Сертификаты берутся со страницы [**Сертификаты**](https://enterprise.cerberusapp.com/docs/books/rukovodstvo-polzovatelia/page/upravlenie-sertifikatami "Certificate management"): сначала импортируйте их там. Политика только ссылается на них, поэтому сертификат никогда не копируется в политику.
## Ограничения - **Разрешить AirDrop** - **Разрешить входящие запросы AirPlay** - **Разрешить изменение Bluetooth** - **Разрешить изменение общего доступа по Bluetooth** - **Разрешить доступ приложения «Файлы» к сетевым дискам** - **Разрешить изменение общего доступа к интернету** - **Разрешить кэширование содержимого** - **Разрешить общий доступ к файлам iTunes** ## Сети Wi-Fi Нажмите **Добавить сеть Wi-Fi** и заполните: - **Имя сети (SSID)**: имя сети, до 32 символов. - **Безопасность**: нет (открытая сеть), WEP, WPA или WPA2, WPA2 или WPA3, только WPA3 или любая. - **Пароль**: пароль личной сети. - **Подключаться автоматически** и **Скрытая сеть** (для сетей, которые не транслируют своё имя). - **Прокси**: нет, вручную (сервер и порт) или автоматически (URL файла PAC; пусто — чтобы найти настройки в сети с помощью WPAD). - **Имя профиля** (необязательно) и **Применяется к**, чтобы ограничить сеть определёнными типами устройств. ### Корпоративные сети (802.1X) Включите **Корпоративная сеть (802.1X)**, когда пользователи аутентифицируются по своим учётным данным или сертификату вместо общего пароля. - **Аутентификация**: PEAP, TTLS (с внутренней аутентификацией, например MSCHAPv2) или TLS (только сертификат). - **Учётные данные пользователя устройства**: каждое устройство использует EAP-идентификатор, анонимный идентификатор и пароль своего пользователя, заданные на странице «Пользователи». Устройства без пользователя не получают сеть. - **Идентификатор**, **Анонимный идентификатор** и **Пароль**: одинаковые для каждого устройства. Идентификатор может содержать переменные $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ и $UDID$. Оставьте пароль пустым, чтобы пользователь ввёл его на устройстве. - **Сертификат идентификации**: клиентский сертификат, который представляет устройство (обязателен для TLS). См. параметры сертификатов ниже. - **Доверенные сертификаты**: сертификаты CA, которые выпустили сертификат вашего сервера RADIUS. Они устанавливаются вместе с сетью. - **Доверенные имена серверов**: имена сертификатов сервера RADIUS, которые принимают устройства, например radius.example.com или \*.example.com. ## VPN Нажмите **Добавить VPN**, чтобы настроить VPN IKEv2 или Cisco IPSec, встроенный в iOS, iPadOS и macOS (приложение VPN не требуется). - **Тип** и **Сервер**. Для IKEv2 также **Удалённый идентификатор** (идентификатор сервера; пусто означает адрес сервера) и **Локальный идентификатор**, который может содержать переменные $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ и $UDID$. - **Аутентификация** устройства: сертификат (со страницы «Сертификаты», сертификат пользователя устройства или запрошенный у сервера SCEP), общий секрет (с необязательным именем группы для IPSec) или ничего для серверов IKEv2, которые проверяют только имя пользователя и пароль. - **Доверенные сертификаты**: сертификаты CA вашего VPN-сервера, устанавливаемые вместе с VPN. Для IKEv2 вы также можете задать ожидаемые издателя и имя сертификата сервера. - **Имя пользователя и пароль**: пользователь также аутентифицируется по имени пользователя (переменные разрешены) и паролю (EAP для IKEv2, XAuth для IPSec). Оставьте пароль пустым, чтобы пользователь ввёл его на устройстве. - **Имя VPN** (отображается в «Настройках») и **Применяется к**. ### Подключение - **Пользователь подключается в «Настройках»**: VPN установлен, и пользователь включает его при необходимости. - **По требованию**: устройство подключает VPN автоматически. С параметром **кроме доверенных сетей Wi-Fi** VPN не используется в перечисленных вами сетях Wi-Fi, например в офисной сети. - **Всегда включён** (IKEv2, только iPhone и iPad под надзором): весь трафик проходит через VPN в сотовой сети и Wi-Fi, и пользователь не может выключить его. Другие устройства не получают этот VPN. Если в VPN используется имя пользователя, пароль должен быть задан в политике. - **VPN для отдельных приложений**: только некоторые приложения используют VPN. Выберите VPN для каждого приложения в разделе **Управление приложениями** (поле **VPN** приложения, недоступно на Mac) и при необходимости перечислите домены Safari, которые его используют.Сначала протестируйте VPN «Всегда включён» или «По требованию» на тестовом устройстве: если сервер недоступен, у устройства может не быть подключения.
## Глобальный прокси, шифрованный DNS и фильтр веб-содержимого Эти параметры применяются ко всему трафику устройства. Включайте их соответствующим переключателем. - **Глобальный HTTP-прокси** (iPhone и iPad под надзором, Mac): весь HTTP-трафик проходит через прокси в любой сети. Задайте сервер и порт (с необязательными именем пользователя и паролем) или автоматическую конфигурацию (URL файла PAC; пусто — чтобы найти её в сети). **Разрешить страницы входа Wi-Fi** позволяет пользователю входить в общедоступные сети Wi-Fi без прокси. - **Шифрованный DNS**: устройство разрешает имена с помощью вашего DNS-сервера через DNS over HTTPS (URL сервера) или DNS over TLS (имя сервера), при необходимости только для некоторых доменов. На устройствах под надзором вы можете запретить пользователю выключать его. - **Фильтр веб-содержимого** (iPhone и iPad под надзором): встроенный в iOS фильтр ограничивает сайты для взрослых, используя списки всегда разрешённых или всегда заблокированных веб-сайтов, либо разрешает только список веб-сайтов, отображаемых как закладки в Safari.Неверный прокси или DNS-сервер может оставить устройства без подключения: сначала опробуйте настройки на тестовом устройстве.
## Сертификаты Нажмите **Добавить сертификат**, чтобы установить сертификат отдельно: центр сертификации, которому должны доверять Safari и приложения, или идентификатор, используемый приложениями. Сертификаты сети Wi-Fi или VPN не нужно добавлять здесь. ### Параметры сертификатов - **Сертификат со страницы «Сертификаты»**: один и тот же сертификат на каждом устройстве. Нажмите **Выбрать сертификат**, чтобы выбрать его. - **Сертификат пользователя устройства**: каждое устройство получает клиентский сертификат, привязанный к его пользователю. Устройства, пользователь которых не имеет сертификата, его не получают. Когда вы привязываете к пользователю другой сертификат, устройства обновляются. - **Запрошен у сервера SCEP**: каждое устройство запрашивает собственный сертификат у вашего сервера SCEP (например, Microsoft NDES), поэтому закрытый ключ никогда не покидает устройство. Задайте URL сервера, запрос, если сервер его требует, субъект (например, CN=$EMAIL$), альтернативные имена, размер ключа и назначение ключа.Клиентские сертификаты (.p12), защищённые старым шифрованием RC2, нельзя установить на устройства Apple. Перед импортом экспортируйте их снова с шифрованием 3DES или AES.
## Безопасность Профили, содержащие пароли или закрытые ключи, отправляются только на устройство, для которого они созданы: устройство должно подписать свой запрос сертификатом управления. Пароли и сертификаты не записываются в журналы.