Hawwe jo in VPN nedich foar Apple MDM? Trije tagongsbehoeften, ien antwurd
Apple MDM draait op APNs en troch it apparaat begûn HTTPS, net op in LAN-tunnel. Skied behear, skermdielen en tagong ta partikuliere apps foardat jo in VPN tafoegje.
De fraach is selden oft behear fan Apple-apparaten fersifering nedich hat, want dat hat it. De echte fraach is oft jo float in algemien VPN nedich hat foardat in Mac of iPad hielendal beheard wurde kin, en foar de measte fia it ynternet beheard applikaasjes is it antwurd nee. Apple lit it apparaat in beheartsjinst berikke neffens syn eigen skema, en it ferkear dat ta saak docht is in ûndertekene kommandokanaal, net in buroblêdsesje. Oft dat foar jo wurket hinget fan trije betingsten ôf, en se binne maklik te betizen, want fan bûten lykje se allegear op tagong op ôfstân.
Neam de behoefte foardat jo in ferfier kieze
Behearkommando's en konfiguraasjeprofylen binne ien behoefte, ynteraktyf skermdielen is in twadde, en it berikken fan in partikuliere ynterne applikaasje is in tredde. Se hawwe ferskillende eigners, ferskillende autentikaasje en faak in hiel oare akseptabele bleatstelling. Se allegear byinoar smite is hoe't in float úteinlik in iepen list fan poarten krijt dy't nimmen ferdigenje kin.
De trije behoeften diele gjin ferfier:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
De betizing begjint meast by in âlde tsjinstlist fan in tsjinner. In histoarysk dokumint oer OS X Server listet in lange set poarten op, en immen stjoert se allegear by de râne troch, om't de beheartsjinst earne dêryn sit. Dat is gjin beheararsjitektuer, en it ferbreedt it bleatstelde oerflak fier foarby it kontrôleflak dat jo publisearje woenen.
Wat de pushmelding eins docht
Yn 'e dokumintearre stream fan Apple stjoert de beheartstsjinner in APNs-melding om it apparaat te fertellen dat der wurk wachtet. It apparaat iepenet dan in ferbining mei de beheartstsjinner en freget om syn kommando's. De push is in doarspraat, net in tunnel: it draacht gjin willekeurige lading, gjin sesje op ôfstân en gjin ferkear fan in oare app.
It apparaat moat dus ynskreaun wêze by de bedoelde tsjinst, de ferwachte einpunten fertrouwe en sawol de beheartsjinst as de Apple-tsjinsten dêr't de stream fan ôfhinklik is berikke kinne. Apple syn rjochtline foar netwurktafoarbereiding listet dy ôfhinklikheden op, en se binne gjin ûnderhannelbere dielen fan 'e stream. In beheartstsjinner dy't allinnich binnen jo netwurk bestiet hat noch altyd in stipe paad nedich dat it apparaat wier brûke kin. It MDM neame makket in ûnberikber einpunt net berikber.
Hâld de tastiene paden eksplisyt, ynklusyf elk proxy- en TLS-ynspeksjebelied dat yn 'e midden sit. In ynspeksje-apparaat dat de ferwachte sertifikaatkeatling brekt sil der krekt út sjen as in brutsen ynskriuwing.
Wannear't it VPN it ferkearde antwurd is
As jo beheartsjinst op it ynternet publisearre is mei in goed sertifikaat en it apparaat elk ferbining begjint, foeget in VPN in sprong ta sûnder kontrôle ta te foegjen. It apparaat autentisearret him al mei syn ynskriuwingsidentiteit, en de tsjinner beslút al hokker kommando's er akseptearret. In tunnel dêrfoar feroaret it netwurkpaad, net it fertrouwensbeslút.
Itselde kontrôleflak kin ek it VPN-profyl sels leverje. Dy folchoarder is wichtich: in beheard VPN-konfiguraasje komt as gewoan noch in lading, dus it apparaat hat de tunnel net nedich om te bestean foardat it it profyl ûntfange kin dat him makket.
Wannear't it VPN it goede antwurd is
Der binne floats wêr't it beheareinpunt nea fan it ynternet berikber wêze moat, en dat is in legit ûntwerp en net in tekoart oan moed. Regeljierre omjouwings, lytse ynterne IT-teams en tsjinners dy't ek oare bestjoerlike ynterfaces hostje, lânje dêr faak. Yn dat gefal is in beskerme tagongspaad foar de beheartsjinst in bewuste arsjitektuer, net in omwei.
Skermdielen en tagong ta partikuliere apps hearre meastentiids ek oan dy kant fan 'e line. Beide lizze folle mear bleat as in kommandokanaal, en beide fertsjinje har eigen autentikaasje ynstee fan op 'e ynskriuwingsidentiteit te riden.
De opstartfal dy't it herstel brekt
Hjir is de flater dêr't ik tsjin ûntwerpe soe: it iennichste paad nei de beheartsjinst rint troch in VPN, en it VPN-profyl of it bewiisstik op it apparaat is ferrûn. It apparaat kin de tsjinner net berikke om in ferfangende kommando te heljen, en de tsjinner kin neat troch in tunnel triuwe dy't net omheech komt. Herstel hinget no ôf fan in brûker dy't hûnderten milen fuort wêze kin.
Hâld in twadde, ûnôfhinklik paad foar herstel, itsij in bannenbûtens beheardkanaal, in pleatslike behearder of in beheartsjinst dy't berikber bliuwt sûnder de tunnel. Test it wylst alles wurket, want by in ynsidint krije jo gjin skjinne test.
Skriuw dan op hokker fan 'e trije behoeften elk paad tsjinnet, en ferwiderje de poartetrochstjoeringen dy't gjin fan allegear tsjinje. In float dy't sûnder in algemien tunnel beheard wurde kin, en noch hieltyd reparearre wurde kin as de tunnel it ding is dat brutsen is, is de útkomst dêr't it wurdich is foar te ûntwerpen.