Sophos Mobile: Android Enterprise-verbindingen en certificaten beoordelen

Dit artikel helpt te bepalen welk Android Enterprise-beleid en welke certificaten een verbinding nodig heeft. Het beschrijft de gedocumenteerde instellingen, niet een wijziging die in de beoogde tenant is getest. Voordat je gewijzigd beleid aan productieapparaten toewijst, zijn een pilot en geteste toegang nodig die niet afhankelijk is van het betrokken wifinetwerk, de VPN of de proxy. Daarmee is nog niet aangetoond dat activering of herstel in de eigen tenant slaagt.

Benamingen: Duitse Sophos-benamingen in vet komen uit de Duitstalige Sophos-help; Engelse namen tussen haakjes verwijzen naar de Engelstalige brondocumentatie. Welke taal en welke aanklikbare benamingen de interface van de beoogde tenant daadwerkelijk toont, is niet gecontroleerd.

Bepaal eerst de beheermodus en uitgangssituatie

Welke verbinding moet worden gewijzigd: EAP-wifi (inclusief een wissel van CA of servernaam), SCEP-/clientcertificaat, VPN-app of HTTP-proxy? Controleer daarvoor eerst de beheermodus, het beleidstype, de licentie en de Android-versie van het beoogde apparaat. Sophos behandelt Android Enterprise-apparaatbeleid voor full device en werkprofielbeleid voor work profile afzonderlijk. Een instelling in het werkprofiel toont niet aan dat privé-apps toegang hebben tot de certificaten ervan, of dat VPN of wifi op het hele apparaat worden beïnvloed.

Houd drie certificaatrollen uit elkaar

• SCEP-server-CA: Vertrouwensanker voor de SCEP-server; voeg deze vóór de SCEP-configuratie als Stammzertifikat (Engelstalige Sophos-help: Root certificate) toe aan hetzelfde beleid.
• Uitgegeven clientcertificaat: Identiteit voor de beoogde app of verbinding. Een geüpload Client-Zertifikat (Engelstalige Sophos-help: Client certificate, .pfx) en een via SCEP uitgegeven certificaat zijn verschillende configuratieroutes.
• EAP-server-CA: Vertrouwensanker om de wifiserver te controleren; controleer deze samen met de verwachte servernaam. Dit hoeft niet dezelfde CA te zijn als de SCEP-server-CA. Controleer de juiste keten voor elk doel afzonderlijk in plaats van een onbekende CA te vertrouwen.

Android Enterprise-apparaatbeleid (full device)

De configuratie Client-Zertifikat (Client certificate in de Engelstalige Sophos-help) uploadt PKCS #12 (.pfx). Andere configuraties van hetzelfde beleid kunnen dit certificaat gebruiken; voor een ander beleid is opnieuw uploaden nodig. Stammzertifikat (Root certificate in de Engelstalige Sophos-help) neemt een X.509-rootcertificaat in PEM- of DER-formaat op en installeert het bij toewijzing; alleen configuraties van hetzelfde beleid kunnen het selecteren.

SCEP vereist dat de SCEP-server-CA als Stammzertifikat-configuratie in hetzelfde beleid aanwezig is. De SCEP-URL, challenge-URL en de bijbehorende autorisatie, het onderwerp (Subject in de Engelstalige Sophos-help) en eventueel SAN, CA, sleutellengte en gebruiksdoel moeten passen bij de eigen PKI; na vervanging van de plaatshouders moet het onderwerp een geldige X.500-naam zijn. Het bestaan van de instelling bewijst noch uitgifte noch vernieuwing.

Android Enterprise-werkprofielbeleid (work profile)

Client-Zertifikat (Client certificate in de Engelstalige Sophos-help) uploadt hier eveneens PKCS #12 (.pfx); het certificaat is beschikbaar voor Managed-Google-Play-apps in het werkprofiel en andere configuraties van hetzelfde beleid, maar niet aantoonbaar voor privé-apps. Voor een ander beleid is opnieuw uploaden nodig. Stammzertifikat (Root certificate in de Engelstalige Sophos-help) installeert het PEM-/DER-X.509-rootcertificaat bij toewijzing in het werkprofiel en stelt het beschikbaar voor configuraties van hetzelfde beleid.

SCEP vereist ook hier eerst de SCEP-server-CA als Stammzertifikat in hetzelfde beleid. Uitgegeven certificaten zijn beschreven voor apps in het werkprofiel; daaruit volgt noch beschikbaarheid op het hele apparaat noch automatische vernieuwing. Controleer URL, challenge, onderwerp/X.500, CA, sleutellengte en gebruik afzonderlijk.

Grens voor beide modi: De Sophos-wifi-instelling (Wi-Fi in de Engelstalige help) toont in het veld Identitätszertifikat (Identity certificate) Client-Zertifikat-configuraties uit hetzelfde beleid. Rechtstreekse selectie van een uitgegeven SCEP-certificaat in dit veld is niet aangetoond. Dit artikel behandelt niet de inrichting van de SCEP-server in de tenant, de bereikbaarheid ervan of de autorisaties voor CA en challenge.

Controleer elk type verbinding afzonderlijk

EAP-wifi: Bij EAP/PEAP, EAP/TLS en EAP/TTLS moet de SSID zichtbaar worden uitgezonden; WEP-beleid kan niet worden toegewezen aan apparaten vanaf Android 12. Het EAP-identiteitscertificaat (helpveld Identitätszertifikat, Engels Identity certificate) en het root-vertrouwensanker (helpveld Vertrauenswürdiges Zertifikat, Engels Trusted certificate) worden gekozen uit configuraties van hetzelfde beleid. Voor de verwachte servernaam adviseert Sophos Domänen-Prüfung (Domain suffix match in de Engelstalige help) tegen dNSName in de subjectAltName (SAN) van het servercertificaat, in plaats van de minder strikte SAN-Prüfung (Subject alternative name match in de Engelstalige help) via een substring. Een suffix is geen exacte koppeling aan een hostnaam: example.com komt ook overeen met server.example.com; meerdere met puntkomma’s gescheiden waarden gelden als alternatieven en wildcards zijn niet toegestaan. Vergelijk daarom vóór toewijzing de werkelijk verwachte RADIUS-/EAP-servernamen, een zo nauw mogelijk suffix en de CA-keten. Zonder apparaattest blijft onduidelijk welk effect werkprofielbeleid heeft op de wifi van het hele apparaat.

VPN-app: In beide modi wordt een al geïnstalleerde Managed-Google-Play-VPN-client geselecteerd. De verbinding wordt ingesteld via de beheerde appconfiguratie; dit beschrijft de inrichting in de app, niet een hier geverifieerde aanklikbare Sophos-optie met de naam Managed Configuration. De beleidsinstelling alleen bewijst geen tunnel, protocol, Always-on of «Block without VPN», en bij een werkprofiel evenmin een tunnel voor al het apparaatverkeer.

Globaler HTTP-Proxy (Global HTTP proxy in de Engelstalige Sophos-help): Alleen gedocumenteerd voor het hier onderzochte apparaatbeleid: bedrijfsproxy met server en poort of een PAC-URL. Daaruit volgt noch een overeenkomstige werkprofielinstelling noch een effect op al het niet-HTTP-verkeer. Een onbereikbare proxy of een foutieve PAC kan de toegang voor beheer en apps verstoren.

Controleer vóór toewijzing aan productieapparaten

1. Vooraf: Controleer in de beoogde tenant de licentie, Android-versie en daadwerkelijk beschikbare beleidstypen. Behoud het bestaande werkende beleid en de CA-ketens. Test vooraf toegang voor beheer en netwerk zonder het betrokken wifinetwerk, de VPN of de proxy. Leg geen privésleutels, geheimen of challenge-waarden vast in tickets of artikelen.
2. Afzonderlijke testapparaten of -groepen per modus: Observeer het effectieve beleid en de beschikbaarheid van certificaten in het juiste profiel, de verwachte EAP-serveridentiteit en vertrouwensketen, en de daadwerkelijke uitgifte, vervaldatum en vernieuwing van SCEP-certificaten. Controleer afhankelijk van de uitgangssituatie de VPN-app en -tunnel, de bereikbaarheid van proxy/PAC, de app-toegang en de beheercheck-in. Verwijder bij een CA-wissel de oude CA pas nadat alle afhankelijke verbindingen zijn gecontroleerd.
3. Stoppen en herstel: Als serveridentiteit, certificaatgebruik of -vernieuwing, verbinding, app-toegang of check-in niet aantoonbaar werken: schort de toewijzing aan verdere apparaten op. Werk alleen via de vooraf geteste onafhankelijke toegang een werkend beleid bij of wijs het opnieuw toe, en controleer het herstel van de verbinding en de certificaat-/VPN-status. Een apparaat dat offline is geraakt, is niet betrouwbaar bereikbaar via een wijziging van cloudbeleid; een onmiddellijke rollback op afstand is niet gegarandeerd. De Engelstalige Sophos-help beschrijft het verwijderen van een beleid voor afzonderlijke apparaten (Uninstall policy) niet voor deze Android Enterprise-beleidstypen; dit is geen hier geverifieerde knopnaam in de beoogde tenant.

Zolang het gewenste effect in de pilot of de onafhankelijke herstelroute niet is aangetoond, wijs je het gewijzigde beleid niet toe aan productieapparaten. De beschreven instellingen vervangen deze controles niet.