શું Apple MDM માટે VPN જોઈએ? ત્રણ પ્રવેશ જરૂરિયાતો, એક જવાબ
Apple MDM APNs અને ઉપકરણ દ્વારા શરૂ થતા HTTPS પર ચાલે છે, LAN ટનલ પર નહીં. VPN ઉમેરતાં પહેલાં મેનેજમેન્ટ, સ્ક્રીન શેરિંગ અને ખાનગી એપ્લિકેશન પ્રવેશને અલગ કરો.
પ્રશ્ન ભાગ્યે જ એ છે કે શું Apple ઉપકરણ મેનેજમેન્ટને એન્ક્રિપ્શનની જરૂર છે, કારણ કે જરૂર છે. સાચો પ્રશ્ન એ છે કે શું તમારા ફ્લીટને Mac કે iPad ને જરાય મેનેજ કરી શકાય તે પહેલાં સામાન્ય હેતુનું VPN જોઈએ, અને ઇન્ટરનેટ દ્વારા મેનેજ થતી મોટાભાગની જમાવટ માટે જવાબ ના છે. Apple ઉપકરણને તેના પોતાના સમયપત્રક પ્રમાણે મેનેજમેન્ટ સેવા સુધી પહોંચવા દે છે, અને મહત્વની ટ્રાફિક સહી કરેલી કમાન્ડ ચેનલ છે, ડેસ્કટોપ સેશન નહીં. તે તમારા માટે કામ કરશે કે નહીં તે ત્રણ શરતો પર આધાર રાખે છે, અને તેમને ગૂંચવવું સહેલું છે કારણ કે બહારથી તે બધા દૂરસ્થ પ્રવેશ જેવા લાગે છે.
ટ્રાન્સપોર્ટ પસંદ કરતાં પહેલાં જરૂરિયાતનું નામ આપો
મેનેજમેન્ટ કમાન્ડ અને કન્ફિગરેશન પ્રોફાઇલ એક જરૂરિયાત છે, ઇન્ટરેક્ટિવ સ્ક્રીન શેરિંગ બીજી છે, અને ખાનગી આંતરિક એપ્લિકેશન સુધી પહોંચવું ત્રીજી છે. તેમના માલિક અલગ છે, પ્રમાણીકરણ અલગ છે, અને ઘણી વાર સ્વીકાર્ય એક્સપોઝર ઘણું અલગ હોય છે. તેમને એકસાથે ભેગા કરવાથી જ ફ્લીટ એવી જાહેર પોર્ટ યાદી સાથે પૂરી થાય છે જેનું કોઈ બચાવ કરી શકતું નથી.
ત્રણ જરૂરિયાતો એક ટ્રાન્સપોર્ટ વહેંચતી નથી:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
ગૂંચવણ સામાન્ય રીતે જૂની સર્વર ચેકલિસ્ટથી શરૂ થાય છે. OS X Server નું ઐતિહાસિક દસ્તાવેજ લાંબી પોર્ટ સૂચિ આપે છે, અને કોઈ વ્યક્તિ તે બધાને કિનારે ફોરવર્ડ કરી દે છે કારણ કે મેનેજમેન્ટ સેવા ક્યાંક તેની અંદર છે. એ મેનેજમેન્ટ આર્કિટેક્ચર નથી, અને તે ખુલ્લી સપાટીને તમે પ્રકાશિત કરવા માગતા કંટ્રોલ પ્લેનથી ઘણી આગળ સુધી ફેલાવે છે.
પુશ સૂચના ખરેખર શું કરે છે
Apple ના દસ્તાવેજીકૃત પ્રવાહમાં, મેનેજમેન્ટ સર્વર APNs સૂચના મોકલે છે જેથી ઉપકરણને ખબર પડે કે કામ રાહ જુએ છે. પછી ઉપકરણ મેનેજમેન્ટ સર્વર સાથે જોડાણ ખોલે છે અને તેની કમાન્ડ માગે છે. પુશ એ દરવાજાની ઘંટડી છે, ટનલ નહીં: તે કોઈ મનસ્વી પેલોડ, કોઈ દૂરસ્થ ડેસ્કટોપ સેશન, કે બીજી એપની ટ્રાફિક વહેતું નથી.
તેથી ઉપકરણ ઇચ્છિત સેવામાં નોંધાયેલું હોવું જોઈએ, અપેક્ષિત એન્ડપોઇન્ટ પર ભરોસો રાખવો જોઈએ, અને મેનેજમેન્ટ સેવા તથા પ્રવાહ આધાર રાખે છે તે Apple સેવાઓ સુધી પહોંચી શકવું જોઈએ. Apple નું નેટવર્ક તૈયારી માર્ગદર્શન તે આધારોની યાદી આપે છે, અને તે પ્રવાહના વાટાઘાટપાત્ર ભાગ નથી. ફક્ત તમારા નેટવર્કની અંદર રહેલા મેનેજમેન્ટ સર્વરને હજી પણ સમર્થિત માર્ગ જોઈએ જેનો ઉપકરણ ખરેખર ઉપયોગ કરી શકે. તેને MDM કહેવાથી પહોંચ વિનાનો એન્ડપોઇન્ટ પહોંચવાલાયક બનતો નથી.
પરવાનગી આપેલા માર્ગો સ્પષ્ટ રાખો, વચ્ચે રહેલી કોઈપણ પ્રોક્સી અને TLS નિરીક્ષણ નીતિ સહિત. અપેક્ષિત પ્રમાણપત્ર શૃંખલા તોડતું નિરીક્ષણ ઉપકરણ બરાબર તૂટેલી નોંધણી જેવું દેખાશે.
જ્યારે VPN ખોટો જવાબ છે
જો તમારી મેનેજમેન્ટ સેવા યોગ્ય પ્રમાણપત્ર સાથે ઇન્ટરનેટ પર પ્રકાશિત હોય અને દરેક જોડાણ ઉપકરણ શરૂ કરે, તો VPN કોઈ નિયંત્રણ ઉમેર્યા વિના એક કૂદકો ઉમેરે છે. ઉપકરણ પહેલેથી તેની નોંધણી ઓળખ સાથે પ્રમાણીકરણ કરે છે, અને સર્વર પહેલેથી નક્કી કરે છે કે કઈ કમાન્ડ સ્વીકારશે. તેની સામેની ટનલ નેટવર્ક માર્ગ બદલે છે, ભરોસાનો નિર્ણય નહીં.
એ જ કંટ્રોલ પ્લેન VPN પ્રોફાઇલ પોતે પણ પહોંચાડી શકે છે. એ ક્રમ મહત્વનો છે: મેનેજ કરેલી VPN કન્ફિગરેશન વધુ એક પેલોડ તરીકે આવે છે, તેથી ઉપકરણને તે બનાવતું પ્રોફાઇલ મળે તે પહેલાં ટનલ અસ્તિત્વમાં હોવાની જરૂર નથી.
જ્યારે VPN સાચો જવાબ છે
એવા ફ્લીટ છે જ્યાં મેનેજમેન્ટ એન્ડપોઇન્ટ ઇન્ટરનેટથી ક્યારેય પહોંચવાલાયક ન હોવો જોઈએ, અને તે હિંમતની ઉણપ નહીં પરંતુ કાયદેસર રચના છે. નિયંત્રિત વાતાવરણ, નાની આંતરિક IT ટીમો અને બીજા વહીવટી ઇન્ટરફેસ પણ હોસ્ટ કરતા સર્વર ઘણી વાર ત્યાં પહોંચે છે. તે સ્થિતિમાં મેનેજમેન્ટ સેવા સામે સુરક્ષિત પ્રવેશ માર્ગ એ આયોજિત આર્કિટેક્ચર છે, કોઈ રસ્તો ટાળવાનો ઉપાય નહીં.
સ્ક્રીન શેરિંગ અને ખાનગી એપ્લિકેશન પ્રવેશ સામાન્ય રીતે રેખાની એ જ બાજુએ આવે છે. બંને કમાન્ડ ચેનલ કરતાં ઘણું વધારે ખુલ્લું કરે છે, અને બંને નોંધણી ઓળખ પર સવારી કરવાને બદલે પોતાનું પ્રમાણીકરણ લાયક છે.
બૂટસ્ટ્રેપ ફાંસો જે રિકવરી તોડે છે
આ એ નિષ્ફળતા છે જેની સામે હું ડિઝાઇન કરીશ: મેનેજમેન્ટ સેવા સુધીનો એકમાત્ર માર્ગ VPNમાંથી પસાર થાય છે, અને ઉપકરણ પરનું VPN પ્રોફાઇલ કે ક્રેડેન્શિયલ સમાપ્ત થઈ ગયું છે. ઉપકરણ બદલીની કમાન્ડ લેવા સર્વર સુધી પહોંચી શકતું નથી, અને સર્વર એવી ટનલમાંથી કંઈ ધકેલી શકતું નથી જે ઉપર ન આવે. રિકવરી હવે એવા વપરાશકર્તા પર આધાર રાખે છે જે કદાચ સેંકડો માઇલ દૂર હોય.
રિકવરી માટે બીજો, સ્વતંત્ર માર્ગ રાખો, પછી તે આઉટ-ઓફ-બેન્ડ મેનેજમેન્ટ ચેનલ હોય, સ્થાનિક એડમિનિસ્ટ્રેટર હોય, કે ટનલ વિના પહોંચવાલાયક રહેતી મેનેજમેન્ટ સેવા હોય. બધું કામ કરતું હોય ત્યારે તેનું પરીક્ષણ કરો, કારણ કે ઘટનાના સમયે તમને સ્વચ્છ પરીક્ષણ મળશે નહીં.
પછી લખો કે દરેક માર્ગ ત્રણ જરૂરિયાતોમાંથી કઈને સેવા આપે છે, અને જે કોઈને સેવા આપતા નથી તે પોર્ટ ફોરવર્ડિંગ દૂર કરો. જે ફ્લીટ સામાન્ય ટનલ વિના મેનેજ કરી શકાય છે, અને જ્યારે ટનલ જ તૂટી હોય ત્યારે પણ સમારી શકાય છે, તે જ ડિઝાઇન કરવા લાયક પરિણામ છે.