Contents

O AnyConnect implementa a estrutura de VPN Knox da Samsung e é compatível com o Knox VPN SDK. Recomenda-se o uso do Knox versão 2.2 e superior com o AnyConnect. Todas as operações do IKnoxVpnService são suportadas. Para obter uma descrição detalhada de cada operação, consulte a documentação do IKnoxVpnService publicada pela Samsung.

Perfil Knox VPN JSON

Conforme exigido pela estrutura de VPN Knox, cada configuração de VPN é criada usando um objeto JSON. Este objeto fornece três seções principais da configuração:

1. Atributos gerais - "profile_attribute"

2. Atributos específicos do fornecedor (AnyConnect) - "fornecedor"

3. Atributos de perfil específicos de nós - "knox"

Campos de profile_attribute suportados

- profileName - Nome exclusivo para a entrada da conexão a ser exibida na lista de conexões da tela inicial do AnyConnect e no campo Description da entrada da conexão do AnyConnect. Recomendamos o uso de no máximo 24 caracteres para garantir que eles se encaixem na lista de conexões. Use letras, números ou símbolos no teclado exibido no dispositivo quando inserir texto em um campo. As letras diferenciam maiúsculas e minúsculas.

- vpn_type - O protocolo VPN usado para esta conexão. Os valores válidos são:

- ssl

- ipsec

- vpn_route_type - Os valores válidos são:

- 0 - VPN do sistema

- 1 - VPN por aplicativo

Para obter mais informações sobre os atributos de perfil comuns, consulte o Guia de integração de fornecedor do Samsung KNOX Framework.

A configuração específica do AnyConnect é especificada por meio da chave "AnyConnectVPNConnection" dentro da seção "fornecedor". Exemplo:

{

"KNOX_VPN_PARAMETERS": {

"profile_attribute": {

"profileName": "SSL VPN",

"vpn_type": "ssl",

"vpn_route_type": 0

},

"vendor": {

"AnyConnectVPNConnection": {

"host": "vpn.company.com"

}

}

}

}

Campos suportados do AnyConnectVPNConnection

- host - O nome de domínio, endereço IP ou URL de grupo do ASA com o qual se conectar. O AnyConnect insere o valor desse parâmetro no campo Endereço do servidor da entrada de conexão do AnyConnect.

- authentication - (opcional) Aplica-se somente quando vpn_type (in profile_attribute) é definido como "ipsec". Especifica o método de autenticação usado para uma conexão VPN IPsec Os valores válidos são:

- EAP-AnyConnect (valor padrão)

- EAP-GTC

- EAP-MD5

- EAP-MSCHAPv2

- IKE-PSK

- IKE-RSA

- IKE-ECDSA

- ike-identity - Usado somente se a autenticação estiver definida como EAP-GTC, EAP-MD5 ou EAP-MSCAPv2. Fornece a identidade IKE para esses métodos de autenticação.

- usergroup (opcional) O perfil de conexão (grupo de túneis) a ser usado ao se conectar ao host especificado. Se presente, usado em conjunto com HostAddress para formar um URL baseado em grupo. Se você especificar o protocolo principal como IPsec, o grupo de usuários deverá ser o nome exato do perfil de conexão (grupo de túneis). Para SSL, o grupo de usuários é group-url ou group-alias do perfil de conexão.

- certalias (opcional) - alias KeyChain de um certificado de cliente que deve ser importado do Android KeyChain. O usuário deve confirmar um prompt do sistema Android antes que o certificado possa ser usado pelo AnyConnect.

- ccmcertalias (opcional) - alias TIMA de um certificado de cliente que deve ser importado do repositório de certificados TIMA. Nenhuma ação do usuário é necessária para que o AnyConnect receba o certificado. Observe que: este certificado deve ter sido explicitamente listado para uso pelo AnyConnect (por exemplo, usando a API Knox CertificatePolicy).

Metadados do aplicativo de pacote VPN em linha

Os metadados de aplicativos em linha para pacotes VPN são um recurso exclusivo disponível nos dispositivos Samsung Knox. Ele é ativado pelo MDM e fornece ao AnyConnect o contexto do aplicativo de origem para aplicar políticas de roteamento e filtragem. É necessário para implementar certas políticas de filtragem de VPN por aplicativo do gateway VPN em dispositivos Android. As políticas são definidas para direcionar a id ou grupos específicos de aplicativos por meio de caracteres curinga e são comparadas com a id do aplicativo de origem de cada pacote de saída.

O painel MDM deve fornecer aos administradores uma opção para ativar metadados de pacote em linha. Como alternativa, o MDM pode codificar essa opção para sempre ser ativado para o AnyConnect, que usará-a de acordo com a política de headend.

Para obter mais informações sobre as políticas de VPN por aplicativo do AnyConnect, consulte a seção "Definir uma política de VPN por aplicativo para dispositivos Android" no Cisco AnyConnect Secure Mobility Client Administrator Guide.

Configuração MDM

Para habilitar metadados de pacotes em linha, defina "uidpid_search_enabled" como 1 no atributo específico Knox para uma configuração. Exemplo:

{

"KNOX_VPN_PARAMETERS": {

"profile_attribute": {

"profileName": "ac_knox_profile",

"vpn_type": "ssl",

"vpn_route_type": 1

},

"vendor": {

"AnyConnectVPNConnection": {

"host": "asa.acme.net"

}

},

"knox": {

"uidpid_search_enabled": 1

}

}

}