Hoofdstuk 4 Infrastructuur en integratie 45
•
Een VPN-verbinding verplicht te stellen wanneer een DNS-aanvraag voor een opgegeven
domein mislukt
Fasen
VPN op aanvraag maakt in twee stappen verbinding met uw netwerk.
Netwerkdetectie
De regels voor VPN op aanvraag worden geëvalueerd wanneer de primaire netwerkinterface
van het apparaat verandert, bijvoorbeeld wanneer een Apple apparaat overschakelt op een
ander Wi-Fi-netwerk of wanneer het apparaat van een Wi-Fi-netwerk overschakelt naar een
mobiel netwerk in iOS of naar Ethernet in OS X. Als de primaire interface een virtuele interface is
(zoals een VPN-interface), worden de regels voor VPN op aanvraag genegeerd.
Alle vergelijkingsregels in elke set (elk woordenboek) moeten overeenkomen om de daaraan
gekoppelde actie te laten plaatsvinden. Als een van de regels niet overeenkomt, wordt de
evaluatie automatisch voortgezet in het volgende woordenboek in de matrix, totdat de
OnDemandRules-matrix volledig is doorlopen.
In het laatste woordenboek moet een standaardconguratie zijn beschreven; dit woordenboek
bevat geen vergelijkingsregels, maar alleen een actie. Zo worden alle verbindingen afgevangen
waarvoor in de vorige regels geen overeenkomsten zijn gevonden.
Verbindingsevaluatie
VPN kan worden geactiveerd op het moment dat dit nodig is (op basis van verbindingsvereisten
voor bepaalde domeinen), in plaats van dat VPN-verbindingen eenzijdig worden gemaakt en
verbroken op basis van de netwerkinterface.
Regels en acties
Regels zijn nodig om de typen netwerken te deniëren die zijn gekoppeld aan VPN op aanvraag.
Acties geven aan wat er moet gebeuren als de vergelijkingsregels waar zijn.
Vergelijkingsregels VPN op aanvraag
Geef een of meer van de volgende vergelijkingsregels op voor clients met Cisco IPSec:
•
InterfaceTypeMatch: Optioneel. De tekenreekswaarde 'Cellular' (voor iOS) of 'Ethernet'
(voor OS X) of 'Wi-Fi'. Als deze regel wordt opgegeven, is deze regel waar wanneer de
hardware van de primaire interface van het opgegeven type is.
•
SSIDMatch: Optioneel. Een matrix van SSID's die met het huidige netwerk worden vergeleken.
Als het netwerk geen Wi-Fi-netwerk is of als de SSID ervan niet in de lijst is opgenomen,
is de regel onwaar. Om SSID te negeren, kunnen deze sleutel en de bijbehorende matrix
worden weggelaten.
•
DNSDomainMatch: Optioneel. Een matrix van zoekdomeinen in tekenreeksen. Als het
gecongureerde DNS-zoekdomein van het huidige primaire netwerk is opgenomen in
de matrix, is deze regel waar. Jokertekens (*) als voorvoegsel zijn toegestaan. Zo komt
bijvoorbeeld "*.example.com" overeen met "anything.example.com".
•
DNSServerAddressMatch: Optioneel. Een matrix van DNS-serveradressen in tekenreeksen.
Deze regel is waar als alle DNS-serveradressen die op dat moment voor de primaire interface
zijn gecongureerd, zich in de matrix bevinden. U kunt jokertekens (*) gebruiken. Zo komt
bijvoorbeeld "1.2.3.*" overeen met elke DNS-server die het voorvoegsel "1.2.3" heeft.
•
URLStringProbe: Optioneel. Een server die wordt benaderd om de bereikbaarheid na te gaan.
Omleiding wordt niet ondersteund. De URL moet naar een vertrouwde HTTPS-server verwijzen.
Het apparaat verstuurt een GET-aanvraag om te controleren of de server bereikbaar is.
