هل تحتاج إلى VPN لإدارة أجهزة Apple؟ ثلاث حاجات وصول وجواب واحد
تعمل إدارة أجهزة Apple عبر APNs واتصالات HTTPS التي يبدأها الجهاز، لا عبر نفق شبكة محلية. افصل الإدارة ومشاركة الشاشة والوصول إلى التطبيقات الخاصة قبل إضافة VPN.
نادرًا ما يكون السؤال هو ما إذا كانت إدارة أجهزة Apple تحتاج إلى تشفير، لأنها تحتاج إليه فعلًا. السؤال الحقيقي هو ما إذا كان أسطولك بحاجة إلى VPN عامة الأغراض قبل أن يصبح من الممكن إدارة جهاز Mac أو iPad على الإطلاق، وفي معظم عمليات النشر المُدارة عبر الإنترنت تكون الإجابة لا. تتيح Apple للجهاز الوصول إلى خدمة إدارة وفق جدوله الخاص، والحركة التي تهم هنا هي قناة أوامر موقّعة لا جلسة سطح مكتب. وما إذا كان ذلك يناسبك يعود إلى ثلاثة شروط، ويسهل الخلط بينها لأنها تبدو من الخارج كلها كوصول عن بُعد.
سمِّ الحاجة قبل أن تختار وسيلة النقل
أوامر الإدارة وملفات تعريف التكوين حاجة واحدة، ومشاركة الشاشة التفاعلية حاجة ثانية، والوصول إلى تطبيق داخلي خاص حاجة ثالثة. ولكل منها مالك مختلف ومصادقة مختلفة، وغالبًا درجة تعرّض مقبولة مختلفة جدًا. وخلطها معًا هو الطريق الذي ينتهي به الأسطول إلى قائمة منافذ عامة لا يستطيع أحد الدفاع عنها.
الحاجات الثلاث لا تتشارك وسيلة نقل واحدة:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
يبدأ الالتباس عادة بقائمة تحقق قديمة للخادم. فوثيقة تاريخية من OS X Server تسرد مجموعة طويلة من المنافذ، فيقوم أحدهم بإعادة توجيهها كلها عند الحافة لأن خدمة الإدارة موجودة في مكان ما بينها. وهذا ليس معمارية إدارة، بل يوسّع السطح المكشوف إلى ما يتجاوز بكثير مستوى التحكم الذي كنت تحاول نشره.
ما الذي يفعله إشعار الدفع فعليًا
في التدفق الموثّق من Apple، يرسل خادم الإدارة إشعار APNs ليقول للجهاز إن هناك عملًا ينتظره. ثم يفتح الجهاز اتصالًا بخادم الإدارة ويطلب أوامره. الدفع جرس باب، لا نفق: فهو لا يحمل أي حمولة اعتباطية، ولا جلسة سطح مكتب بعيد، ولا حركة أي تطبيق آخر.
لذلك يجب أن يكون الجهاز مسجّلًا في الخدمة المقصودة، وأن يثق بالنقاط الطرفية المتوقعة، وأن يستطيع الوصول إلى خدمة الإدارة وإلى خدمات Apple التي يعتمد عليها التدفق. ويسرد إرشاد Apple لتحضير الشبكة تلك التبعيات، وهي ليست أجزاء قابلة للتفاوض في التدفق. وخادم إدارة موجود داخل شبكتك فقط يظل بحاجة إلى مسار مدعوم يستطيع الجهاز استخدامه فعلًا. وتسميته MDM لا تجعل نقطة طرفية غير قابلة للوصول قابلة للوصول.
أبقِ المسارات المسموح بها صريحة، بما في ذلك أي سياسة وكيل وفحص TLS تقع في المنتصف. فجهاز فحص يكسر سلسلة الشهادات المتوقعة سيبدو تمامًا كتسجيل معطوب.
حين تكون VPN الجواب الخاطئ
إذا كانت خدمة الإدارة منشورة على الإنترنت بشهادة صحيحة وكان الجهاز هو من يبدأ كل اتصال، فإن VPN تضيف قفزة دون أن تضيف ضابطًا. فالجهاز يوثّق نفسه أصلًا بهوية التسجيل، والخادم يقرر أصلًا أي الأوامر سيقبل. والنفق أمام ذلك يغيّر مسار الشبكة، لا قرار الثقة.
ويمكن لمستوى التحكم نفسه أن يسلّم ملف تعريف VPN ذاته. وهذا الترتيب مهم: يصل تكوين VPN المُدار كحمولة أخرى فحسب، فلا يحتاج الجهاز إلى وجود النفق قبل أن يتلقى ملف التعريف الذي ينشئه.
حين تكون VPN الجواب الصحيح
هناك أساطيل يجب ألا تكون فيها نقطة الإدارة قابلة للوصول من الإنترنت أبدًا، وهذا تصميم مشروع وليس خورًا. والبيئات المنظّمة، وفرق تقنية المعلومات الداخلية الصغيرة، والخوادم التي تستضيف واجهات إدارية أخرى تنتهي غالبًا إلى هناك. وفي هذه الحالة يكون مسار وصول محمي أمام خدمة الإدارة معمارية مقصودة، لا حلًا بديلًا.
تنتمي مشاركة الشاشة والوصول إلى التطبيقات الخاصة عادة إلى ذلك الجانب من الخط أيضًا. فكلاهما يكشف أكثر بكثير من قناة أوامر، وكلاهما يستحق مصادقته الخاصة بدلًا من الركوب على هوية التسجيل.
فخ التمهيد الذي يكسر الاستعادة
هذا هو العطل الذي كنت سأصمم ضده: المسار الوحيد إلى خدمة الإدارة يمر عبر VPN، وملف تعريف VPN أو بيانات الاعتماد على الجهاز منتهية الصلاحية. فلا يستطيع الجهاز الوصول إلى الخادم لجمع أمر بديل، ولا يستطيع الخادم دفع أي شيء عبر نفق لن يعمل. وتعتمد الاستعادة الآن على مستخدم قد يكون على بُعد مئات الأميال.
احتفظ بمسار ثانٍ مستقل للاستعادة، سواء كان قناة إدارة خارج النطاق، أو مسؤولًا محليًا، أو خدمة إدارة تبقى قابلة للوصول دون النفق. واختبره بينما كل شيء يعمل، لأنك لن تحصل على اختبار نظيف أثناء حادث.
ثم اكتب أي الحاجات الثلاث يخدمها كل مسار، وأزل إعادة توجيه المنافذ التي لا تخدم أيًا منها. والأسطول الذي يمكن إدارته دون نفق عام، ويمكن إصلاحه حين يكون النفق هو الشيء الذي انكسر، هو النتيجة التي يستحق التصميم من أجلها.