Χρειάζεστε VPN για το Apple MDM; Τρεις ανάγκες πρόσβασης, μία απάντηση

Το ερώτημα σπάνια είναι αν η διαχείριση συσκευών Apple χρειάζεται κρυπτογράφηση, γιατί χρειάζεται. Το πραγματικό ερώτημα είναι αν ο στόλος σας χρειάζεται ένα VPN γενικής χρήσης πριν μπορεί να διαχειριστεί καθόλου ένα Mac ή iPad, και για τις περισσότερες εγκαταστάσεις που διαχειρίζονται μέσω διαδικτύου η απάντηση είναι όχι. Η Apple επιτρέπει στη συσκευή να φτάνει σε μια υπηρεσία διαχείρισης με το δικό της χρονοδιάγραμμα, και η κίνηση που μετράει είναι ένα υπογεγραμμένο κανάλι εντολών, όχι μια συνεδρία επιφάνειας εργασίας. Το αν αυτό λειτουργεί για εσάς εξαρτάται από τρεις προϋποθέσεις, και είναι εύκολο να τις μπερδέψετε γιατί από έξω όλες μοιάζουν με απομακρυσμένη πρόσβαση.

Ονομάστε την ανάγκη πριν επιλέξετε μεταφορά

Οι εντολές διαχείρισης και τα προφίλ διαμόρφωσης είναι μία ανάγκη, ο διαδραστικός διαμοιρασμός οθόνης είναι δεύτερη, και η πρόσβαση σε μια ιδιωτική εσωτερική εφαρμογή είναι τρίτη. Έχουν διαφορετικούς ιδιοκτήτες, διαφορετικό έλεγχο ταυτότητας και συχνά πολύ διαφορετική αποδεκτή έκθεση. Το να τις ενώσετε όλες μαζί είναι ο τρόπος με τον οποίο ένας στόλος καταλήγει με μια δημόσια λίστα θυρών που κανείς δεν μπορεί να υπερασπιστεί.

Οι τρεις ανάγκες δεν μοιράζονται μία μεταφορά:

Η σύγχυση συνήθως ξεκινά με έναν παλιό κατάλογο ελέγχου διακομιστή. Ένα ιστορικό έγγραφο του OS X Server απαριθμεί ένα μεγάλο σύνολο θυρών, και κάποιος τις προωθεί όλες στην άκρη επειδή η υπηρεσία διαχείρισης είναι κάπου εκεί μέσα. Αυτό δεν είναι αρχιτεκτονική διαχείρισης, και διευρύνει την εκτεθειμένη επιφάνεια πολύ πέρα από το επίπεδο ελέγχου που προσπαθούσατε να δημοσιεύσετε.

Τι κάνει στην πραγματικότητα η ειδοποίηση push

Στην τεκμηριωμένη ροή της Apple, ο διακομιστής διαχείρισης στέλνει μια ειδοποίηση APNs για να πει στη συσκευή ότι την περιμένει εργασία. Στη συνέχεια η συσκευή ανοίγει μια σύνδεση με τον διακομιστή διαχείρισης και ζητά τις εντολές της. Το push είναι κουδούνι πόρτας, όχι σήραγγα: δεν μεταφέρει αυθαίρετο ωφέλιμο φορτίο, ούτε συνεδρία απομακρυσμένης επιφάνειας εργασίας, ούτε κίνηση άλλης εφαρμογής.

Άρα η συσκευή πρέπει να είναι εγγεγραμμένη στην προβλεπόμενη υπηρεσία, να εμπιστεύεται τα αναμενόμενα τελικά σημεία και να μπορεί να φτάνει τόσο την υπηρεσία διαχείρισης όσο και τις υπηρεσίες Apple από τις οποίες εξαρτάται η ροή. Η καθοδήγηση της Apple για την προετοιμασία δικτύου απαριθμεί αυτές τις εξαρτήσεις, και δεν είναι διαπραγματεύσιμα μέρη της ροής. Ένας διακομιστής διαχείρισης που υπάρχει μόνο μέσα στο δίκτυό σας εξακολουθεί να χρειάζεται μια υποστηριζόμενη διαδρομή που η συσκευή μπορεί πραγματικά να χρησιμοποιήσει. Το να το ονομάσετε MDM δεν κάνει ένα μη προσβάσιμο τελικό σημείο προσβάσιμο.

Κρατήστε τις επιτρεπόμενες διαδρομές ρητές, συμπεριλαμβανομένης οποιασδήποτε πολιτικής διαμεσολαβητή και επιθεώρησης TLS στη μέση. Μια συσκευή επιθεώρησης που σπάει την αναμενόμενη αλυσίδα πιστοποιητικών θα μοιάζει ακριβώς με σπασμένη εγγραφή.

Όταν το VPN είναι η λάθος απάντηση

Αν η υπηρεσία διαχείρισής σας είναι δημοσιευμένη στο διαδίκτυο με σωστό πιστοποιητικό και η συσκευή ξεκινά κάθε σύνδεση, ένα VPN προσθέτει ένα άλμα χωρίς να προσθέτει έλεγχο. Η συσκευή ελέγχει ήδη την ταυτότητά της με την ταυτότητα εγγραφής, και ο διακομιστής αποφασίζει ήδη ποιες εντολές θα δεχτεί. Μια σήραγγα μπροστά από αυτό αλλάζει τη διαδρομή δικτύου, όχι την απόφαση εμπιστοσύνης.

Το ίδιο επίπεδο ελέγχου μπορεί να παραδώσει και το ίδιο το προφίλ VPN. Αυτή η σειρά μετράει: μια διαχειριζόμενη διαμόρφωση VPN φτάνει ως άλλο ένα ωφέλιμο φορτίο, οπότε η συσκευή δεν χρειάζεται να υπάρχει η σήραγγα πριν λάβει το προφίλ που τη δημιουργεί.

Όταν το VPN είναι η σωστή απάντηση

Υπάρχουν στόλοι όπου το τελικό σημείο διαχείρισης δεν θα έπρεπε ποτέ να είναι προσβάσιμο από το διαδίκτυο, και αυτός είναι νόμιμος σχεδιασμός και όχι έλλειψη θάρρους. Ρυθμιζόμενα περιβάλλοντα, μικρές εσωτερικές ομάδες πληροφορικής και διακομιστές που φιλοξενούν και άλλες διοικητικές διεπαφές καταλήγουν συχνά εκεί. Σε αυτή την περίπτωση μια προστατευμένη διαδρομή πρόσβασης μπροστά από την υπηρεσία διαχείρισης είναι σκόπιμη αρχιτεκτονική, όχι παράκαμψη.

Ο διαμοιρασμός οθόνης και η πρόσβαση σε ιδιωτικές εφαρμογές ανήκουν συνήθως και σε εκείνη την πλευρά της γραμμής. Και τα δύο εκθέτουν πολύ περισσότερα από ένα κανάλι εντολών, και τα δύο αξίζουν τον δικό τους έλεγχο ταυτότητας αντί να βασίζονται στην ταυτότητα εγγραφής.

Η παγίδα εκκίνησης που σπάει την ανάκτηση

Ιδού η αστοχία κατά της οποίας θα σχεδίαζα: η μόνη διαδρομή προς την υπηρεσία διαχείρισης περνά μέσα από VPN, και το προφίλ ή το διαπιστευτήριο VPN στη συσκευή έχει λήξει. Η συσκευή δεν μπορεί να φτάσει τον διακομιστή για να πάρει εντολή αντικατάστασης, και ο διακομιστής δεν μπορεί να σπρώξει τίποτα μέσα από μια σήραγγα που δεν θα σηκωθεί. Η ανάκτηση εξαρτάται τώρα από έναν χρήστη που μπορεί να είναι εκατοντάδες μίλια μακριά.

Κρατήστε μια δεύτερη, ανεξάρτητη διαδρομή για ανάκτηση, είτε είναι κανάλι διαχείρισης εκτός ζώνης, είτε τοπικός διαχειριστής, είτε υπηρεσία διαχείρισης που παραμένει προσβάσιμη χωρίς τη σήραγγα. Δοκιμάστε την όσο όλα λειτουργούν, γιατί δεν θα πάρετε καθαρή δοκιμή κατά τη διάρκεια ενός περιστατικού.

Στη συνέχεια σημειώστε ποια από τις τρεις ανάγκες εξυπηρετεί κάθε διαδρομή, και αφαιρέστε τις προωθήσεις θυρών που δεν εξυπηρετούν καμία από αυτές. Ένας στόλος που μπορεί να διαχειριστεί χωρίς γενική σήραγγα, και μπορεί ακόμη να επισκευαστεί όταν η σήραγγα είναι αυτό που έσπασε, είναι το αποτέλεσμα για το οποίο αξίζει να σχεδιάσει κανείς.