Implementatie van iPhone en iPad Virtual Private

Implementatie van iPhone en iPad
Virtual Private Networks (VPN)
Via de gebruikelijke VPN-protocollen kunt u afgeschermde bedrijfsnetwerken veilig
benaderen vanaf een iPhone of iPad. Gebruikers kunnen eenvoudig verbinding maken
met bedrijfssystemen via de in iOS ingebouwde VPN-client of via programma's van
Juniper, Cisco en F5 Networks.
iOS biedt standaard ondersteuning voor Cisco IPSec, L2TP over IPSec en PPTP. Als uw
organisatie gebruikmaakt van een van deze protocollen, hoeft u uw netwerk verder
niet te configureren en hebt u geen programma's van andere fabrikanten nodig om
op iPhone of iPad verbinding te maken met uw VPN.
Daarnaast ondersteunt iOS SSL VPN, waardoor toegang tot Juniper SA, Cisco ASA
en F5 BIG-IP Edge Gateway SSL VPN-servers mogelijk is. De gebruiker hoeft alleen
een VPN-clientapp van Juniper, Cisco of F5 uit de App Store te downloaden, en kan
daarna meteen aan de slag. Net als bij de andere VPN-protocollen die door iOS worden
ondersteund, kan SSL VPN handmatig op het apparaat geconfigureerd worden of via
een configuratieprofiel.
iOS ondersteunt standaardtechnologieën als IPv6, proxyservers en split tunneling,
zodat gebruikers probleemloos gebruik kunnen maken van VPN om verbinding met
het bedrijfsnetwerk te maken. Bovendien werkt iOS met verschillende methoden voor
identiteitscontrole, waaronder wachtwoorden, twee-factorentoken en digitale certificaten.
iOS ondersteunt VPN On Demand om de verbinding te bespoedigen in omgevingen
waarin gebruik wordt gemaakt van identiteitscontrole op basis van certificaten.
Ondersteunde protocollen en methoden voor identiteitscontrole
SSL VPN
Ondersteunt identiteitscontrole van gebruikers via een wachtwoord, twee-factorentoken
of certificaten.
Cisco IPSec
Ondersteunt identiteitscontrole via een wachtwoord en twee-factorentoken, en
identiteitscontrole van apparaten via een gedeeld geheim en certificaten.
L2TP over IPSec
Ondersteunt identiteitscontrole via een MS-CHAP v2-wachtwoord en twee-factorentoken,
en identiteitscontrole van apparaten via een gedeeld geheim.
PPTP
Ondersteunt identiteitscontrole via een MS-CHAP v2-wachtwoord en twee-factorentoken.
2
VPN On Demand
iOS ondersteunt VPN On Demand voor omgevingen waarin gebruik wordt gemaakt
van identiteitscontrole op basis van certificaten. VPN On Demand maakt automatisch
verbinding wanneer een gebruiker toegang zoekt tot een vooraf opgegeven domein,
zodat gebruikers probleemloos gebruik kunnen maken van een VPN-verbinding.
Voor deze iOS-voorziening is geen serverconfiguratie nodig. De configuratie van VPN
On Demand wordt namelijk gedaan via een configuratieprofiel, maar kan natuurlijk
ook handmatig op het apparaat worden uitgevoerd.
De volgende opties voor VPN On Demand zijn beschikbaar:
Altijd
Er wordt een VPN-verbinding geïnitieerd voor elk adres dat overeenkomt met het
opgegeven domein.
Nooit
Er wordt geen VPN-verbinding geïnitieerd voor adressen die overeenkomen met het
opgegeven domein, maar als de VPN-verbinding al actief is, kan deze worden gebruikt.
Maak verbinding indien nodig
Er wordt een VPN-verbinding geïnitieerd voor adressen die overeenkomen met het
opgegeven domein als het opzoeken van het adres in DNS is mislukt.
VPN-configuratie
•iOS kan in vele bestaande VPN-netwerken worden geïntegreerd, waardoor de
configuratie tot een minimum beperkt blijft. U kunt de implementatie het best
voorbereiden door te controleren of de bestaande VPN-protocollen en -methoden
voor identiteitscontrole van uw bedrijf door iOS worden ondersteund.
• Het is bovendien verstandig om te controleren of de door iOS ondersteunde
standaarden zijn ingeschakeld in de implementatie van uw identiteitscontroleserver.
• Als u van plan bent gebruik te maken van identiteitscontrole op basis van certificaten,
moet u ervoor zorgen dat uw publieke sleutel het gebruik van apparaat- en
gebruikerscertificaten via het bijbehorende sleuteldistributieproces ondersteunt.
• Als u URL-specifieke proxyinstellingen wilt configureren, plaatst u een PAC-bestand op
een webserver die toegankelijk is met de basis-VPN-instellingen en controleert u of op
de server het MIME-type 'application/x-ns-proxy-autoconfig' wordt gebruikt.
Proxyconfiguratie
U kunt ook één VPN-proxy opgeven voor alle configuraties. Om voor alle verbindingen
één proxy te configureren, tikt u op 'Handmatig' en geeft u het adres, de poort en
indien nodig de identiteitscontrole op. Als u voor het apparaat een bestand voor
automatische proxyconfiguraties op basis van PAC of WPAD wilt opgeven, tikt u op
'Autom.'. Voor automatische configuratie op basis van PAC geeft u de URL van het PACbestand op. Voor automatische configuratie op basis van WPAD wordt op iPhone en
iPad gezocht naar de juiste instellingen.
3
Implementatiescenario
In dit voorbeeld ziet u een typische implementatie met een VPN-server/concentrator plus een identiteitscontroleserver die
de toegang regelt tot bedrijfsnetwerkvoorzieningen.
Firewall
Firewall
3a
3b
Identiteitscontrole
via certificaat of token
VPN-server voor identiteitscontrole
Genereren token of identiteitscontrole
via certificaat
Adreslijstvoorziening
2
1
4
VPN-server/concentrator
Privénetwerk
5
Internet
Proxyserver
1
iPhone en iPad vragen toegang tot de netwerkvoorzieningen.
2
De VPN-server/concentrator ontvangt het verzoek en stuurt dit vervolgens door naar de identiteitscontroleserver.
3
Als met een twee-factorentoken wordt gewerkt, zorgt de identiteitscontroleserver ervoor dat met de sleutelserver een op basis van tijd
gesynchroniseerde tokensleutel wordt gegenereerd. Als met identiteitscontrole op basis van certificaten wordt gewerkt, moet vóór de
identiteitscontrole een identiteitscertificaat worden gedistribueerd. Als de wachtwoordmethode is geïmplementeerd, is de volgende stap
in het identiteitscontroleproces de validatie van de gebruiker.
4
Als de identiteit van de gebruiker is gecontroleerd, valideert de identiteitscontroleserver het beleid op gebruikers- en groepsniveau.
5
Als het gebruikers- en groepsbeleid in orde is bevonden, verleent de VPN-server versleutelde tunneltoegang tot de netwerkvoorzieningen.
6
Wanneer een proxyserver wordt gebruikt, maken iPhone en iPad via de proxyserver verbinding voor toegang tot gegevens buiten de firewall.
© 2011 Apple Inc. Alle rechten voorbehouden. Apple, het Apple logo, iPhone, iPad en Mac OS zijn handelsmerken van Apple Inc., die zijn gedeponeerd in de Verenigde Staten en andere landen.
App Store is een dienstmerk van Apple Inc. Andere product- en bedrijfsnamen die worden genoemd, kunnen handelsmerken zijn van hun respectieve eigenaars. Productspecificaties kunnen zonder
voorafgaande kennisgeving worden gewijzigd. Dit materiaal wordt uitsluitend aangeboden ter informatie. Apple aanvaardt geen enkele aansprakelijkheid met betrekking tot het gebruik van deze
informatie. Oktober 2011 L419828B-NL