Operation Manual

Kapitel 4 Infrastruktur und Integration 42
•
Verwenden Sie die Einstellung „Auto“, um das Gerät mit einer Datei zur automatischen
Proxykonguration mittels PAC oder WPAD zu versehen. Geben Sie für PACS die URL der
PACS- oder JavaScript-Datei an. Für WPAD ruft iOS über DHCP und DNS die entsprechenden
Einstellungen ab.
Die VPN-Proxykonguration wird verwendet, wenn das VPN Folgendes bereitstellt:
•
Den Standardauöser und die Standardroute: Der VPN-Proxy wird für alle Webanforderungen
auf dem System verwendet.
•
Einen Split Tunnel: Nur Verbindungen zu Hosts, die der DNS-Suchdomain des VPNs entspre-
chen, verwenden den VPN-Proxy.
Authentizierungsmethoden
iOS unterstützt die folgenden Authentizierungsmethoden:
•
IPsec-Authentizierung mit Pre-Shared-Schlüssel und einer Benutzerauthentizierung
via xauth.
•
Client- und Serverzertikate für die IPsec-Authentizierung mit optionaler
Benutzerauthentizierung via xauth.
•
Hybrid-Authentizierung, bei der vom Server ein Zertikat und vom Client ein Pre-Shared-
Schlüssel für die IPsec-Authentizierung bereitgestellt wird. Die Benutzerauthentizierung
erfolgt via xauth.
•
Benutzerauthentizierung erfolgt via xauth und umfasst die folgenden
Authentizierungsmethoden:
•
Benutzername mit Passwort
•
RSA-SecurID
•
CRYPTOCard
Authentizierungsgruppen
Das Cisco Unity-Protokoll verwendet Authentizierungsgruppen, um Benutzer basierend auf
einer Reihe gemeinsamer Parameter zu gruppieren. Sie sollten eine Authentizierungsgruppe
für die Benutzer der iOS-Benutzer erstellen. Bei einer Authentizierung mit Pre-Shared-Schlüssel
und einer Hybrid-Authentizierung muss der Gruppenname auf dem Gerät so konguriert
werden, dass der Pre-Shared-Schlüssel („Shared Secret“) der Gruppe als Passwort für die Gruppe
verwendet wird.
Bei der Verwendung der Zertikatauthentizierung wird kein Schlüssel („Shared Secret“)
verwendet. Die Gruppe eines Benutzers ergibt sich aus Feldern des Zertikats. Mithilfe der
Cisco-Servereinstellungen lassen sich Felder eines Zertikats Benutzergruppen zuweisen.
RSA-Sig muss in der ISAKMP-Prioritätenliste die höchste Priorität haben.
Zertikate
Wenn Sie Zertikate einrichten und installieren:
•
Das Identitätszertikat des Servers muss den DNS-Namen oder die IP-Adresse des Servers im
Feld für den alternativen Benutzernamen (SubjectAltName) enthalten. Das Gerät überprüft
anhand dieser Informationen, ob das Zertikat zum Server gehört. Sie können den alternativen
Benutzernamen mit Platzhalterzeichen angeben (z. B. „vpn.*.mycompany.com“), die ein
segmentweises Abgleichen und damit mehr Flexibilität ermöglichen. Wenn der
SubjectAltName nicht angegeben wird, können Sie den DNS-Namen im Feld für den
allgemeinen Namen angeben.