Katalog aplikacji na Androida · VPN i dostęp
Oto ograniczenia aplikacji, które Palo Alto Networks dokumentuje dla GlobalProtect na Androidzie, gdy zarządza nim zewnętrzny MDM. Pozwalają działowi IT wskazać aplikacji właściwy portal, logować użytkowników certyfikatem, określić, kiedy łączy się VPN, i ograniczyć tunel do wybranych aplikacji. Ustawiona tutaj metoda połączenia ma pierwszeństwo przed metodą z portalu.
Nomidcom.paloaltonetworks.globalprotect Typowe konfiguracje
Skopiuj konfigurację do konfiguracji zarządzanej w zasadach, a potem dostosuj wartości. Każda używa wyłącznie kluczy opisanych poniżej.
Wskaż aplikacji portal, uwierzytelniaj certyfikatem i łącz bez żadnych działań użytkownika.
{
"portal": "vpn.example.com",
"certificate": "MIIC...",
"client_certificate_passphrase": "changeme",
"connect_method": "user-logon"
}Tylko wymienione aplikacje korzystają z tunelu. Aplikacje prywatne dalej używają zwykłego połączenia. Na Androidzie otwarcie wymienionej aplikacji samo nie uruchamia GlobalProtect.
{
"portal": "vpn.example.com",
"connect_method": "user-logon",
"app_list": "allowlist:com.example.erp;com.example.crm"
}Usuń to, co wysłano wcześniej, na przykład gdy urządzenie zostaje przypisane komuś korzystającemu z innego portalu.
{
"remove_vpn_config_via_restriction": true
}Konfiguracja zarządzana
Nazwy kluczy i typy wartości pochodzą z dokumentacji producenta. Wyjaśnienia napisał zespół Nomid.
| Klucz | Typ | Co robi | Przykład |
|---|---|---|---|
| Portal i logowanie | |||
portal | Adres portalu | Adres IP lub nazwa hosta portalu GlobalProtect, z którym aplikacja łączy się jako pierwszym. Oszczędza użytkownikom wpisywania go. | vpn.example.com |
username | Nazwa użytkownika | Wstępnie wypełnia nazwę użytkownika do logowania. W MDM obsługującym zmienne możesz wstawić nazwę użytkownika danej osoby. | jsmith |
password | Hasło | Wstępnie wypełnia hasło. Unikaj tego, gdy możesz użyć certyfikatu klienta, ponieważ wartość jest przechowywana w konfiguracji Twojego MDM. | |
certificate | Certyfikat klienta w Base64 | Certyfikat klienta zakodowany w Base64, którego aplikacja używa do uwierzytelniania w portalu i bramie. | MIIC... |
client_certificate_passphrase | Hasło certyfikatu | Hasło chroniące certyfikat klienta wysłany w kluczu certyfikatu. | |
mobile_id | Identyfikator urządzenia z Twojego MDM | Unikalny identyfikator, który Twój MDM przypisuje urządzeniu. GlobalProtect używa go do wyszukiwania informacji o urządzeniu. | device-0042 |
| Sposób połączenia | |||
connect_method | Wybór: user-logon lub on-demand | Przy user-logon aplikacja łączy się sama. Przy on-demand użytkownicy łączą się ręcznie. Ta wartość zastępuje ustawienie z portalu. | user-logon |
app_list | allowlist: lub blocklist: plus nazwy pakietów | Włącza VPN dla poszczególnych aplikacji. Zacznij od allowlist: lub blocklist: i oddziel nazwy pakietów średnikami. Aplikacje niewymienione na żadnej liście nie korzystają z tunelu. | allowlist:com.example.erp;com.example.crm |
remove_vpn_config_via_restriction | Włączone lub wyłączone | Trwale usuwa konfigurację VPN GlobalProtect wysłaną na urządzenie i przywraca aplikację do ustawień pierwotnych. | false |
Wdrożenie w Nomid
Znajdź ją w Google Play na liście aplikacji w zasadach i wybierz sposób instalacji.
W zasadach ustaw konfigurację zarządzaną aplikacji, używając kluczy i wartości z tej strony.
Urządzenia objęte zasadami otrzymają aplikację GlobalProtect i jej konfigurację przy następnej synchronizacji.
Pytania
com.paloaltonetworks.globalprotect. Użyj jej, aby znaleźć aplikację podczas dodawania do zasad.
Tak. Palo Alto Networks dokumentuje, że connect_method ustawiony przez MDM ma pierwszeństwo przed tym zdefiniowanym w konfiguracji portalu.
Ustaw app_list na allowlist:, a po nim nazwy pakietów oddzielone średnikami. Od PAN-OS 10.1 słowa kluczowe to allowlist i blocklist bez spacji.
Wybierz raczej certyfikaty. Hasło w konfiguracji MDM może odczytać każdy, kto widzi te zasady.
Dodaj aplikację do zasad Nomid, ustaw jej konfigurację i wybierz jej uprawnienia.
