Skip to main content

Политика Apple: сеть

 Раздел Сеть редактора политик Apple настраивает сети Wi-Fi и VPN на устройствах, устанавливает сертификаты и ограничивает функции подключения, такие как AirDrop и Bluetooth. Каждая сеть Wi-Fi, VPN и сертификат устанавливаются как отдельный профиль конфигурации, который можно увидеть на устройстве в разделе Настройки > Основные > VPN и управление устройством и на панели Профили, сертификаты и безопасность страницы устройства.

 Сертификаты берутся со страницы Сертификаты: сначала импортируйте их там. Политика Apple:только ссылается на них, поэтому сертификат никогда не копируется в политику.

Ограничения

  • Разрешить AirDrop
  • Разрешить входящие запросы AirPlay
  • Разрешить изменение Bluetooth
  • Разрешить изменение общего доступа по Bluetooth
  • Разрешить доступ приложения «Файлы» к сетевым дискам
  • Разрешить изменение общего доступа к интернету
  • Разрешить кэширование содержимого
  • Разрешить общий доступ к файлам iTunes

Сети Wi-Fi

Нажмите Добавить сеть Wi-Fi и заполните:

  • Имя сети (SSID): имя сети, до 32 символов.
  • Безопасность: нет (открытая сеть), WEP, WPA или WPA2, WPA2 или WPA3, только WPA3 или любая.
  • Пароль: пароль личной сети.
  • Подключаться автоматически и Скрытая сеть (для сетей, которые не транслируют своё имя).
  • Прокси: нет, вручную (сервер и порт) или автоматически (URL файла PAC; пусто — чтобы найти настройки в сети с помощью WPAD).
  • Имя профиля (необязательно) и Применяется к, чтобы ограничить сеть определёнными типами устройств.

Корпоративные сети (802.1X)

Content loading.Включите Корпоративная сеть (802.1X), когда пользователи аутентифицируются по своим учётным данным или сертификату вместо общего пароля.

  • Аутентификация: PEAP, TTLS (с внутренней аутентификацией, например MSCHAPv2) или TLS (только сертификат).
  • Учётные данные пользователя устройства: каждое устройство использует EAP-идентификатор, анонимный идентификатор и пароль своего пользователя, заданные на странице «Пользователи». Устройства без пользователя не получают сеть.
  • Идентификатор, Анонимный идентификатор и Пароль: одинаковые для каждого устройства. Идентификатор может содержать переменные $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ и $UDID$. Оставьте пароль пустым, чтобы пользователь ввёл его на устройстве.
  • Сертификат идентификации: клиентский сертификат, который представляет устройство (обязателен для TLS). См. параметры сертификатов ниже.
  • Доверенные сертификаты: сертификаты CA, которые выпустили сертификат вашего сервера RADIUS. Они устанавливаются вместе с сетью.
  • Доверенные имена серверов: имена сертификатов сервера RADIUS, которые принимают устройства, например radius.example.com или *.example.com.

VPN

 Нажмите Добавить VPN, чтобы настроить VPN IKEv2 или Cisco IPSec, встроенный в iOS, iPadOS и macOS (приложение VPN не требуется).

  • Тип и Сервер. Для IKEv2 также Удалённый идентификатор (идентификатор сервера; пусто означает адрес сервера) и Локальный идентификатор, который может содержать переменные $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ и $UDID$.
  • Аутентификация устройства: сертификат (со страницы «Сертификаты», сертификат пользователя устройства или запрошенный у сервера SCEP), общий секрет (с необязательным именем группы для IPSec) или ничего для серверов IKEv2, которые проверяют только имя пользователя и пароль.
  • Доверенные сертификаты: сертификаты CA вашего VPN-сервера, устанавливаемые вместе с VPN. Для IKEv2 вы также можете задать ожидаемые издателя и имя сертификата сервера.
  • Имя пользователя и пароль: пользователь также аутентифицируется по имени пользователя (переменные разрешены) и паролю (EAP для IKEv2, XAuth для IPSec). Оставьте пароль пустым, чтобы пользователь ввёл его на устройстве.
  • Имя VPN (отображается в «Настройках») и Применяется к.

Подключение

  • Пользователь подключается в «Настройках»: VPN установлен, и пользователь включает его при необходимости.
  • По требованию: устройство подключает VPN автоматически. С параметром кроме доверенных сетей Wi-Fi VPN не используется в перечисленных вами сетях Wi-Fi, например в офисной сети.
  • Всегда включён (IKEv2, только iPhone и iPad под надзором): весь трафик проходит через VPN в сотовой сети и Wi-Fi, и пользователь не может выключить его. Другие устройства не получают этот VPN. Если в VPN используется имя пользователя, пароль должен быть задан в политике.
  • VPN для отдельных приложений: только некоторые приложения используют VPN. Выберите VPN для каждого приложения в разделе Управление приложениями (поле VPN приложения, недоступно на Mac) и при необходимости перечислите домены Safari, которые его используют.

 Сначала протестируйте VPN «Всегда включён» или «По требованию» на тестовом устройстве: если сервер недоступен, у устройства может не быть подключения.

Глобальный прокси, шифрованный DNS и фильтр веб-содержимого

Эти параметры применяются ко всему трафику устройства. Включайте их соответствующим переключателем.

  • Глобальный HTTP-прокси (iPhone и iPad под надзором, Mac): весь HTTP-трафик проходит через прокси в любой сети. Задайте сервер и порт (с необязательными именем пользователя и паролем) или автоматическую конфигурацию (URL файла PAC; пусто — чтобы найти её в сети). Разрешить страницы входа Wi-Fi позволяет пользователю входить в общедоступные сети Wi-Fi без прокси.
  • Шифрованный DNS: устройство разрешает имена с помощью вашего DNS-сервера через DNS over HTTPS (URL сервера) или DNS over TLS (имя сервера), при необходимости только для некоторых доменов. На устройствах под надзором вы можете запретить пользователю выключать его.
  • Фильтр веб-содержимого (iPhone и iPad под надзором): встроенный в iOS фильтр ограничивает сайты для взрослых, используя списки всегда разрешённых или всегда заблокированных веб-сайтов, либо разрешает только список веб-сайтов, отображаемых как закладки в Safari.

 Неверный прокси или DNS-сервер может оставить устройства без подключения: сначала опробуйте настройки на тестовом устройстве.

Сертификаты

 Нажмите Добавить сертификат, чтобы установить сертификат отдельно: центр сертификации, которому должны доверять Safari и приложения, или идентификатор, используемый приложениями. Сертификаты сети Wi-Fi или VPN не нужно добавлять здесь.

Параметры сертификатов

  • Сертификат со страницы «Сертификаты»: один и тот же сертификат на каждом устройстве. Нажмите Выбрать сертификат, чтобы выбрать его.
  • Сертификат пользователя устройства: каждое устройство получает клиентский сертификат, привязанный к его пользователю. Устройства, пользователь которых не имеет сертификата, его не получают. Когда вы привязываете к пользователю другой сертификат, устройства обновляются.
  • Запрошен у сервера SCEP: каждое устройство запрашивает собственный сертификат у вашего сервера SCEP (например, Microsoft NDES), поэтому закрытый ключ никогда не покидает устройство. Задайте URL сервера, запрос, если сервер его требует, субъект (например, CN=$EMAIL$), альтернативные имена, размер ключа и назначение ключа.

 Клиентские сертификаты (.p12), защищённые старым шифрованием RC2, нельзя установить на устройства Apple. Перед импортом экспортируйте их снова с шифрованием 3DES или AES.

Безопасность

 Профили, содержащие пароли или закрытые ключи, отправляются только на устройство, для которого они созданы: устройство должно подписать свой запрос сертификатом управления. Пароли и сертификаты не записываются в журналы.