VPN 设备策略

每应用 VPN 的要求

• iOS
• macOS
• Android（旧版 DA）
• 三星 SAFE
• 三星 Knox

• 本地 思杰 Gateway
• 设备上安装了以下应用程序：
  • 思杰 SSO
  • 思杰 Secure Hub™

1. 配置本文所述的 VPN 设备策略。
   • 对于 iOS，请参阅 配置适用于 iOS 的 Citrix SSO 协议。通过 VPN 设备策略配置适用于 iOS 的 Citrix SSO 协议后，您还必须创建应用程序属性策略以将应用程序与每应用 VPN 策略关联。有关详细信息，请参阅 配置每应用 VPN。
     • 对于“连接的身份验证类型”字段，如果您选择“证书”，则必须首先为 Endpoint Management 配置基于证书的身份验证。请参阅 客户端证书或证书加域身份验证。
   • 对于 Android（旧版 DA），请参阅 配置适用于 Android 的 Citrix SSO 协议。
     • 对于“连接的身份验证类型”字段，如果您选择“证书”或“密码和证书”，则必须首先为 Endpoint Management 配置基于证书的身份验证。请参阅 客户端证书或证书加域身份验证。
2. 配置 Citrix ADC 以接受来自每应用 VPN 的流量。有关详细信息，请参阅 在 Citrix Gateway 上进行完整 VPN 设置。

iOS 设置

• 连接名称： 键入连接的名称。
• 连接类型： 在列表中，选择此连接要使用的协议。默认值为 L2TP。
  • L2TP： 具有预共享密钥身份验证的第 2 层隧道协议。
  • PPTP： 点对点隧道协议。
  • IPSec： 您的企业 VPN 连接。
  • Cisco Legacy AnyConnect： 此连接类型要求用户设备上安装 Cisco Legacy AnyConnect VPN 客户端。Cisco 正在逐步淘汰基于现已弃用的 VPN 框架的 Cisco Legacy AnyConnect 客户端。有关详细信息，请参阅支持文章 <https://support.citrix.com/article/CTX227708>。
    要使用当前的 Cisco AnyConnect 客户端，请使用自定义 SSL 的连接类型。有关所需设置，请参阅本节中的“配置自定义 SSL 协议”。
  • 瞻博 SSL： 瞻博网络 SSL VPN 客户端。
  • F5 SSL： F5 Networks SSL VPN 客户端。
  • SonicWALL Mobile Connect： 适用于 iOS 的 Dell 统一 VPN 客户端。
  • Ariba VIA： Ariba Networks 虚拟 Internet 访问客户端。
  • IKEv2（仅限 iOS）： 仅限 iOS 的 Internet 密钥交换版本 2。
  • AlwaysOn IKEv2： 使用 IKEv2 的始终开启访问。
  • AlwaysOn IKEv2 双配置： 使用 IKEv2 双配置的始终开启访问。
  • Citrix SSO： 适用于 iOS 12 及更高版本的 Citrix SSO 客户端。
  • 自定义 SSL： 自定义安全套接字层。此连接类型是具有捆绑 ID com.cisco.anyconnect 的 Cisco AnyConnect 客户端所必需的。指定连接名称为 Cisco AnyConnect。您还可以部署 VPN 策略并为 iOS 设备启用网络访问控制 (NAC) 筛选器。该筛选器会阻止安装了不合规应用程序的设备的 VPN 连接。此配置需要 iOS VPN 策略的特定设置，如以下 iOS 部分所述。有关启用 NAC 筛选器所需的其他设置的更多信息，请参阅网络访问控制。

macOS 设置

• 连接名称： 键入连接的名称。
• 连接类型： 在列表中，选择此连接要使用的协议。默认值为 L2TP。
  • L2TP： 带有预共享密钥身份验证的第 2 层隧道协议。
  • PPTP： 点对点隧道。
  • IPSec： 您的企业 VPN 连接。
  • Cisco AnyConnect： Cisco AnyConnect VPN 客户端。
  • Juniper SSL： 瞻博网络 SSL VPN 客户端。
  • F5 SSL： F5 Networks SSL VPN 客户端。
  • SonicWALL Mobile Connect： 适用于 iOS 的 Dell 统一 VPN 客户端。
  • Ariba VIA： Ariba Networks 虚拟 Internet 访问客户端。
  • Citrix VPN： Citrix VPN 客户端。
  • Custom SSL： 自定义安全套接字层。

Android 设置

安卓企业设置

• 启用始终开启的 VPN： 选择 VPN 是否始终开启。默认值为 关闭。启用后，VPN 连接将保持开启状态，直到用户手动断开连接。
• VPN 包： 键入设备使用的 VPN 应用程序的包名称。
• 启用锁定： 如果禁用，则在 VPN 连接不存在时，任何应用程序都无法访问网络。如果启用，则在以下设置中配置的应用程序可以访问网络，即使 VPN 连接不存在。适用于 Android 10 及更高版本的设备。
• 从锁定中排除的应用程序： 单击 添加 以键入要绕过锁定设置的应用程序的包名称。

视窗桌面／平板电脑设置

• 连接名称： 输入连接的名称。此字段为必填项。
• 配置文件类型： 在列表中，选择本机或插件。默认值为本机。
• 配置本机配置文件类型： 这些设置适用于用户 Windows 设备中内置的 VPN。
  • 服务器地址： 键入 VPN 服务器的 FQDN 或 IP 地址。此字段为必填项。
  • 记住凭据： 选择是否缓存凭据。默认值为关闭。启用后，凭据将尽可能缓存。
  • DNS 后缀： 键入 DNS 后缀。
  • 隧道类型： 在列表中，选择要使用的 VPN 隧道类型。默认值为L2TP。可能的选项包括：
    • L2TP： 带有预共享密钥身份验证的第 2 层隧道协议。
    • PPTP： 点对点隧道协议。
    • IKEv2： Internet 密钥交换版本 2。
  • 身份验证方法： 在列表中，选择要使用的身份验证方法。默认值为EAP。可能的选项包括：
    • EAP： 可扩展身份验证协议。
    • MSChapV2： 使用 Microsoft 的质询握手身份验证进行相互身份验证。当您为隧道类型选择 IKEv2 时，此选项不可用。
  • EAP 方法： 在列表中，选择要使用的 EAP 方法。默认值为 TLS。启用 MSChapV2 身份验证时，此字段不可用。可用选项包括：
    • TLS： 传输层安全性
    • PEAP： 受保护的可扩展身份验证协议
  • 受信任的网络： 键入一个用逗号分隔的网络列表，这些网络不需要 VPN 连接即可访问。例如，当用户位于公司无线网络上时，他们可以直接访问受保护的资源。
  • 需要智能卡证书： 选择是否需要智能卡证书。默认值为 关。
  • 自动选择客户端证书： 选择是否自动选择用于身份验证的客户端证书。默认值为 关。启用“需要智能卡证书”时，此选项不可用。
  • 始终开启 VPN： 选择 VPN 是否始终开启。默认值为 关。启用后，VPN 连接将保持开启状态，直到用户手动断开连接。
  • 本地绕过： 键入地址和端口号，以允许本地资源绕过代理服务器。
• 配置插件配置文件类型： 这些设置适用于从 Windows 应用商店获取并安装在用户设备上的 VPN 插件。
  • 服务器地址： 键入 VPN 服务器的 FQDN 或 IP 地址。此字段为必填项。
  • 记住凭据： 选择是否缓存凭据。默认值为 关。启用后，凭据将尽可能缓存。
  • DNS 后缀： 键入 DNS 后缀。
  • 客户端应用 ID： 键入 VPN 插件的包系列名称。
  • 插件配置文件 XML： 通过单击“浏览”并导航到文件位置，选择要使用的自定义 VPN 插件配置文件。有关格式和详细信息，请联系插件提供商。
  • 受信任的网络： 键入一个用逗号分隔的网络列表，这些网络不需要 VPN 连接即可访问。例如，当用户位于公司无线网络上时，他们可以直接访问受保护的资源。
  • 始终开启 VPN： 选择 VPN 是否始终开启。默认值为关闭。启用后，VPN 连接将保持开启状态，直到用户手动断开连接。
  • 本地旁路： 键入地址和端口号，以允许本地资源绕过代理服务器。