については、「 Microsoft Cloud 向け EU データ境界 | Microsoft セキュリティとコンプライアンスのブログでよく寄せられる質問。

Tunnel サーバーのインストール後に Linux システム監査をインストールする

Linux システム監査は、Microsoft Tunnel をホストする Linux サーバー上のセキュリティ関連情報またはセキュリティ違反を特定するのに役立ちます。 Microsoft Tunnel には Linux システム監査が推奨されますが、必須ではありません。 システム監査を使用するには、Linux サーバーに auditd 用のオプション パッケージがインストールされている必要があります /etc/audit/auditd.conf。

すでに Linux に Tunnel Server をインストールしていて、auditd が見つからない場合は、次の手順の情報を使用してインストールします。 Microsoft Tunnel をインストールする前に Linux サーバーに auditd をインストールする方法については、「Microsoft Tunnel の前提条件で auditd for Linux システム監査を手動でインストールする」を参照してください。

Tunnel サーバーに auditd をインストールします

Microsoft Tunnel サーバーが Linux サーバーに既にインストールされている場合は、mst-cli コマンド ライン ツールと次の手順を使用して auditd をインストールできます。

インストール手順を開始する前に、次のリンクを使用して Microsoft から mst.rules ファイルをダウンロードしてください: https://aka.ms/TunnelAuditdRules。 (このリンクでは、mst.rules という名前の小さなテキスト ファイルがダウンロードされます)。

1. auditd ライブラリとプラグインをインストールします。 Linux サーバーで次のコマンドを実行します。

   • Ubuntu: sudo apt install auditd audispd-plugins
   • RHEL: sudo dnf install audit audit-libs audispd-plugins(既定では、RHEL には auditd が既にインストールされている必要があります。)

2. トンネルの mst.rules auditd ルールを Linux サーバーにコピーします。

   • mst.rules ファイルをサーバーにコピーし、次のコマンドを実行して正しいフォルダーに移動します。 sudo cp /path/to/mst.rules /etc/audit/rules.d

3. 新しい監査規則を読み込むには、次のコマンドを実行します。 sudo augenrules --load

4. 新しいルールが適用されていることを確認します。 'sudo auditctl -l' を実行します

ログは /var/log/audit/audit.log に保存されます。 sudo ausearch コマンドを使用して、そのログを検索できます。 たとえば、「 sudo ausearch -f TARGET_DIRECTORY 」のように入力します。

Microsoft Tunnel のアップグレード

Intune により、Microsoft Tunnel サーバーに更新プログラムが定期的にリリースされます。 サポートを維持するには、最新のリリースまたは最大でも 1 つ前のバージョンが、Tunnel サーバーで実行されている必要があります。

既定では、新しいアップグレードが利用可能になると、Intune によって、各トンネル サイトで、可能な限り早く Tunnel サーバーのアップグレードが自動的に開始されます。 アップグレードの管理を支援するために、アップグレード プロセスを管理するオプションを構成できます。

• サイトでのサーバーの自動アップグレードを許可したり、アップグレードを開始する前に管理者の承認を要求したりできます。

• サイトでアップグレードを開始できる時間帯を制限するメンテナンス期間を構成できます。

トンネルの状態の表示方法やアップグレード オプションの構成方法など、Microsoft Tunnel のアップグレードの詳細については、「 Microsoft Tunnel のアップグレード」を参照してください。

Linux サーバー上の TLS 証明書を更新する

./mst-cli コマンドライン ツールを使用して、サーバー上の TLS 証明書を更新できます。

PFX:

1. 証明書ファイルを /etc/mstunnel/private/site.pfx にコピーします
2. 次を実行します: mst-cli import_cert
3. 次を実行します: mst-cli server restart

PEM:

1. 新しい証明書を /etc/mstunnel/certs/site.crt にコピーします
2. 秘密キーを /etc/mstunnel/private/site.key にコピーします
3. 次を実行します: mst-cli import_cert
4. 次を実行します: mst-cli server restart

mst-cli の詳細については、Microsoft Tunnel のリファレンスを参照してください。

ルートレス Podman コンテナーを使用する

Red Hat Linux と Podman コンテナーを使用して Microsoft Tunnel をホストする場合、コンテナーをルートレスコンテナーとして設定できます。

ルートレス コンテナーを使用すると、サーバー上の /etc/mstunnel フォルダー内およびその下のすべてのファイルが非特権ユーザー サービス アカウントによって所有されているため、コンテナー エスケープによる影響を制限するのに役立ちます。 Tunnel を実行する Linux サーバーのアカウント名は標準インストールから変更されていませんが、root ユーザーのアクセス許可なしで作成されます。

ルートレス Podman コンテナーを正常に使用するには、次の手順を実行する必要があります。

• 次のセクションで説明する追加の前提条件を構成します。
• Microsoft Tunnel のインストールを開始するときにスクリプトのコマンド ラインを変更します。

前提条件を整えていれば、 インストール スクリプトの手順 を使用して、まずインストール スクリプトをダウンロードし、次に変更されたスクリプトのコマンド ラインを使用してインストールを実行できます。

ルートレス Podman コンテナーの追加前提条件

ルートレス Podman コンテナーを使用するには、環境がデフォルトの Microsoft Tunnel の前提条件に加えて、次の前提条件を満たしている必要があります。

サポートされているプラットフォーム:

• Linux サーバーでは、Red Hat (RHEL) 8.8 以降を実行する必要があります。

• コンテナーは Podman 4.6.1 以降を実行する必要があります。 ルートレス コンテナーは、Docker ではサポートされていません。

• ルートレス コンテナーは、 /home フォルダーの下にインストールする必要があります。

• /home フォルダーには、少なくとも 10 GB の空き領域が必要です。

スループット:

• 最大スループットが 230 Mbps を超えてはなりません

ネットワーク:

ルートレス名前空間では使用できない次のネットワーク設定は、 /etc/sysctl.conf で設定する必要があります。

• net.core.somaxconn=8192
• net.netfilter.nf_conntrack_acct=1
• net.netfilter.nf_conntrack_timestamp=1

また、ルートレス Tunnel ゲートウェイを 1024 より小さいポートにバインドする場合は、 /etc/sysctl.conf に次の設定を追加し、使用するポートと同じに設定する必要があります。

• net.ipv4.ip_unprivileged_port_start

たとえば、ポート 443 を指定するには、次のエントリを使用します。 net.ipv4.ip_unprivileged_port_start=443

sysctl.conf を編集した後、新しい構成を有効にする前に Linux サーバーを再起動する必要があります。

ルートレス ユーザーの送信プロキシ:

ルートレスユーザーのアウトバウンドプロキシをサポートするには、 /etc/profile.d/http_proxy.sh を編集し、次の 2 行を追加します。 次の行では、 10.10.10.1:3128 は address:port エントリの例です。 次の行を追加する場合は、 10.10.10.1:3128 をプロキシの IP アドレスとポートの値に置き換えます。

• export http_proxy=http://10.10.10.1:3128
• export https_proxy=http://10.10.10.1:3128

ルートレス Podman コンテナーのインストール コマンドラインの変更

ルートレス Podman コンテナーに Microsoft Tunnel をインストールするには、次のコマンド ラインを使用してインストール スクリプトを開始します。 このコマンド ラインは、mst_rootless_modeを環境変数として設定し、インストール手順の手順 2 での既定のインストール コマンド ラインの使用を置き換えます。

• mst_rootless_mode=1 ./mstunnel-setup

Microsoft Tunnel のアンインストール

製品をアンインストールするには、Linux サーバーから root として mst-cli アンインストールを実行します。 これにより、サーバーが Intune 管理センターからも削除されます。

関連コンテンツ

Microsoft Tunnel モニターで条件付きアクセスを使用するMicrosoft トンネル