Répertoire des applications Android · VPN et accès
Voici les restrictions d’application que Palo Alto Networks documente pour GlobalProtect sur Android lorsqu’il est géré par un MDM tiers. Elles permettent à l’IT d’orienter l’application vers le bon portail, de connecter les utilisateurs avec un certificat, de décider quand le VPN se connecte et de limiter le tunnel à des applications choisies. La méthode de connexion définie ici est prioritaire sur celle du portail.
Nomidcom.paloaltonetworks.globalprotect Configurations courantes
Copiez une configuration dans la configuration gérée d’une stratégie, puis ajustez les valeurs. Chacune n’utilise que des clés expliquées plus bas.
Orientez l’application vers le portail, authentifiez-vous avec un certificat et connectez-vous sans aucune action de la personne.
{
"portal": "vpn.example.com",
"certificate": "MIIC...",
"client_certificate_passphrase": "changeme",
"connect_method": "user-logon"
}Seules les applications listées passent par le tunnel. Les applications personnelles continuent d’utiliser la connexion normale. Sur Android, ouvrir une application listée ne lance pas GlobalProtect de lui-même.
{
"portal": "vpn.example.com",
"connect_method": "user-logon",
"app_list": "allowlist:com.example.erp;com.example.crm"
}Supprimez ce qui a été envoyé auparavant, par exemple lorsqu’un appareil est réattribué à une personne qui relève d’un autre portail.
{
"remove_vpn_config_via_restriction": true
}Configuration gérée
Les noms de clés et les types de valeurs proviennent de la documentation de l’éditeur. Les explications sont rédigées par Nomid.
| Clé | Type | Ce qu’elle fait | Exemple |
|---|---|---|---|
| Portail et connexion | |||
portal | Adresse du portail | L’adresse IP ou le nom d’hôte du portail GlobalProtect que l’application contacte en premier. Cela évite aux utilisateurs de la saisir. | vpn.example.com |
username | Nom d’utilisateur | Préremplit le nom d’utilisateur pour la connexion. Avec un MDM qui prend en charge les variables, vous pouvez insérer le nom d’utilisateur de chaque personne. | jsmith |
password | Mot de passe | Préremplit le mot de passe. Évitez-le quand vous pouvez utiliser un certificat client à la place, car la valeur est stockée dans la configuration de votre MDM. | |
certificate | Certificat client en Base64 | Un certificat client, encodé en Base64, que l’application utilise pour s’authentifier auprès du portail et de la passerelle. | MIIC... |
client_certificate_passphrase | Phrase secrète du certificat | La phrase secrète qui protège le certificat client envoyé dans la clé de certificat. | |
mobile_id | ID d’appareil de votre MDM | Un identifiant unique que votre MDM attribue à l’appareil. GlobalProtect l’utilise pour retrouver des informations sur l’appareil. | device-0042 |
| Comportement de la connexion | |||
connect_method | Choix : user-logon ou on-demand | Avec user-logon, l’application se connecte d’elle-même. Avec on-demand, les utilisateurs se connectent manuellement. Cette valeur remplace le paramètre du portail. | user-logon |
app_list | allowlist: ou blocklist: plus noms de paquets | Active le VPN par application. Commencez par allowlist: ou blocklist: et séparez les noms de paquets par des points-virgules. Les applications absentes des deux listes n’utilisent pas le tunnel. | allowlist:com.example.erp;com.example.crm |
remove_vpn_config_via_restriction | Activé ou désactivé | Supprime définitivement la configuration VPN GlobalProtect envoyée à l’appareil et remet l’application dans ses paramètres d’origine. | false |
Déployer avec Nomid
Trouvez-la sur Google Play depuis la liste d’applications de la stratégie et choisissez son mode d’installation.
Dans la stratégie, définissez la configuration gérée de l’application avec les clés et les valeurs de cette page.
Les appareils de la stratégie reçoivent GlobalProtect et sa configuration lors de leur prochaine synchronisation.
Questions
com.paloaltonetworks.globalprotect. Utilisez-le pour trouver l’application quand vous l’ajoutez à une stratégie.
Oui. Palo Alto Networks documente que le connect_method défini via le MDM est prioritaire sur celui défini dans la configuration du portail.
Définissez app_list sur allowlist: suivi des noms de paquets séparés par des points-virgules. Depuis PAN-OS 10.1, les mots-clés sont allowlist et blocklist sans espace.
Privilégiez les certificats. Un mot de passe dans une configuration MDM est lisible par toute personne qui peut voir cette stratégie.
Ajoutez l’application à une stratégie Nomid, définissez sa configuration et choisissez ses autorisations.
