Android-App-Verzeichnis · VPN und Zugriff
Dies sind die App-Einschränkungen, die Palo Alto Networks für GlobalProtect unter Android dokumentiert, wenn die App von einem MDM eines Drittanbieters verwaltet wird. Damit kann die IT die App auf das richtige Portal verweisen, Personen per Zertifikat anmelden, festlegen, wann das VPN sich verbindet, und den Tunnel auf ausgewählte Apps beschränken. Die hier festgelegte Verbindungsmethode hat Vorrang vor der im Portal.
Nomidcom.paloaltonetworks.globalprotect Gängige Setups
Kopieren Sie ein Setup in die verwaltete Konfiguration einer Richtlinie und passen Sie dann die Werte an. Jedes Setup verwendet nur Schlüssel, die weiter unten erklärt werden.
Die App auf das Portal verweisen, per Zertifikat authentifizieren und ohne Zutun der Person verbinden.
{
"portal": "vpn.example.com",
"certificate": "MIIC...",
"client_certificate_passphrase": "changeme",
"connect_method": "user-logon"
}Nur die aufgeführten Apps laufen durch den Tunnel. Private Apps nutzen weiterhin die normale Verbindung. Unter Android startet das Öffnen einer aufgeführten App GlobalProtect nicht von selbst.
{
"portal": "vpn.example.com",
"connect_method": "user-logon",
"app_list": "allowlist:com.example.erp;com.example.crm"
}Früher gesendete Einstellungen entfernen, zum Beispiel wenn ein Gerät jemandem mit einem anderen Portal neu zugewiesen wird.
{
"remove_vpn_config_via_restriction": true
}Verwaltete Konfiguration
Schlüsselnamen und Werttypen stammen aus der Dokumentation des Anbieters. Die Erklärungen stammen von Nomid.
| Schlüssel | Typ | Was er bewirkt | Beispiel |
|---|---|---|---|
| Portal und Anmeldung | |||
portal | Portaladresse | Die IP-Adresse oder der Hostname des GlobalProtect-Portals, das die App zuerst kontaktiert. Personen müssen sie so nicht eingeben. | vpn.example.com |
username | Benutzername | Trägt den Benutzernamen für die Anmeldung vorab ein. Mit einem MDM, das Variablen unterstützt, können Sie den eigenen Benutzernamen der Person einfügen. | jsmith |
password | Passwort | Trägt das Passwort vorab ein. Vermeiden Sie das, wenn Sie stattdessen ein Clientzertifikat verwenden können, da der Wert in der Konfiguration Ihres MDM gespeichert wird. | |
certificate | Base64-Clientzertifikat | Ein Base64-codiertes Clientzertifikat, mit dem sich die App am Portal und Gateway authentifiziert. | MIIC... |
client_certificate_passphrase | Zertifikat-Passphrase | Die Passphrase, die das im Zertifikatschlüssel gesendete Clientzertifikat schützt. | |
mobile_id | Geräte-ID aus Ihrem MDM | Eine eindeutige Kennung, die Ihr MDM dem Gerät zuweist. GlobalProtect verwendet sie, um Informationen zum Gerät nachzuschlagen. | device-0042 |
| Verbindungsverhalten | |||
connect_method | Auswahl: user-logon oder on-demand | Bei user-logon verbindet sich die App von selbst. Bei on-demand verbinden sich Personen manuell. Dieser Wert überschreibt die Einstellung des Portals. | user-logon |
app_list | allowlist: oder blocklist: plus Paketnamen | Schaltet Per-App-VPN ein. Beginnen Sie mit allowlist: oder blocklist: und trennen Sie Paketnamen durch Semikolons. Apps, die in keiner der beiden Listen genannt sind, nutzen den Tunnel nicht. | allowlist:com.example.erp;com.example.crm |
remove_vpn_config_via_restriction | Ein oder aus | Entfernt die an das Gerät gesendete GlobalProtect-VPN-Konfiguration dauerhaft und setzt die App auf ihre ursprünglichen Einstellungen zurück. | false |
Mit Nomid bereitstellen
Suchen Sie die App in der App-Liste der Richtlinie über Google Play und wählen Sie, wie sie installiert wird.
Legen Sie in der Richtlinie die verwaltete Konfiguration der App mit den Schlüsseln und Werten von dieser Seite fest.
Geräte in der Richtlinie erhalten GlobalProtect und die Konfiguration bei der nächsten Synchronisierung.
Fragen
com.paloaltonetworks.globalprotect. Damit finden Sie die App, wenn Sie sie einer Richtlinie hinzufügen.
Ja. Palo Alto Networks dokumentiert, dass die über das MDM gesetzte connect_method Vorrang vor der in der Portalkonfiguration definierten hat.
Setzen Sie app_list auf allowlist: gefolgt von Paketnamen, durch Semikolons getrennt. Seit PAN-OS 10.1 lauten die Schlüsselwörter allowlist und blocklist ohne Leerzeichen.
Bevorzugen Sie Zertifikate. Ein Passwort in der Konfiguration eines MDM ist für jeden lesbar, der diese Richtlinie einsehen kann.
Fügen Sie die App einer Nomid-Richtlinie hinzu, legen Sie ihre Konfiguration fest und wählen Sie ihre Berechtigungen.
