Apple MDM-এর জন্য কি VPN দরকার? তিনটি অ্যাক্সেস প্রয়োজন, একটি উত্তর
Apple MDM চলে APNs এবং ডিভাইস-শুরু করা HTTPS-এ, কোনো LAN টানেলে নয়। VPN যোগ করার আগে ম্যানেজমেন্ট, স্ক্রিন শেয়ারিং এবং ব্যক্তিগত অ্যাপ অ্যাক্সেস আলাদা করুন।
প্রশ্নটি খুব কমই এটা নিয়ে যে Apple ডিভাইস ম্যানেজমেন্টের এনক্রিপশন দরকার কি না, কারণ দরকার। আসল প্রশ্নটি হলো, একটি Mac বা iPad আদৌ ম্যানেজ করা সম্ভব হওয়ার আগেই আপনার ফ্লিটের একটি সাধারণ-উদ্দেশ্যের VPN দরকার কি না, এবং ইন্টারনেটে ম্যানেজ করা অধিকাংশ ডিপ্লয়মেন্টে উত্তরটি হলো না। Apple ডিভাইসটিকে নিজের সময়সূচি অনুযায়ী একটি ম্যানেজমেন্ট সার্ভিসে পৌঁছাতে দেয়, আর যে ট্রাফিকটি গুরুত্বপূর্ণ তা হলো একটি স্বাক্ষরিত কমান্ড চ্যানেল, ডেস্কটপ সেশন নয়। এটি আপনার জন্য কাজ করবে কি না তা তিনটি শর্তের উপর নির্ভর করে, এবং সেগুলো গুলিয়ে ফেলা সহজ, কারণ বাইরে থেকে সবগুলোই দূরবর্তী অ্যাক্সেসের মতো দেখায়।
ট্রান্সপোর্ট বাছাই করার আগে প্রয়োজনটির নাম দিন
ম্যানেজমেন্ট কমান্ড ও কনফিগারেশন প্রোফাইল একটি প্রয়োজন, ইন্টারঅ্যাকটিভ স্ক্রিন শেয়ারিং দ্বিতীয়টি, এবং একটি ব্যক্তিগত অভ্যন্তরীণ অ্যাপ্লিকেশনে পৌঁছানো তৃতীয়টি। এদের মালিক আলাদা, প্রমাণীকরণ আলাদা, এবং প্রায়শই গ্রহণযোগ্য এক্সপোজার খুব আলাদা। এগুলো একসাথে জড়ো করলেই একটি ফ্লিট এমন একটি পাবলিক পোর্ট তালিকা পায় যা কেউ রক্ষা করতে পারে না।
তিনটি প্রয়োজন একই ট্রান্সপোর্ট ভাগ করে না:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
বিভ্রান্তি সাধারণত একটি পুরোনো সার্ভার চেকলিস্ট দিয়ে শুরু হয়। একটি ঐতিহাসিক OS X Server নথি দীর্ঘ একটি পোর্ট তালিকা দেয়, আর কেউ সেগুলোর সবগুলো প্রান্তে ফরওয়ার্ড করে দেয় কারণ ম্যানেজমেন্ট সার্ভিসটি কোথাও সেখানে আছে। এটি কোনো ম্যানেজমেন্ট আর্কিটেকচার নয়, এবং এটি প্রকাশিত পৃষ্ঠতলকে আপনি যে কন্ট্রোল প্লেন প্রকাশ করতে চেয়েছিলেন তার অনেক বাইরে পর্যন্ত প্রসারিত করে।
পুশ বিজ্ঞপ্তি আসলে কী করে
Apple-এর নথিভুক্ত প্রবাহে ম্যানেজমেন্ট সার্ভার একটি APNs বিজ্ঞপ্তি পাঠিয়ে ডিভাইসকে জানায় যে কাজ অপেক্ষা করছে। এরপর ডিভাইস ম্যানেজমেন্ট সার্ভারের সাথে সংযোগ খোলে এবং তার কমান্ড চায়। পুশ হলো দরজার ঘণ্টা, টানেল নয়: এটি কোনো ইচ্ছামতো পেলোড বহন করে না, কোনো দূরবর্তী ডেস্কটপ সেশন নয়, এবং অন্য কোনো অ্যাপের ট্রাফিকও নয়।
তাই ডিভাইসটিকে অভীষ্ট সার্ভিসে এনরোল করা থাকতে হবে, প্রত্যাশিত এন্ডপয়েন্টগুলোতে বিশ্বাস করতে হবে, এবং ম্যানেজমেন্ট সার্ভিস ও প্রবাহটি যে Apple সার্ভিসগুলোর উপর নির্ভর করে সেগুলোতে পৌঁছাতে সক্ষম হতে হবে। Apple-এর নেটওয়ার্ক প্রস্তুতি নির্দেশিকা সেই নির্ভরতাগুলো তালিকাভুক্ত করে, এবং সেগুলো প্রবাহের আলোচনাসাপেক্ষ অংশ নয়। কেবল আপনার নেটওয়ার্কের ভিতরে থাকা একটি ম্যানেজমেন্ট সার্ভারের তবুও এমন একটি সমর্থিত পথ দরকার যা ডিভাইসটি সত্যিই ব্যবহার করতে পারে। এটিকে MDM বলা কোনো অগম্য এন্ডপয়েন্টকে গম্য করে না।
অনুমোদিত পথগুলো স্পষ্ট রাখুন, মাঝখানে যে প্রক্সি ও TLS পরিদর্শন নীতি থাকুক না কেন। যে পরিদর্শন ডিভাইস প্রত্যাশিত সার্টিফিকেট চেইন ভেঙে দেয় সেটি ঠিক একটি ভাঙা এনরোলমেন্টের মতোই দেখাবে।
কখন VPN ভুল উত্তর
যদি আপনার ম্যানেজমেন্ট সার্ভিস সঠিক সার্টিফিকেটসহ ইন্টারনেটে প্রকাশিত থাকে এবং প্রতিটি সংযোগ ডিভাইসই শুরু করে, তাহলে VPN কোনো নিয়ন্ত্রণ না যোগিয়ে একটি হপ যোগ করে। ডিভাইস ইতিমধ্যেই তার এনরোলমেন্ট পরিচয় দিয়ে প্রমাণীকরণ করে, আর সার্ভার ইতিমধ্যেই ঠিক করে কোন কমান্ড গ্রহণ করবে। তার সামনে একটি টানেল নেটওয়ার্ক পথ বদলায়, বিশ্বাসের সিদ্ধান্ত নয়।
একই কন্ট্রোল প্লেন VPN প্রোফাইলটিও সরবরাহ করতে পারে। এই ক্রমটিই গুরুত্বপূর্ণ: একটি ম্যানেজড VPN কনফিগারেশন আরেকটি পেলোড হিসেবেই আসে, তাই যে প্রোফাইল টানেলটি তৈরি করে তা পাওয়ার আগে ডিভাইসের টানেলটি থাকা প্রয়োজন নেই।
কখন VPN সঠিক উত্তর
এমন ফ্লিট আছে যেখানে ম্যানেজমেন্ট এন্ডপয়েন্ট কখনোই ইন্টারনেট থেকে গম্য হওয়া উচিত নয়, এবং এটি সাহসের অভাব নয়, বৈধ নকশা। নিয়ন্ত্রিত পরিবেশ, ছোট অভ্যন্তরীণ আইটি দল, এবং অন্য প্রশাসনিক ইন্টারফেসও হোস্ট করা সার্ভারগুলো প্রায়ই সেখানে পৌঁছায়। সেক্ষেত্রে ম্যানেজমেন্ট সার্ভিসের সামনে একটি সুরক্ষিত অ্যাক্সেস পথ ইচ্ছাকৃত আর্কিটেকচার, কোনো ঘুরপথ নয়।
স্ক্রিন শেয়ারিং ও ব্যক্তিগত অ্যাপ অ্যাক্সেস সাধারণত রেখার ওই দিকেই থাকে। দুটোই একটি কমান্ড চ্যানেলের চেয়ে অনেক বেশি উন্মোচন করে, এবং দুটোই এনরোলমেন্ট পরিচয়ের উপর চড়ার বদলে নিজস্ব প্রমাণীকরণের যোগ্য।
বুটস্ট্র্যাপ ফাঁদ যা রিকভারি ভেঙে দেয়
এই হলো সেই ব্যর্থতা যার বিরুদ্ধে আমি নকশা করতাম: ম্যানেজমেন্ট সার্ভিসে যাওয়ার একমাত্র পথ VPN-এর ভেতর দিয়ে যায়, আর ডিভাইসে থাকা VPN প্রোফাইল বা ক্রেডেনশিয়ালের মেয়াদ শেষ। ডিভাইসটি প্রতিস্থাপন কমান্ড নিতে সার্ভারে পৌঁছাতে পারে না, আর সার্ভারটি যে টানেল উঠবে না তার ভেতর দিয়ে কিছুই ঠেলে দিতে পারে না। রিকভারি এখন এমন একজন ব্যবহারকারীর উপর নির্ভর করে যিনি হয়তো শত শত মাইল দূরে।
রিকভারির জন্য একটি দ্বিতীয়, স্বাধীন পথ রাখুন, সেটি আউট-অব-ব্যান্ড ম্যানেজমেন্ট চ্যানেল, স্থানীয় প্রশাসক, বা এমন ম্যানেজমেন্ট সার্ভিস হতে পারে যা টানেল ছাড়াই গম্য থাকে। সবকিছু কাজ করার সময়ই এটি পরীক্ষা করুন, কারণ কোনো ঘটনার সময় আপনি পরিষ্কার পরীক্ষা পাবেন না।
তারপর লিখে রাখুন কোন পথটি তিনটি প্রয়োজনের কোনটিতে সেবা দেয়, এবং যেগুলো কোনোটিতেই সেবা দেয় না সেই পোর্ট ফরওয়ার্ডগুলো সরিয়ে দিন। যে ফ্লিট একটি সাধারণ টানেল ছাড়াই ম্যানেজ করা যায়, এবং যখন টানেলটাই ভাঙে তখনও মেরামত করা যায়, সেটাই নকশা করার মতো ফলাফল।