A oes angen VPN ar gyfer Apple MDM? Tair angen mynediad, un ateb
Mae Apple MDM yn gweithio ar APNs a HTTPS a gychwynnir gan y ddyfais, nid ar dwnel LAN. Gwahanwch reoli, rhannu sgrin a mynediad at apiau preifat cyn ychwanegu VPN.
Anaml yw'r cwestiwn ynghylch a oes angen amgryptio ar reolaeth dyfeisiau Apple, oherwydd mae ei angen. Y cwestiwn go iawn yw a oes angen VPN pwrpas cyffredinol ar eich llu cyn y gellir rheoli Mac neu iPad o gwbl, ac ar gyfer y rhan fwyaf o osodiadau a reolir dros y rhyngrwyd, yr ateb yw na. Mae Apple yn caniatáu i'r ddyfais gyrraedd gwasanaeth rheoli ar ei hamserlen ei hun, a'r traffig sy'n cyfrif yw sianel gorchmynion llofnodwyd, nid sesiwn bwrdd gwaith. A fydd hynny'n gweithio i chi sy'n dibynnu ar dair amod, ac mae'n hawdd eu cymysgu oherwydd o'r tu allan maen nhw i gyd yn edrych fel mynediad o bell.
Enwch yr angen cyn i chi ddewis cludiant
Gorchmynion rheoli a phroffiliau cyfluniad yw un angen, rhannu sgrin rhyngweithiol yw'r ail, a chyrraedd ap mewnol preifat yw'r trydydd. Mae ganddynt berchnogion gwahanol, dilysiant gwahanol, ac yn aml ddatguddiad derbyniol gwahanol iawn. Mae eu cymysgu gyda'i gilydd yw sut y mae llu yn gorffen gyda rhestr porthladdoedd cyhoeddus na all neb ei hamddiffyn.
Nid yw'r tri angen yn rhannu un cludiant:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Mae'r dryswch fel arfer yn dechrau gyda hen restr wirio gweinydd. Mae dogfen hanesyddol ar gyfer OS X Server yn rhestru casgliad hir o borthladdoedd, ac mae rhywun yn anfon y cyfan ymlaen ar yr ymyl oherwydd bod y gwasanaeth rheoli yno yn rhywle. Nid yw hynny'n bensaernïaeth rheoli, ac mae'n ehangu'r wyneb agored ymhell y tu hwnt i'r awyren reoli yr oeddech yn ceisio ei chyhoeddi.
Beth mae'r hysbysiad gwthio yn ei wneud mewn gwirionedd
Yng nghwrs dogfennol Apple, mae'r gweinydd rheoli yn anfon hysbysiad APNs i ddweud wrth y ddyfais bod gwaith yn aros. Yna mae'r ddyfais yn agor cysylltiad â'r gweinydd rheoli ac yn gofyn am ei gorchmynion. Cloch drws yw'r gwthiad, nid twnel: nid yw'n cario unrhyw lwyth mympwyol, na sesiwn bwrdd gwaith o bell, nac unrhyw draffig ap arall.
Felly mae'n rhaid i'r ddyfais fod wedi'i chofrestru gyda'r gwasanaeth a fwriadwyd, ymddiried yn y pwyntiau terfyn a ddisgwylir, a gallu cyrraedd y gwasanaeth rheoli a'r gwasanaethau Apple y mae'r cwrs yn dibynnu arnynt. Mae arweiniad Apple ar baratoi'r rhwydwaith yn rhestru'r dibyniaethau hynny, ac nid ydynt yn rhannau y gellir eu trafod o'r cwrs. Mae gweinydd rheoli sy'n bodoli yn eich rhwydwaith yn unig yn dal i fod angen llwybr a gefnogir y gall y ddyfais ei ddefnyddio mewn gwirionedd. Nid yw galw hynny'n MDM yn gwneud pwynt terfyn anghyrraeddadwy yn gyrraeddadwy.
Cadwch y llwybrau a ganiateir yn eglur, gan gynnwys unrhyw bolisi dirprwy ac archwiliad TLS sydd yn y canol. Bydd offeryn archwilio sy'n torri'r gadwyn dystysgrifau a ddisgwylir yn edrych yn union fel cofrestriad wedi torri.
Pan fo'r VPN yn ateb anghywir
Os yw eich gwasanaeth rheoli wedi'i gyhoeddi ar y rhyngrwyd gyda thystysgrif briodol a'r ddyfais yn cychwyn pob cysylltiad, mae VPN yn ychwanegu naid heb ychwanegu rheolaeth. Mae'r ddyfais eisoes yn dilysu gyda'i hunaniaeth gofrestru, ac mae'r gweinydd eisoes yn penderfynu pa orchmynion y bydd yn eu derbyn. Mae twnel o flaen hynny yn newid y llwybr rhwydwaith, nid y penderfyniad ymddiriedaeth.
Gall yr un awyren reoli ddanfon y proffil VPN ei hun hefyd. Mae'r drefn honno'n bwysig: mae cyfluniad VPN a reolir yn cyrraedd fel llwyth arall, felly nid oes angen i'r twnel fodoli cyn i'r ddyfais dderbyn y proffil sy'n ei greu.
Pan fo'r VPN yn ateb cywir
Mae yna luoedd lle na ddylai'r pwynt terfyn rheoli fod yn gyrraeddadwy o'r rhyngrwyd byth, ac mae hynny'n ddyluniad dilys yn hytrach na diffyg menter. Mae amgylcheddau rheoledig, timau TG mewnol bach, a gweinyddwyr sy'n cynnal rhyngwynebau gweinyddol eraill hefyd yn aml yn glanio yno. Yn yr achos hwnnw mae llwybr mynediad gwarchodedig o flaen y gwasanaeth rheoli yn bensaernïaeth fwriadol, nid yn waith o amgylch.
Mae rhannu sgrin a mynediad at apiau preifat fel arfer yn perthyn i'r ochr honno o'r llinell hefyd. Mae'r ddau yn datgelu llawer mwy na sianel gorchmynion, ac mae'r ddau yn haeddu eu dilysiant eu hunain yn lle marchogaeth ar hunaniaeth gofrestru.
Y trap cychwyn sy'n torri adferiad
Dyma'r methiant y byddwn yn dylunio yn ei erbyn: mae'r unig lwybr i'r gwasanaeth rheoli yn rhedeg trwy VPN, ac mae'r proffil VPN neu'r cymhwyster ar y ddyfais wedi dod i ben. Ni all y ddyfais gyrraedd y gweinydd i gasglu gorchymyn amnewid, ac ni all y gweinydd wthio unrhyw beth trwy dwnel na fydd yn codi. Mae adferiad bellach yn dibynnu ar ddefnyddiwr a allai fod gannoedd o filltiroedd i ffwrdd.
Cadwch ail lwybr annibynnol ar gyfer adferiad, boed hynny'n sianel reoli all-linell, yn weinyddwr lleol, neu'n wasanaeth rheoli sy'n aros yn gyrraeddadwy heb y twnel. Profwch ef tra bo popeth yn gweithio, oherwydd ni chewch brawf glân yn ystod digwyddiad.
Yna nodwch pa un o'r tri angen y mae pob llwybr yn ei wasanaethu, a dileu'r anfon porthladdoedd nad ydynt yn gwasanaethu'r un ohonynt. Mae llu y gellir ei reoli heb dwnel cyffredinol, ac y gellir ei atgyweirio o hyd pan mai'r twnel yw'r peth a dorrodd, yn ganlyniad sy'n werth dylunio ar ei gyfer.