VPN e acesso condicional

Agora o cliente VPN é capaz de integrar-se com a Plataforma de Acesso Condicional com base na nuvem para fornecer uma opção de conformidade do dispositivo para clientes remotos. O Acesso Condicional é um mecanismo de avaliação baseado em política que permite criar regras de acesso para qualquer aplicativo conectado ao Microsoft Entra.

Observação

O acesso condicional é um recurso P1 ou P2 do Microsoft Entra ID.

Os componentes da Plataforma de Acesso Condicional usados para fins de conformidade do dispositivo incluem os seguintes serviços baseados na nuvem:

  • Estrutura de Acesso Condicional
  • Microsoft Entra Connect Health
  • Serviço de Atestado de Integridade do Windows 10 (opcional)
  • Autoridade de Certificação do Microsoft Entra – é um requisito que o certificado do cliente usado para a solução de conformidade de dispositivo baseado em nuvem seja emitido por uma AC (Autoridade de Certificação) baseada no Microsoft Entra ID. Uma AC do Microsoft Entra é essencialmente um locatário de nuvem de mini-CA no Azure. A AC do Microsoft Entra não pode ser configurada como parte de uma AC corporativa local. Consulte também Implantação de VPN Always On para o Windows Server e o Windows 10.
  • Certificados de curta duração emitidos pelo Microsoft Entra ID - Quando uma tentativa de conexão VPN é feita, o Agente de Token do Microsoft Entra no dispositivo local se comunica com o Microsoft Entra ID, que verifica a integridade com base nas regras de conformidade. Se estiver em conformidade, o Microsoft Entra ID enviará de volta um certificado de curta duração que é usado para autenticar a VPN. Métodos de autenticação de certificado, como EAP-TLS, podem ser usados. Quando o cliente se reconectar e determinar que o certificado expirou, ele fará uma nova marca de integridade com o Microsoft Entra ID para validação de integridade antes que um novo certificado seja emitido.
  • Políticas de conformidade do dispositivo Microsoft Intune: a conformidade de dispositivo baseada em nuvem usa Políticas de Conformidade do Microsoft Intune, que são capazes de consultar o estado do dispositivo e definir regras de conformidade para o seguinte, entre outras coisas.
    • Status do antivírus
    • Status da atualização automática e conformidade da atualização
    • Conformidade da política de senha
    • Conformidade da criptografia
    • Estado do atestado de integridade do dispositivo (validado pelo serviço de atestado após consulta)

Os seguintes componentes do cliente também são necessários:

Conformidade do dispositivo da VPN

No momento, os certificados do Microsoft Entra emitidos para os usuários não contêm um CDP (Ponto de Distribuição de CRL) e não são adequados para KDCs (Centros de Distribuição de Chaves) para emitir tokens Kerberos. Para que os usuários obtenham acesso a recursos locais, como arquivos em um compartilhamento de rede, os certificados de autenticação do cliente devem ser implantados nos perfis Windows dos usuários e seus perfis VPNv2 devem conter a <SSO> seção.

Os requisitos de infraestrutura do servidor para dar suporte à conformidade do dispositivo da VPN incluem:

  • O servidor VPN deve ser configurado para autenticação de certificado.
  • O servidor VPN deve confiar na CA do Microsoft Entra específica do locatário.
  • Para acesso do cliente usando Kerberos/NTLM, um certificado confiável de domínio é implantado no dispositivo cliente e é configurado para ser usado para logon único (SSO).

Depois de configurar o servidor, os administradores da VPN podem adicionar as configurações de política de acesso condicional ao perfil de VPN usando o nó DeviceCompliance do VPNv2.

Dois provedores de serviço de configuração de cliente são usados para conformidade do dispositivo da VPN.

  • CSP VPNv2 Configurações de DeviceCompliance:
    • Enabled: habilita o fluxo de Conformidade do Dispositivo no cliente. Se marcado como verdadeiro, o cliente VPN tenta se comunicar com o Microsoft Entra ID para obter um certificado a ser usado para autenticação. A VPN deve ser configurada para usar a autenticação de certificado e o servidor VPN deve confiar no servidor retornado pelo Microsoft Entra ID.
    • SSO: as entradas em SSO devem ser usadas para direcionar o cliente VPN a usar um certificado diferente do certificado de autenticação VPN ao acessar recursos que exigem autenticação Kerberos.
    • SSO/Habilitado: se esse campo for definido como true, o cliente VPN procurará um certificado separado para autenticação Kerberos.
    • Sso/IssuerHash: hashes para o cliente VPN procura o certificado correto para a autenticação Kerberos.
    • Sso/Eku: lista separada por vírgulas de extensões EKU (uso estendido de chave) para o cliente VPN procurar o certificado correto para autenticação Kerberos.
  • CSP HealthAttestation (não é um requisito) – as funções executadas pelo CSP HealthAttestation incluem:
    • Coleta dados do TPM usados para verificar os estados de integridade
    • Encaminha os dados para o Serviço de Atestado de Integridade (HAS)
    • Provisiona o Certificado de Atestado de Integridade recebido do HAS
    • Mediante solicitação, encaminhe o Certificado de Atestado de Integridade (recebido do HAS) e as informações de tempo de execução relacionadas ao servidor MDM para verificação

Observação

É necessário que os certificados usados para obter tíquetes Kerberos sejam emitidos de uma autoridade de certificação local e que o SSO seja habilitado no perfil VPN do usuário. Isso permite que o usuário acesse recursos locais. No caso de dispositivos ingressados no Microsoft Entra (não dispositivos ingressados híbridos), se o certificado de usuário emitido pela AC local tiver o UPN do usuário do Microsoft Entra no Assunto e SAN (Nome Alternativo do Assunto), o perfil VPN deverá ser modificado para garantir que o cliente não armazene em cache as credenciais usadas para autenticação VPN. Para fazer isso, depois de implantar o perfil VPN no cliente, modifique o Rasphone.pbk no cliente alterando a entrada UseRasCredentials de 1 (padrão) para 0 (zero).

Fluxo de conexão do cliente

O fluxo de conexão do lado do cliente VPN funciona da seguinte maneira:

Fluxo de trabalho de conformidade do dispositivo quando o cliente VPN tenta se conectar.

Quando um perfil VPNv2 é configurado com <DeviceCompliance<>habilitado>: verdadeiro</habilitado>, o cliente VPN usa este fluxo de conexão:

  1. O cliente VPN chama Windows 10 ou Windows 11 Microsoft Entra Agente de Tokens, identificando-se como um cliente VPN.
  2. O Agente de Token do Microsoft Entra se autentica no Microsoft Entra ID e fornece informações sobre o dispositivo que está tentando se conectar. O Microsoft Entra Server verifica se o dispositivo está em conformidade com as políticas.
  3. Se estiver em conformidade, o Microsoft Entra ID solicitará um certificado de curta duração.
  4. O Microsoft Entra ID envia um certificado de curta duração para o Repositório de Certificados por meio do Agente de Tokens. Em seguida, o Agente de Token devolve o controle ao cliente VPN para processamento adicional da conexão.
  5. O cliente VPN usa o certificado emitido pelo Microsoft Entra ID para se autenticar com o servidor VPN.

Configurar o acesso condicional

Consulte Opções de perfil de VPN e CSP VPNv2 para saber a configuração XML.

Saiba mais sobre o Acesso Condicional e o Microsoft Entra Health

  • Last updated on