Hoofdstuk 4 Infrastructuur en integratie 47
Om een proel aan te maken dat zowel bij iOS 7 als bij eerdere releases werkt, gebruikt u de
nieuwe EvaluateConnection-sleutels in aanvulling op de OnDemandMatchDomain-matrices.
Eerdere versies van iOS die 'EvaluateConnection' niet herkennen, maken gebruik van de oude
matrices, terwijl iOS 7 en hoger 'EvaluateConnection' gebruiken.
Oude conguratieproelen waarin de actie 'Allow' is opgenomen, moeten in principe wel
werken met iOS 7 of hoger, met uitzondering van OnDemandMatchDomainsAlways-domeinen.
Altijd actieve VPN
Overzicht
Met Altijd actieve VPN kan uw organisatie het gegevensverkeer van apparaten optimaal
controleren door al het IP-verkeer via een tunnel terug te leiden naar de organisatie. Met IKEv2,
het standaardprotocol voor het opzetten van tunnels, wordt de uitwisseling van gegevens
beveiligd door middel van gegevenscodering. Uw organisatie kan nu het gegevensverkeer naar
en van de apparaten bewaken, de gegevens binnen het netwerk beveiligen en de toegang tot
het internet beperken.
Activering van Altijd actieve VPN is alleen mogelijk voor apparaten die onder supervisie
staan. Nadat het proel voor Altijd actieve VPN is geïnstalleerd op een apparaat, wordt Altijd
actieve VPN automatisch, zonder tussenkomst van de gebruiker, geactiveerd. Altijd actieve
VPN blijft geactiveerd (ook na opnieuw opstarten) totdat het proel voor Altijd actieve VPN
wordt verwijderd.
Als Altijd actieve VPN is geactiveerd op het apparaat, is het opzetten en weghalen van de
VPN-tunnel gekoppeld aan de IP-status van de interface. Als de interface het IP-netwerk kan
bereiken, wordt er geprobeerd een tunnel op te zetten. Op het moment dat de IP-status van
de interface wegvalt, wordt de tunnel verwijderd. Altijd actieve VPN biedt ook ondersteuning
voor interface-specieke tunnels. In het geval van iOS-apparaten gaat het om één tunnel voor
elke actieve IP-interface (dus één tunnel voor de mobiele interface en één tunnel voor de
Wi-Fi-interface). Als er een of meer VPN-tunnels beschikbaar zijn, wordt al het IP-verkeer door
deze tunnels geleid. Het betreft gegevensverkeer dat via IP wordt gerouteerd en verkeer dat
afkomstig is van of is bestemd voor bepaalde IP-bereiken (verkeer van apps van Apple, zoals
FaceTime en Berichten). Als er geen tunnels beschikbaar zijn, wordt al het IP-verkeer verwijderd.
Alle gegevens van een apparaat die via een tunnel worden verstuurd, komen aan bij een
VPN-server. U kunt hier nog lters en/of controles toepassen voordat het verkeer wordt
doorgestuurd naar de eindbestemming binnen het netwerk van uw organisatie of op het
internet. Hetzelfde geldt voor verkeer dat voor het apparaat is bestemd. Deze gegevens komen
aan op de VPN-server van uw organisatie, waar ze eventueel nog worden gelterd en/of
gecontroleerd voordat ze worden doorgestuurd naar het apparaat.
Implementatiescenario's
iOS-apparaten worden uitgevoerd in de modus voor één gebruiker. Er wordt geen onderscheid
gemaakt tussen de identiteit van het apparaat en de identiteit van de gebruiker. Als een
iOS-apparaat een IKEv2-tunnel opzet met de IKEv2-server, ziet de server het iOS-apparaat als
één gelijkwaardige entiteit. Voorheen werd er altijd maar één tunnel opgezet tussen gekoppelde
iOS-apparaten en een VPN-server. Aangezien er met Altijd actieve VPN interface-specieke
tunnels mogelijk zijn, bestaat de kans dat er op hetzelfde moment meerdere tunnels zijn tussen
een iOS-apparaat en de IKEv2-server, afhankelijk van het implementatiemodel.
