Настройка VPN на iOS MDM-устройствах

Эти параметры применяются к устройствам в режимах "Расширенный контроль" и "Базовый контроль".

Для подключения iOS MDM-устройства к виртуальной частной сети (VPN) и обеспечения безопасности данных при подключении к сети VPN нужно настроить параметры подключения к сети VPN. Протоколы VPN IKEv2 и IPSec также позволяют настроить соединение Per App VPN.

Чтобы настроить VPN-соединение на iOS MDM-устройстве пользователя:

В главном окне Kaspersky Security Center Web Console выберите Активы (Устройства) → Политики и профили политик. В открывшемся списке политик выберите политику, которую вы хотите настроить.
В окне свойств политики выберите Параметры приложения.
Выберите iOS и перейдите в раздел Конфигурация устройств.
На карточке VPN нажмите Параметры.
Откроется окно VPN.
Включите параметры с помощью переключателя VPN.
Нажмите Добавить.
Откроется окно Добавить конфигурацию VPN.
На вкладке Общие параметры в разделе Сеть настройте следующие параметры:
1. В поле Имя сети введите название VPN-туннеля.
2. В раскрывающемся списке Протокол выберите тип VPN-соединения.
  - L2TP (Layer 2 Tunneling Protocol). Соединение поддерживает аутентификацию пользователя iOS MDM-устройства с помощью паролей MS-CHAP v2, двухфакторную аутентификацию и автоматическую аутентификацию с помощью открытого ключа.
  - IKEv2 (Internet Key Exchange версии 2). Соединение устанавливает между двумя сетевыми объектами атрибут Ассоциация безопасности (SA) и поддерживает аутентификацию с использованием EAP (Extensible Authentication Protocols), общих ключей и сертификатов.
  - IPSec. Соединение поддерживает аутентификацию пользователей с помощью паролей, двухфакторную аутентификацию и автоматическую аутентификацию с помощью открытого ключа и сертификатов.
  - Cisco AnyConnect. Соединение поддерживает межсетевой экран Cisco Adaptive Security Appliance (ASA) версии 8.0(3).1 и выше. Для настройки VPN-соединения нужно установить на iOS MDM-устройство приложение Cisco AnyConnect из App Store.
  - Juniper SSL. Соединение поддерживает шлюз Juniper Networks SSL VPN серии SA версии 6.4 и выше с пакетом Juniper Networks IVE версии 7.0 и выше. Для настройки VPN-соединения нужно установить на iOS MDM-устройство приложение JUNOS из App Store.
  - F5 SSL. Соединение поддерживает решения F5 BIG-IP Edge Gateway, Access Policy Manager и Fire SSL VPN. Для настройки VPN-соединения нужно установить на iOS MDM-устройство приложение F5 BIG-IP Edge Client из App Store.
  - SonicWALL Mobile Connect. Соединение поддерживает устройства SonicWALL Aventail E-Class Secure Remote Access версии 10.5.4 и выше, устройства SonicWALL SRA версии 5.5 и выше, а также устройства SonicWALL Next-Generation Firewall, включая TZ, NSA, E-Class NSA с SonicOS версии 5.8.1.0 и выше. Для настройки VPN-соединения нужно установить на iOS MDM-устройство приложение SonicWALL Mobile Connect из App Store.
  - Aruba VIA. Соединение поддерживает контроллеры мобильного доступа Aruba Networks. Для их настройки нужно установить на iOS MDM-устройство приложение Aruba Networks VIA из App Store.
  - Custom SSL. Соединение поддерживает аутентификацию пользователя iOS MDM-устройства с помощью паролей и сертификатов, а также двухфакторную аутентификацию.
3. В поле Адрес сервера введите сетевое имя или IP-адрес VPN-сервера.
Настройте параметры VPN-соединения в соответствии с выбранным типом виртуальной частной сети.
- L2TP
  - Параметры в разделе Аутентификация:
    - Тип аутентификации
      Двухфакторная аутентификация пользователя iOS MDM-устройства с использованием токена RSA SecurID или аутентификация на основе пароля.
    - Имя учетной записи
      Имя учетной записи для авторизации на VPN-сервере.
    - Пароль
      Пароль учетной записи для аутентификации в виртуальной частной сети.
    - Метод аутентификации
      Метод аутентификации пользователей iOS MDM-устройств в виртуальной частной сети.
    - Общий ключ
      Пароль для предварительно установленного ключа безопасности IPSec для протоколов L2TP и IPSec (Cisco).
    - Сертификат аутентификации
      Сертификат, используемый для аутентификации пользователя.
  - Параметры в разделе Прочее:
    - Отправлять весь трафик через VPN
      Передача через VPN-соединение всего исходящего трафика, даже если используется другая сетевая служба (например, AirPort или Ethernet).
      
      Если флажок установлен, весь исходящий трафик передается через VPN-соединение.
      
      Если флажок снят, исходящий трафик передается без обязательного использования VPN-соединения.
      
      По умолчанию флажок снят.
- IPSec
  - Параметры в разделе Аутентификация:
    - Метод аутентификации
      Метод аутентификации пользователей iOS MDM-устройств в виртуальной частной сети.
    - Имя учетной записи
      Имя учетной записи для авторизации на VPN-сервере.
    - Пароль
      Пароль учетной записи для аутентификации в виртуальной частной сети.
    - Общий ключ
      Пароль для предварительно установленного ключа безопасности IPSec для протоколов L2TP и IPSec (Cisco).
    - Имя группы
      Имя группы iOS MDM-устройств, которые подключаются к VPN-сети по протоколам L2TP и IPSec (Cisco). Если установлен флажок Использовать гибридную аутентификацию, имя группы должно заканчиваться на "[hybrid]" (например, "mycompany [hybrid]").
    - Использовать гибридную аутентификацию
      Использование гибридной аутентификации при подключении пользователя к VPN-сети. Для аутентификации VPN-сервер использует сертификат, а пользователь iOS MDM-устройства вводит открытый ключ для аутентификации по протоколу IPSec (Cisco).
      
      Если флажок установлен, при подключении пользователя к VPN-сети используется гибридная аутентификация.
      
      Если флажок снят, гибридная аутентификация не используется.
      
      По умолчанию флажок снят.
    - Сертификат аутентификации
      Сертификат, используемый для аутентификации пользователя.
  - Параметры в разделе Домены:
    - Включать VPN при подключении указанных доменов
      Домены, для которых будет включено VPN-соединение.
  - Параметры в разделе Прочее:
    - Требовать PIN
      Проверка наличия системного пароля при включении мобильного устройства.
      
      Если флажок установлен, Kaspersky Mobile Devices Protection and Management проверяет на устройстве наличие системного пароля. Если системный пароль на устройстве не задан, пользователю нужно задать его. Пароль должен быть задан с учетом параметров, настроенных администратором.
      
      Если флажок снят, Kaspersky Mobile Devices Protection and Management не требует наличия системного пароля.
      
      По умолчанию флажок снят.
- IKEv2
  - Параметры в разделе Сеть:
    - Интервал обнаружения неработающих узлов (DPD)
      Периодичность, с которой VPN-клиент IKEv2 должен запускать алгоритм обнаружения неработающих узлов (DPD). Доступны следующие значения:
      
      Не выбрано. Не запускать DPD.
      Низкий. Запускать DPD каждые 30 минут.
      Средний. Запускать DPD каждые 10 минут.
      Высокий. Запускать DPD 1 раз в минуту.
      По умолчанию выбран вариант Средний.
  - Параметры в разделе Аутентификация:
    - Метод аутентификации
      Метод аутентификации пользователей iOS MDM-устройств в виртуальной частной сети.
    - Локальный идентификатор
      Идентификатор VPN-клиента IKEv2 (iOS MDM-устройство).
    - Удаленный идентификатор
      Идентификатор VPN-сервера IKEv2.
    - Общий ключ
      Общий ключ, используемый для аутентификации VPN IKEv2.
    - Общее имя (CN) сертификата сервера
      Имя используется для проверки сертификата, отправленного VPN-сервером IKEv2. Если этот параметр не задан, сертификат проверяется с помощью удаленного идентификатора.
    - Общее имя (CN) издателя сертификата сервера
      Если задан этот параметр, IKEv2 отправляет на сервер запрос на сертификат на основе этого поставщика сертификата.
    - Сертификат аутентификации
      Сертификат, используемый для аутентификации пользователя.
    - Аутентификация по EAP
      Тип аутентификации по EAP, используемый для VPN-соединения IKEv2. Доступны следующие значения:
      
      Учетные данные
      Сертификат
      По умолчанию указано значение Учетные данные.
    - Имя учетной записи
      Имя учетной записи для авторизации на VPN-сервере.
    - Пароль
      Пароль учетной записи для аутентификации в виртуальной частной сети.
    - Минимальная версия TLS
      Минимальная версия TLS, используемая для аутентификации по EAP. Доступны следующие значения:
      
      TLS 1.0
      TLS 1.1
      TLS 1.2
      По умолчанию указано значение TLS 1.0.
    - Максимальная версия TLS
      Максимальная версия TLS, используемая для аутентификации по EAP. Доступны следующие значения:
      
      TLS 1.0
      TLS 1.1
      TLS 1.2
      По умолчанию указано значение TLS 1.2.
  - Параметры в разделе Ассоциация безопасности (SA):
    - Параметры SA
      Определяет объект, в котором отправляются параметры. Возможные значения:
      
      IKEv2
      Дочерняя
      По умолчанию указано значение IKEv2.
    - Алгоритм шифрования
      Определяет алгоритм шифрования, используемый для соединения. Возможные значения:
      
      DES
      3DES
      AES-128
      AES-256
      AES-128-GCM
      AES-256-GCM
      ChaCha20Poly1305
      По умолчанию указано значение AES-256.
    - Алгоритм целостности
      Определяет алгоритм целостности, используемый для соединения. Возможные значения:
      
      SHA1-96
      SHA1-160
      SHA2-256
      SHA2-384
      SHA2-512
      По умолчанию указано значение SHA2-256.
    - Группа Диффи-Хеллмана
      Определяет группу Диффи – Хеллмана, используемую при настройке VPN-туннеля.
      
      По умолчанию указано значение 14.
    - Время жизни SA (мин)
      Интервал смены ключа в минутах.
  - Параметры в разделе Прочее:
    - Запретить перенаправление
      Определяет, запрещено ли перенаправление на VPN-сервере IKEv2.
      
      Если флажок установлен, VPN-соединение IKEv2 не перенаправляется.
      
      Если флажок снят, VPN-соединение IKEv2 перенаправляется, когда от сервера получен запрос на перенаправление.
      
      По умолчанию флажок снят.
    - Запретить протокол Mobility and Multi-Homing (MOBIKE)
      Определяет, запрещен ли протокол Mobility and Multi-Homing (MOBIKE) для VPN-соединения IKEv2.
      
      Если флажок установлен, MOBIKE запрещен.
      
      Если флажок снят, MOBIKE разрешен.
      
      По умолчанию флажок снят.
    - Использовать атрибуты конфигурации IPv4 и IPv6
      Определяет, должен ли VPN-клиент IKEv2 использовать атрибуты конфигурации INTERNAL_IP4_SUBNET и INTERNAL_IP6_SUBNET, отправляемые VPN-сервером IKEv2.
      
      Если флажок установлен, атрибуты INTERNAL_IP4_SUBNET и INTERNAL_IP6_SUBNET используются.
      
      Если флажок снят, атрибуты INTERNAL_IP4_SUBNET и INTERNAL_IP6_SUBNET не используются.
      
      По умолчанию флажок снят.
    - Активировать туннель через сотовые данные
      Определяет, включен ли откат.
      
      Если флажок установлен, устройство активирует туннель через сотовые данные, чтобы пропускать трафик, подходящий для функции Помощь Wi-Fi и требующий наличия VPN.
      
      Если флажок снят, откат выключен.
      
      По умолчанию флажок снят.
    - Включить Perfect Forward Secrecy
      Определяет, включено ли свойство Perfect Forward Secrecy (PFS) для VPN-соединения IKEv2.
      
      Если флажок установлен, PFS включено.
      
      Если флажок снят, PFS выключено.
      
      По умолчанию флажок снят.
- Cisco AnyConnect
  - Параметры в разделе Сеть:
    - Время бездействия до прерывания соединения (мин)
      Время ожидания перед отключением соединения по требованию.
  - Параметры в разделе Аутентификация:
    - Метод аутентификации
      Метод аутентификации пользователей iOS MDM-устройств в виртуальной частной сети.
    - Имя учетной записи
      Имя учетной записи для авторизации на VPN-сервере.
    - Пароль
      Пароль учетной записи для аутентификации в виртуальной частной сети.
    - Группа
      Псевдоним группы туннелирования для клиентов Cisco AnyConnect при подключении к VPN-сети.
    - Сертификат аутентификации
      Сертификат, используемый для аутентификации пользователя.
  - Параметры в разделе Домены:
    - Включать VPN при подключении указанных доменов
      Домены, для которых будет включено VPN-соединение.
  - Параметры в разделе Прочее:
    - Отправлять весь трафик через VPN
      Маршрутизирует весь трафик через VPN.
    - Исключить локальный трафик
      Исключает локальный трафик из трафика, маршрутизируемого через VPN-соединение.
      
      Этот флажок доступен, если установлен флажок Отправлять весь трафик через VPN.
- Juniper SSL
  - Параметры в разделе Сеть:
    - Время бездействия до прерывания соединения (мин)
      Время ожидания перед отключением соединения по требованию.
  - Параметры в разделе Аутентификация:
    - Метод аутентификации
      Метод аутентификации пользователей iOS MDM-устройств в виртуальной частной сети.
    - Имя учетной записи
      Имя учетной записи для авторизации на VPN-сервере.
    - Пароль
      Пароль учетной записи для аутентификации в виртуальной частной сети.
    - Область действия
      Имя сети, в состав которой входят VPN-серверы и iOS MDM-устройства для VPN-соединения с помощью Juniper SSL.
    - Роль
      Название роли пользователя, в соответствии с которой пользователь получает доступ к ресурсам с помощью Juniper SSL. Роль может объединять несколько пользователей, выполняющих одинаковые функции.
    - Сертификат аутентификации
      Сертификат, используемый для аутентификации пользователя.
  - Параметры в разделе Домены:
    - Включать VPN при подключении указанных доменов
      Домены, для которых будет включено VPN-соединение.
  - Параметры в разделе Прочее:
    - Отправлять весь трафик через VPN
      Маршрутизирует весь трафик через VPN.
    - Исключить локальный трафик
      Исключает локальный трафик из трафика, маршрутизируемого через VPN-соединение.
      
      Этот флажок доступен, если установлен флажок Отправлять весь трафик через VPN.
- F5 SSL
  - Параметры в разделе Сеть:
    - Время бездействия до прерывания соединения (мин)
      Время ожидания перед отключением соединения по требованию.
  - Параметры в разделе Аутентификация:
    - Метод аутентификации
      Метод аутентификации пользователей iOS MDM-устройств в виртуальной частной сети.
    - Имя учетной записи
      Имя учетной записи для авторизации на VPN-сервере.
    - Пароль
      Пароль учетной записи для аутентификации в виртуальной частной сети.
    - Сертификат аутентификации
      Сертификат, используемый для аутентификации пользователя.
  - Параметры в разделе Домены:
    - Включать VPN при подключении указанных доменов
      Домены, для которых будет включено VPN-соединение.
  - Параметры в разделе Прочее:
    - Отправлять весь трафик через VPN
      Маршрутизирует весь трафик через VPN.
    - Исключить локальный трафик
      Исключает локальный трафик из трафика, маршрутизируемого через VPN-соединение.
      
      Этот флажок доступен, если установлен флажок Отправлять весь трафик через VPN.
- SonicWALL Mobile Connect
  - Параметры в разделе Сеть:
    - Время бездействия до прерывания соединения (мин)
      Время ожидания перед отключением соединения по требованию.
  - Параметры в разделе Аутентификация:
    - Метод аутентификации
      Метод аутентификации пользователей iOS MDM-устройств в виртуальной частной сети.
    - Имя учетной записи
      Имя учетной записи для авторизации на VPN-сервере.
    - Пароль
      Пароль учетной записи для аутентификации в виртуальной частной сети.
    - Домен или группа
      Доменное имя сервера SSL VPN (например, vpn.company.com) или имя группы пользователей SonicWALL Mobile Connect.
    - Сертификат аутентификации
      Сертификат, используемый для аутентификации пользователя.
  - Параметры в разделе Домены:
    - Включать VPN при подключении указанных доменов
      Домены, для которых будет включено VPN-соединение.
  - Параметры в разделе Прочее:
    - Отправлять весь трафик через VPN
      Маршрутизирует весь трафик через VPN.
    - Исключить локальный трафик
      Исключает локальный трафик из трафика, маршрутизируемого через VPN-соединение.
      
      Этот флажок доступен, если установлен флажок Отправлять весь трафик через VPN.
- Aruba VIA
  - Параметры в разделе Сеть:
    - Время бездействия до прерывания соединения (мин)
      Время ожидания перед отключением соединения по требованию.
  - Параметры в разделе Аутентификация:
    - Метод аутентификации
      Метод аутентификации пользователей iOS MDM-устройств в виртуальной частной сети.
    - Имя учетной записи
      Имя учетной записи для авторизации на VPN-сервере.
    - Пароль
      Пароль учетной записи для аутентификации в виртуальной частной сети.
    - Сертификат аутентификации
      Сертификат, используемый для аутентификации пользователя.
  - Параметры в разделе Домены:
    - Включать VPN при подключении указанных доменов
      Домены, для которых будет включено VPN-соединение.
  - Параметры в разделе Прочее:
    - Отправлять весь трафик через VPN
      Маршрутизирует весь трафик через VPN.
    - Исключить локальный трафик
      Исключает локальный трафик из трафика, маршрутизируемого через VPN-соединение.
      
      Этот флажок доступен, если установлен флажок Отправлять весь трафик через VPN.
- Custom SSL
  - Параметры в разделе Сеть:
    - Время бездействия до прерывания соединения (мин)
      Время ожидания перед отключением соединения по требованию.
  - Параметры в разделе Конфигурационные данные:
    - Ключ
      Содержит ключ с дополнительными параметрами соединения Custom SSL.
    - Значение
      Содержит значение с дополнительными параметрами соединения Custom SSL.
  - Параметры в разделе Аутентификация:
    - Метод аутентификации
      Метод аутентификации пользователей iOS MDM-устройств в виртуальной частной сети.
    - Имя учетной записи
      Имя учетной записи для авторизации на VPN-сервере.
    - Пароль
      Пароль учетной записи для аутентификации в виртуальной частной сети.
    - Сертификат аутентификации
      Сертификат, используемый для аутентификации пользователя.
    - Идентификатор пакета (Bundle ID)
      Если настраиваемая конфигурация VPN работает с решением VPN, которое использует поставщика расширений сети, укажите в этом поле идентификатор пакета приложения, содержащего поставщика. Обратитесь к поставщику решения VPN, чтобы узнать значение идентификатора.
  - Параметры в разделе Домены:
    - Включать VPN при подключении указанных доменов
      Домены, для которых будет включено VPN-соединение.
При необходимости на вкладке Дополнительные параметры в разделе Прокси-сервер настройте параметры VPN-соединения через прокси-сервер:
1. Установите флажок Использовать прокси-сервер.
2. Настройте подключение к прокси-серверу:
  1. Если вы хотите, чтобы подключение было настроено автоматически:
    - Выберите Автоматически.
    - В поле Веб-адрес PAC-файла укажите адрес PAC-файла прокси.
    - Чтобы разрешить пользователю подключение мобильного устройства к беспроводной сети без использования прокси-сервера в случае, если PAC-файл недоступен, установите флажок Разрешить прямое соединение, если PAC-файл недоступен.
  2. Если вы хотите настроить подключение вручную:
    - Выберите Вручную.
    - В полях Адрес прокси-сервера и Порт прокси-сервера укажите IP-адрес или DNS-имя прокси-сервера и номер порта.
    - В поле Имя пользователя выберите макрос, который будет использоваться в качестве имени пользователя для подключения к прокси-серверу.
  3. В поле Пароль укажите пароль для подключения к прокси-серверу.
При необходимости для подключений по протоколам IKEv2 и IPSec настройте Per App VPN для поддерживаемых системных приложений (Почта, Календарь, Контакты и Safari).
Нажмите Добавить.
Новая сеть VPN отобразится в списке.

Вы можете изменять или удалять VPN-соединения с помощью кнопок Изменить и Удалить в верхней части списка.
Нажмите Сохранить, чтобы сохранить внесенные изменения.

Параметры на мобильном устройстве будут изменены после очередной синхронизации устройства с Сервером iOS MDM.

В результате после применения политики на iOS MDM-устройстве пользователя будет настроено VPN-соединение.

В начало