Apple MDM üçün VPN lazımdırmı? Üç giriş ehtiyacı, bir cavab
Apple MDM APNs və cihazın özünün başlatdığı HTTPS üzərində işləyir, LAN tuneli üzərində deyil. VPN əlavə etməzdən əvvəl idarəetməni, ekran paylaşımını və xüsusi tətbiq girişini ayırın.
Sual nadir hallarda Apple cihaz idarəetməsinin şifrələməyə ehtiyacı olub-olmamasıdır, çünki ehtiyacı var. Əsl sual budur: bir Mac və ya iPad ümumiyyətlə idarə oluna bilməzdən əvvəl parkınızın ümumi təyinatlı VPN-ə ehtiyacı varmı, və internet üzərindən idarə olunan əksər quraşdırmalar üçün cavab xeyr. Apple cihazın idarəetmə xidmətinə öz cədvəli ilə çatmasına imkan verir, və vacib olan trafik masaüstü sessiyası deyil, imzalanmış əmr kanalıdır. Bunun sizin üçün işləyib-işləməməsi üç şərtdən asılıdır, və onları qarışdırmaq asandır, çünki kənardan hamısı uzaqdan giriş kimi görünür.
Nəqliyyat seçməzdən əvvəl ehtiyacı adlandırın
İdarəetmə əmrləri və konfiqurasiya profilləri bir ehtiyacdır, interaktiv ekran paylaşımı ikincidir, xüsusi daxili tətbiqə çatmaq isə üçüncüdür. Onların sahibləri fərqlidir, autentifikasiyaları fərqlidir və çox vaxt məqbul məruz qalma dərəcələri tamamilə fərqlidir. Onları bir yerə yığmaq parkın heç kimin müdafiə edə bilmədiyi açıq port siyahısı ilə nəticələnməsinin yoludur.
Üç ehtiyac eyni nəqliyyatı paylaşmır:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Qarışıqlıq adətən köhnə server yoxlama siyahısı ilə başlayır. Tarixi OS X Server sənədi uzun bir port dəsti sadalayır, və kimsə idarəetmə xidməti orada haradasa olduğu üçün hamısını kənarda yönləndirir. Bu idarəetmə arxitekturası deyil və məruz qalmış səthi yayımlamağa çalışdığınız nəzarət müstəvisindən qat-qat genişləndirir.
Push bildirişi əslində nə edir
Apple-ın sənədləşdirilmiş axınında idarəetmə serveri cihaza işin gözlədiyini bildirmək üçün APNs bildirişi göndərir. Sonra cihaz idarəetmə serverinə qoşulur və əmrlərini soruşur. Push qapı zəngidir, tunel deyil: heç bir ixtiyari yük, heç bir uzaq masaüstü sessiyası və başqa tətbiqin trafiki daşımır.
Yəni cihaz nəzərdə tutulan xidmətə qeydiyyatdan keçməli, gözlənilən son nöqtələrə etibar etməli və həm idarəetmə xidmətinə, həm də axının asılı olduğu Apple xidmətlərinə çata bilməlidir. Apple-ın şəbəkə hazırlığı təlimatı bu asılılıqları sadalayır və onlar axının danışıq mövzusu olmayan hissələridir. Yalnız şəbəkənizin içində mövcud olan idarəetmə serveri yenə də cihazın həqiqətən istifadə edə biləcəyi dəstəklənən yol tələb edir. Onu MDM adlandırmaq əlçatmaz son nöqtəni əlçatan etmir.
İcazə verilən yolları açıq saxlayın, ortada duran proxy və TLS yoxlama siyasəti də daxil olmaqla. Gözlənilən sertifikat zəncirini pozan yoxlama cihazı tam olaraq pozulmuş qeydiyyat kimi görünəcək.
VPN səhv cavab olanda
İdarəetmə xidmətiniz düzgün sertifikatla internetdə yayımlanıbsa və hər bağlantını cihaz başladırsa, VPN nəzarət əlavə etmədən bir atlama əlavə edir. Cihaz artıq qeydiyyat kimliyi ilə autentifikasiya edir, server isə artıq hansı əmrləri qəbul edəcəyini qərarlaşdırır. Bunun qabağına qoyulan tunel şəbəkə yolunu dəyişir, etimad qərarını deyil.
Eyni nəzarət müstəvisi VPN profilinin özünü də çatdıra bilər. Bu sıra vacibdir: idarə olunan VPN konfiqurasiyası sadəcə başqa bir yük kimi gəlir, yəni cihaz onu yaradan profili qəbul etməzdən əvvəl tunelin mövcud olmasına ehtiyac duymur.
VPN düzgün cavab olanda
Elə parklar var ki, orada idarəetmə son nöqtəsi heç vaxt internetdən əlçatan olmamalıdır, və bu cəsarət çatışmazlığı deyil, qanuni dizayndır. Tənzimlənən mühitlər, kiçik daxili İT komandaları və digər inzibati interfeyslərə də ev sahibliyi edən serverlər çox vaxt orada qərarlaşır. Bu halda idarəetmə xidmətinin qabağında qorunan giriş yolu məqsədli arxitekturadır, müvəqqəti həll deyil.
Ekran paylaşımı və xüsusi tətbiq girişi adətən də həmin xəttin o tərəfinə aiddir. Hər ikisi əmr kanalından qat-qat çox şey açır və hər ikisi qeydiyyat kimliyinin üstündə getmək əvəzinə öz autentifikasiyasına layiqdir.
Bərpanı pozan ilkin quraşdırma tələsi
Budur qarşı dizayn edəcəyim nasazlıq: idarəetmə xidmətinə yeganə yol VPN-dən keçir, cihazdakı VPN profili və ya etimadnaməsi isə vaxtı keçib. Cihaz əvəzedici əmr götürmək üçün serverə çata bilmir, server isə qalxmayacaq tuneldən heç nə göndərə bilmir. Bərpa indi yüzlərlə mil uzaqda ola bilən istifadəçidən asılıdır.
Bərpa üçün ikinci, müstəqil yol saxlayın: bu, bantdan kənar idarəetmə kanalı, yerli administrator və ya tunelsiz əlçatan qalan idarəetmə xidməti ola bilər. Hər şey işləyəndə onu sınaqdan keçirin, çünki insident zamanı təmiz sınaq əldə etməyəcəksiniz.
Sonra hər yolun üç ehtiyacdan hansına xidmət etdiyini yazın və heç birinə xidmət etməyən port yönləndirmələrini silin. Ümumi tunel olmadan idarə oluna bilən, tunel sınan şey olduqda isə yenə də təmir edilə bilən park dizayn etməyə dəyər nəticədir.