Diretório de aplicações Android · VPN e acesso
Estas são as restrições de aplicação que a Palo Alto Networks documenta para o GlobalProtect no Android quando é gerido por um MDM de terceiros. Permitem à equipa de TI apontar a aplicação para o portal certo, iniciar sessão das pessoas com um certificado, decidir quando a VPN se liga e limitar o túnel a aplicações escolhidas. O método de ligação que definir aqui tem prioridade sobre o do portal.
Nomidcom.paloaltonetworks.globalprotect Configurações comuns
Copie uma configuração para a configuração gerida de uma política e depois ajuste os valores. Cada uma usa apenas chaves explicadas abaixo.
Aponte a aplicação para o portal, autentique com um certificado e ligue sem qualquer ação da pessoa.
{
"portal": "vpn.example.com",
"certificate": "MIIC...",
"client_certificate_passphrase": "changeme",
"connect_method": "user-logon"
}Apenas as aplicações indicadas passam pelo túnel. As aplicações pessoais continuam a usar a ligação normal. No Android, abrir uma aplicação da lista não inicia o GlobalProtect por si só.
{
"portal": "vpn.example.com",
"connect_method": "user-logon",
"app_list": "allowlist:com.example.erp;com.example.crm"
}Remova o que foi enviado anteriormente, por exemplo quando um dispositivo é reatribuído a alguém que usa outro portal.
{
"remove_vpn_config_via_restriction": true
}Configuração gerida
Os nomes das chaves e os tipos de valor vêm da documentação do fornecedor. As explicações são escritas pela Nomid.
| Chave | Tipo | O que faz | Exemplo |
|---|---|---|---|
| Portal e início de sessão | |||
portal | Endereço do portal | O endereço IP ou o nome de anfitrião do portal GlobalProtect que a aplicação contacta primeiro. Evita que as pessoas o tenham de escrever. | vpn.example.com |
username | Nome de utilizador | Pré-preenche o nome de utilizador para o início de sessão. Com um MDM que suporte variáveis, pode inserir o nome de utilizador da própria pessoa. | jsmith |
password | Palavra-passe | Pré-preenche a palavra-passe. Evite-o quando puder usar um certificado de cliente, porque o valor fica guardado na configuração do seu MDM. | |
certificate | Certificado de cliente em Base64 | Um certificado de cliente, codificado em Base64, que a aplicação usa para se autenticar no portal e no gateway. | MIIC... |
client_certificate_passphrase | Frase-passe do certificado | A frase-passe que protege o certificado de cliente enviado na chave do certificado. | |
mobile_id | ID do dispositivo do seu MDM | Um identificador único que o seu MDM atribui ao dispositivo. O GlobalProtect usa-o para consultar informações sobre o dispositivo. | device-0042 |
| Comportamento da ligação | |||
connect_method | Opção: user-logon ou on-demand | Com user-logon, a aplicação liga-se sozinha. Com on-demand, as pessoas ligam-se manualmente. Este valor substitui a definição do portal. | user-logon |
app_list | allowlist: ou blocklist: mais nomes de pacote | Ativa a VPN por aplicação. Comece com allowlist: ou blocklist: e separe os nomes de pacote com pontos e vírgulas. As aplicações que não constam de nenhuma das listas não usam o túnel. | allowlist:com.example.erp;com.example.crm |
remove_vpn_config_via_restriction | Ativado ou desativado | Remove permanentemente a configuração de VPN do GlobalProtect enviada para o dispositivo e repõe a aplicação nas suas definições originais. | false |
Implementar com o Nomid
Encontre-o no Google Play a partir da lista de aplicações da política e escolha como é instalado.
Na política, defina a configuração gerida da aplicação com as chaves e os valores desta página.
Os dispositivos da política recebem o GlobalProtect e a sua configuração na próxima sincronização.
Perguntas
com.paloaltonetworks.globalprotect. Use-o para encontrar a aplicação quando a adiciona a uma política.
Sim. A Palo Alto Networks documenta que o connect_method definido através do MDM tem precedência sobre o definido na configuração do portal.
Defina app_list como allowlist: seguido de nomes de pacote separados por pontos e vírgulas. Desde o PAN-OS 10.1, as palavras-chave são allowlist e blocklist, sem espaço.
Prefira certificados. Uma palavra-passe numa configuração de MDM pode ser lida por qualquer pessoa que consiga ver essa política.
Adicione a aplicação a uma política do Nomid, defina a sua configuração e escolha as suas permissões.
