Ці патрэбен вам VPN для Apple MDM? Тры патрэбы доступу, адзін адказ
Apple MDM працуе на APNs і HTTPS, які ініцыюе прылада, а не на LAN-тунэлі. Аддзяліце кіраванне, сумесны доступ да экрана і доступ да прыватных праграм, перш чым дадаваць VPN.
Пытанне рэдка бывае пра тое, ці патрэбна кіраванню прыладамі Apple шыфраванне, бо яно патрэбна. Сапраўднае пытанне: ці патрэбны вашаму парку ўніверсальны VPN, перш чым Mac ці iPad можна будзе наогул кіраваць, і для большасці разгортванняў з кіраваннем праз інтэрнэт адказ — не. Apple дазваляе прыладзе дасягаць службы кіравання па сваім графіку, і важны трафік — гэта падпісаны канал каманд, а не сеанс працоўнага стала. Ці спрацуе гэта ў вас, залежыць ад трох умоў, і іх лёгка пераблытаць, бо знешне яны ўсе выглядаюць як аддалены доступ.
Назвіце патрэбу, перш чым выбіраць транспарт
Каманды кіравання і профілі канфігурацыі — гэта адна патрэба, інтэрактыўны сумесны доступ да экрана — другая, а доступ да прыватнай унутранай праграмы — трэцяя. У іх розныя ўладальнікі, розная аўтэнтыфікацыя і часта вельмі розная дапушчальная экспазіцыя. Змешванне іх разам — гэта шлях, якім парк атрымлівае публічны спіс партоў, які ніхто не можа абараніць.
Тры патрэбы не падзяляюць адзін транспарт:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Блытаніна звычайна пачынаецца са старога кантрольнага спісу сервера. Гістарычны дакумент OS X Server пералічвае доўгі набор партоў, і хтосьці перанакіроўвае іх усе на мяжы, бо служба кіравання недзе там. Гэта не архітэктура кіравання, і яна пашырае адкрытую паверхню далёка за межы плоскасці кіравання, якую вы спрабавалі апублікаваць.
Што насамрэч робіць push-апавяшчэнне
У дакументаваным працэсе Apple сервер кіравання адпраўляе апавяшчэнне APNs, каб паведаміць прыладзе, што яе чакае праца. Затым прылада адкрывае злучэнне з серверам кіравання і запытвае свае каманды. Push — гэта званок у дзверы, а не тунэль: ён не нясе адвольнай карыснай нагрузкі, ні сеанса аддаленага працоўнага стала, ні трафіку іншай праграмы.
Такім чынам, прылада павінна быць зарэгістравана ў патрэбнай службе, давяраць чаканым канчатковым кропкам і мець магчымасць дасягнуць як службы кіравання, так і службаў Apple, ад якіх залежыць працэс. Кіраўніцтва Apple па падрыхтоўцы сеткі пералічвае гэтыя залежнасці, і яны не з'яўляюцца прадметам перамоваў у гэтым працэсе. Сервер кіравання, які існуе толькі ўнутры вашай сеткі, усё яшчэ патрабуе падтрымоўванага шляху, якім прылада можа рэальна скарыстацца. Назваць гэта MDM не робіць недасяжную канчатковую кропку дасяжнай.
Трымайце дазволеныя шляхі яўнымі, уключаючы любую палітыку проксі і інспекцыі TLS пасярэдзіне. Прылада інспекцыі, якая ламае чаканы ланцуг сертыфікатаў, будзе выглядаць дакладна як зламаная рэгістрацыя.
Калі VPN — няправільны адказ
Калі ваша служба кіравання апублікавана ў інтэрнэце з належным сертыфікатам і прылада ініцыюе кожнае злучэнне, VPN дадае пераскок, не дадаючы сродку кантролю. Прылада ўжо аўтэнтыфікуецца сваёй ідэнтычнасцю рэгістрацыі, а сервер ужо вырашае, якія каманды ён прыме. Тунэль перад гэтым змяняе сеткавы шлях, а не рашэнне аб даверы.
Тая ж плоскасць кіравання можа таксама дастаўляць сам профіль VPN. Гэтая паслядоўнасць важная: кіраваная канфігурацыя VPN прыходзіць як чарговая карысная нагрузка, таму прыладзе не патрэбны існуючы тунэль, каб атрымаць профіль, які яго стварае.
Калі VPN — правільны адказ
Ёсць паркі, дзе канчатковая кропка кіравання ніколі не павінна быць дасяжнай з інтэрнэту, і гэта законны дызайн, а не недахоп рашучасці. Рэгуляваныя асяроддзі, невялікія ўнутраныя ІТ-каманды і серверы, якія таксама размяшчаюць іншыя адміністрацыйныя інтэрфейсы, часта трапляюць туды. У такім выпадку абаронены шлях доступу перад службай кіравання — гэта наўмысная архітэктура, а не абыход.
Сумесны доступ да экрана і доступ да прыватных праграм звычайна таксама належаць да таго боку лініі. Абодва адкрываюць значна больш, чым канал каманд, і абодва заслугоўваюць уласнай аўтэнтыфікацыі замест таго, каб ехаць на ідэнтычнасці рэгістрацыі.
Пастка першапачатковай загрузкі, якая ламае аднаўленне
Вось збой, супраць якога я б праектаваў: адзіны шлях да службы кіравання ідзе праз VPN, а профіль VPN ці ўліковыя даныя на прыладзе скончыліся. Прылада не можа дасягнуць сервера, каб забраць заменную каманду, а сервер не можа нічога праштурхнуць праз тунэль, які не ўзнімаецца. Аднаўленне цяпер залежыць ад карыстальніка, які можа быць за сотні міль.
Трымайце другі, незалежны шлях для аднаўлення: ці гэта пазапалосны канал кіравання, лакальны адміністратар або служба кіравання, якая застаецца дасяжнай без тунэлю. Праверце яго, пакуль усё працуе, бо падчас інцыдэнту вы не атрымаеце чыстай праверкі.
Затым запішыце, якой з трох патрэб служыць кожны шлях, і выдаліце перанакіраванні партоў, якія не служаць ніводнай з іх. Парк, якім можна кіраваць без агульнага тунэлю і які ўсё яшчэ можна адрамантаваць, калі зламаўся менавіта тунэль, — гэта вынік, дзеля якога варта праектаваць.