Directorio de apps de Android · VPN y acceso
Estas son las restricciones de app que Palo Alto Networks documenta para GlobalProtect en Android cuando lo administra un MDM de terceros. Permiten a TI dirigir la app al portal correcto, iniciar la sesión de las personas con un certificado, decidir cuándo se conecta la VPN y limitar el túnel a las apps elegidas. El método de conexión que establezca aquí tiene prioridad sobre el del portal.
Nomidcom.paloaltonetworks.globalprotect Configuraciones habituales
Copie una configuración en la configuración administrada de una política y ajuste los valores. Cada una usa solo claves explicadas más abajo.
Dirija la app al portal, autentique con un certificado y conecte sin que la persona tenga que hacer nada.
{
"portal": "vpn.example.com",
"certificate": "MIIC...",
"client_certificate_passphrase": "changeme",
"connect_method": "user-logon"
}Solo las apps indicadas pasan por el túnel. Las apps personales siguen usando la conexión normal. En Android, abrir una app de la lista no inicia GlobalProtect por sí solo.
{
"portal": "vpn.example.com",
"connect_method": "user-logon",
"app_list": "allowlist:com.example.erp;com.example.crm"
}Elimine lo que se envió antes, por ejemplo cuando se reasigna un dispositivo a alguien que usa otro portal.
{
"remove_vpn_config_via_restriction": true
}Configuración administrada
Los nombres de las claves y los tipos de valor proceden de la documentación del proveedor. Las explicaciones las redacta Nomid.
| Clave | Tipo | Qué hace | Ejemplo |
|---|---|---|---|
| Portal e inicio de sesión | |||
portal | Dirección del portal | La dirección IP o el nombre de host del portal de GlobalProtect con el que la app contacta primero. Evita que las personas tengan que escribirlo. | vpn.example.com |
username | Nombre de usuario | Rellena de antemano el nombre de usuario para el inicio de sesión. Con un MDM que admita variables, puede insertar el nombre de usuario de cada persona. | jsmith |
password | Contraseña | Rellena de antemano la contraseña. Evítelo cuando pueda usar un certificado de cliente, porque el valor se almacena en la configuración de su MDM. | |
certificate | Certificado de cliente en Base64 | Un certificado de cliente, codificado en Base64, que la app usa para autenticarse en el portal y en la puerta de enlace. | MIIC... |
client_certificate_passphrase | Frase de contraseña del certificado | La frase de contraseña que protege el certificado de cliente enviado en la clave del certificado. | |
mobile_id | Identificador de dispositivo de su MDM | Un identificador único que su MDM asigna al dispositivo. GlobalProtect lo usa para consultar información sobre el dispositivo. | device-0042 |
| Comportamiento de la conexión | |||
connect_method | Opción: user-logon u on-demand | Con user-logon, la app se conecta por sí sola. Con on-demand, las personas se conectan manualmente. Este valor anula el ajuste del portal. | user-logon |
app_list | allowlist: o blocklist: más nombres de paquete | Activa la VPN por app. Empiece con allowlist: o blocklist: y separe los nombres de paquete con punto y coma. Las apps que no figuran en ninguna de las dos listas no usan el túnel. | allowlist:com.example.erp;com.example.crm |
remove_vpn_config_via_restriction | Activado o desactivado | Elimina de forma permanente la configuración de la VPN de GlobalProtect enviada al dispositivo y devuelve la app a sus ajustes originales. | false |
Desplegar con Nomid
Búsquela en Google Play desde la lista de apps de la política y elija cómo se instala.
En la política, establezca la configuración administrada de la app con las claves y los valores de esta página.
Los dispositivos de la política reciben GlobalProtect y su configuración en la siguiente sincronización.
Preguntas
com.paloaltonetworks.globalprotect. Úselo para localizar la app al añadirla a una política.
Sí. Palo Alto Networks documenta que el connect_method establecido a través del MDM tiene prioridad sobre el definido en la configuración del portal.
Establezca app_list en allowlist: seguido de los nombres de paquete separados por punto y coma. Desde PAN-OS 10.1, las palabras clave son allowlist y blocklist sin espacio.
Prefiera los certificados. Una contraseña en la configuración de un MDM la puede leer cualquiera que pueda ver esa política.
Añada la app a una política de Nomid, establezca su configuración y elija sus permisos.
