Hoofdstuk 4 Infrastructuur en integratie 49
Conguratieproel voor Altijd actieve VPN
Een conguratieproel voor Altijd actieve VPN kan handmatig worden samengesteld met een
Apple editor voor conguratieproelen (zoals Proelbeheer), met Apple Congurator, of via een
MDM-oplossing van een andere leverancier. Zie Proelbeheer Help of Apple Congurator Help
voor meer informatie.
Sleutels voor gebruikersinteractie
Om te voorkomen dat gebruikers de functie Altijd actieve VPN uitschakelen, moet u instellen
dat het profiel voor Altijd actieve VPN niet kan worden verwijderd door de sleutel
'PayloadRemovalDisallowed' op 'true' te zetten. Deze sleutel vindt u op het hoogste niveau in
het proel.
Om te voorkomen dat gebruikers de werking van Altijd actieve VPN wijzigen door andere
conguratieproelen te installeren, moet u de installatie van UI-proelen onmogelijk maken
door de sleutel 'allowUICongurationProleInstallation' op 'false' te zetten onder de payload
'com.apple.applicationaccess'. Uw organisatie kan aanvullende beperkingen implementeren door
onder dezelfde payload andere ondersteunde sleutels te gebruiken.
Certicaatpayloads
•
CA-certicaat van server: Als de identiteitscontrole voor de IKEv2-tunnel plaatsvindt aan de
hand van certicaten, verstuurt de IKEv2-server het eigen servercerticaat naar het iOS-
apparaat, dat vervolgens de identiteit van de server controleert. Het iOS-apparaat heeft hier
wel een zogeheten CA-certicaat voor nodig. Dit is een certicaat met informatie over de
certicaatautoriteit (de instantie die het servercerticaat heeft uitgegeven). Het CA-certicaat
van de server is mogelijk al eerder op het apparaat geïnstalleerd. Als dat niet zo is, kan uw
organisatie het CA-certicaat beschikbaar stellen door een certicaatpayload aan te maken
voor het CA-certicaat van de server.
•
CA-certicaten van clients: Als de identiteitscontrole voor de IKEv2-tunnel plaatsvindt op
basis van certicaten of EAP-TLS, verstuurt het iOS-apparaat het eigen clientcerticaat naar
de IKEv2-server, die vervolgens de identiteit van de client controleert. De client kan één
of twee clientcerticaten hebben, afhankelijk van het geselecteerde implementatiemodel.
Uw organisatie moet het certicaat of de certicaten beschikbaar stellen door een of meer
payloads aan te maken. Tegelijkertijd is het zo dat de IKEv2-server de clientidentiteit alleen
kan controleren als het CA-certicaat van de client is geïnstalleerd. Dit is een certicaat met
informatie over de certicaatautoriteit (de instantie die het clientcerticaat heeft uitgegeven).
•
Certicaten die door IKEv2 worden ondersteund voor Altijd actieve VPN: Op dit moment worden
door IKEv2 alleen RSA-certicaten ondersteund voor Altijd actieve VPN.
Payload voor Altijd actieve VPN
Het volgende geldt voor de payload voor Altijd actieve VPN.
•
De payload voor Altijd actieve VPN kan alleen worden geïnstalleerd op iOS-apparaten die
onder supervisie staan
•
Een conguratieproel kan maar één payload voor Altijd actieve VPN bevatten
•
Er kan maar één conguratieproel voor Altijd actieve VPN tegelijk zijn geïnstalleerd op een
iOS-apparaat
