VPNデバイスポリシー

アプリごとのVPNの要件

• iOS
• macOS
• Android (レガシーDA)
• サムスン セーフ
• サムスン ノックス

• オンプレミスのCitrix Gateway
• デバイスに以下のアプリケーションがインストールされていること:
  • シトリックス SSO
  • シトリックス セキュアハブ™

1. この記事で説明されているように、VPNデバイスポリシーを構成します。
   • iOS の場合は、iOS向けCitrix SSOプロトコルの構成を参照してください。VPNデバイスポリシーを介してiOS向けCitrix SSOプロトコルを構成した後、アプリをアプリごとのVPNポリシーに関連付けるために、アプリ属性ポリシーも作成する必要があります。詳細については、アプリごとのVPNの構成を参照してください。
     • 接続の認証タイプフィールドで証明書を選択した場合、まずEndpoint Managementの証明書ベースの認証を構成する必要があります。クライアント証明書または証明書とドメイン認証を参照してください。
   • Android (レガシーDA) の場合は、Android向けCitrix SSOプロトコルの構成を参照してください。
     • 接続の認証タイプフィールドで証明書またはパスワードと証明書を選択した場合、まずEndpoint Managementの証明書ベースの認証を構成する必要があります。クライアント証明書または証明書とドメイン認証を参照してください。
2. アプリごとのVPNからのトラフィックを受け入れるようにCitrix ADCを構成します。詳細については、Citrix Gatewayでの完全なVPNセットアップを参照してください。

iOS設定

• 接続名: 接続の名前を入力します。
• 接続の種類: リストから、この接続に使用するプロトコルを選択します。デフォルトはL2TPです。
  • L2TP: 事前共有キー認証を使用するレイヤー2トンネリングプロトコル。
  • PPTP: ポイントツーポイントトンネリング。
  • IPSec: 会社のVPN接続。
  • Cisco Legacy AnyConnect: この接続の種類では、ユーザーデバイスにCisco Legacy AnyConnect VPNクライアントがインストールされている必要があります。シスコは、現在非推奨となっているVPNフレームワークに基づいていたCisco Legacy AnyConnectクライアントを段階的に廃止しています。詳細については、サポート記事<https://support.citrix.com/article/CTX227708>を参照してください。
    現在のCisco AnyConnectクライアントを使用するには、接続の種類としてCustom SSLを使用します。必要な設定については、このセクションの「カスタムSSLプロトコルの構成」を参照してください。
  • Juniper SSL: Juniper Networks SSL VPNクライアント。
  • F5 SSL: F5 Networks SSL VPNクライアント。
  • SonicWALL Mobile Connect: iOS用Dell統合VPNクライアント。
  • Ariba VIA: アリバネットワークス 仮想インターネットアクセス クライアント。
  • IKEv2 (iOSのみ): iOSのみのInternet Key Exchangeバージョン2。
  • AlwaysOn IKEv2: IKEv2を使用した常時接続アクセス。
  • AlwaysOn IKEv2デュアル構成: IKEv2デュアル構成を使用した常時接続アクセス。
  • Citrix SSO: iOS 12以降向けのCitrix SSOクライアント。
  • Custom SSL: カスタムSecure Socket Layer。この接続タイプは、バンドルIDがcom.cisco.anyconnectであるCisco AnyConnectクライアントに必要です。接続名としてCisco AnyConnectを指定します。VPNポリシーを展開し、iOSデバイス向けにネットワークアクセスコントロール (NAC) フィルターを有効にすることもできます。このフィルターは、非準拠のアプリがインストールされているデバイスのVPN接続をブロックします。この構成には、以下のiOSセクションで説明されているiOS VPNポリシーの特定の構成が必要です。NACフィルターを有効にするために必要なその他の設定については、「ネットワークアクセスコントロール」を参照してください。

macOS設定

• 接続名: 接続の名前を入力します。
• 接続タイプ: リストから、この接続に使用するプロトコルを選択します。デフォルトはL2TPです。
  • L2TP: 事前共有キー認証を使用するレイヤー2トンネリングプロトコル。
  • PPTP: ポイントツーポイントトンネリング。
  • IPSec: 会社のVPN接続。
  • Cisco AnyConnect: Cisco AnyConnect VPNクライアント。
  • Juniper SSL: Juniper Networks SSL VPNクライアント。
  • F5 SSL: F5 Networks SSL VPNクライアント。
  • SonicWALL Mobile Connect: iOS用Dell統合VPNクライアント。
  • Ariba VIA: アリバ・ネットワークス バーチャル・インターネット・アクセス クライアント。
  • Citrix VPN: Citrix VPNクライアント。
  • カスタムSSL: カスタムSecure Socket Layer。

Androidの設定

Android Enterpriseの設定

• 常時接続VPNを有効にする: VPNを常時接続にするかどうかを選択します。デフォルトはオフです。有効にすると、ユーザーが手動で切断するまでVPN接続はオンのままになります。
• VPNパッケージ: デバイスが使用するVPNアプリのパッケージ名を入力します。
• ロックダウンを有効にする: 無効にすると、VPN接続が存在しない場合、どのアプリもネットワークにアクセスできません。有効にすると、VPN接続が存在しない場合でも、以下の設定で構成したアプリはネットワークにアクセスできます。Android 10以降のデバイスで利用可能です。
• ロックダウンから除外されるアプリケーション: 追加をクリックして、ロックダウン設定をバイパスするアプリのパッケージ名を入力します。

Windows デスクトップおよびタブレットの設定

• 接続名: 接続の名前を入力します。このフィールドは必須です。
• プロファイルの種類: リストから、Native または Plugin を選択します。デフォルトは Native です。
• Native プロファイルの種類を構成: これらの設定は、ユーザーの Windows デバイスに組み込まれている VPN に適用されます。
  • サーバーアドレス: VPN サーバーの FQDN または IP アドレスを入力します。このフィールドは必須です。
  • 資格情報を記憶: 資格情報をキャッシュするかどうかを選択します。デフォルトは Off です。有効にすると、可能な限り資格情報がキャッシュされます。
  • DNS サフィックス: DNS サフィックスを入力します。
  • トンネルの種類: リストから、使用する VPN トンネルの種類を選択します。デフォルトは L2TP です。選択可能なオプションは次のとおりです。
    • L2TP: 事前共有キー認証を使用したレイヤー2トンネリングプロトコル。
    • PPTP: ポイントツーポイントトンネリング。
    • IKEv2: インターネットキー交換バージョン2。
  • 認証方法: リストから、使用する認証方法を選択します。デフォルトは EAP です。選択可能なオプションは次のとおりです。
    • EAP: 拡張認証プロトコル。
    • MSChapV2: 相互認証に Microsoft のチャレンジハンドシェイク認証を使用します。このオプションは、トンネルの種類に IKEv2 を選択した場合は使用できません。
  • EAPメソッド: リストから使用するEAPメソッドを選択します。デフォルトはTLSです。MSChapV2認証が有効な場合、このフィールドは使用できません。選択可能なオプションは次のとおりです。
    • TLS: トランスポート層セキュリティ
    • PEAP: 保護された拡張認証プロトコル
  • 信頼されたネットワーク: VPN接続を必要としないネットワークのリストをコンマで区切って入力します。たとえば、ユーザーが社内ワイヤレスネットワークに接続している場合、保護されたリソースに直接アクセスできます。
  • スマートカード証明書を要求: スマートカード証明書を要求するかどうかを選択します。デフォルトはオフです。
  • クライアント証明書を自動的に選択: 認証に使用するクライアント証明書を自動的に選択するかどうかを選択します。デフォルトはオフです。スマートカード証明書を要求を有効にすると、このオプションは使用できません。
  • 常時接続VPN: VPNを常時接続にするかどうかを選択します。デフォルトはオフです。有効にすると、ユーザーが手動で切断するまでVPN接続は維持されます。
  • ローカルのバイパス: ローカルリソースがプロキシサーバーをバイパスできるように、アドレスとポート番号を入力します。
• プラグインプロファイルタイプを構成: これらの設定は、Windowsストアから入手し、ユーザーのデバイスにインストールされたVPNプラグインに適用されます。
  • サーバーアドレス: VPNサーバーのFQDNまたはIPアドレスを入力します。このフィールドは必須です。
  • 資格情報を記憶: 資格情報をキャッシュするかどうかを選択します。デフォルトはオフです。有効にすると、可能な限り資格情報がキャッシュされます。
  • DNSサフィックス: DNSサフィックスを入力します。
  • クライアントアプリID: VPNプラグインのパッケージファミリ名を入力します。
  • プラグインプロファイルXML: 参照をクリックしてファイルの場所に移動し、使用するカスタムVPNプラグインプロファイルを選択します。形式と詳細については、プラグインプロバイダーにお問い合わせください。
  • 信頼されたネットワーク: VPN接続を必要としないネットワークのリストをコンマで区切って入力します。たとえば、ユーザーが社内ワイヤレスネットワークに接続している場合、保護されたリソースに直接アクセスできます。
  • 常時接続VPN：VPNを常時接続にするかどうかを選択します。デフォルトはオフです。有効にすると、ユーザーが手動で切断するまでVPN接続は維持されます。
  • ローカルのバイパス：ローカルリソースがプロキシサーバーをバイパスできるように、アドレスとポート番号を入力します。