Þarf VPN fyrir Apple MDM? Þrjár aðgangsþarfir, eitt svar
Apple MDM gengur fyrir APNs og HTTPS sem tækið hefur frumkvæði að, ekki LAN-göng. Aðskildu stjórnun, skjádeilingu og aðgang að einkaprógrömmum áður en þú bætir við VPN.
Spurningin er sjaldan hvort stjórnun Apple-tækja þurfi dulkóðun, því hún þarf það. Raunverulega spurningin er hvort floti þinn þurfi almennan VPN áður en hægt er að stjórna Mac eða iPad yfirleitt, og fyrir flestar uppsetningar sem stjórnað er í gegnum internetið er svarið nei. Apple leyfir tækinu að ná í stjórnunarþjónustu samkvæmt eigin áætlun, og umferðin sem skiptir máli er undirritað skipanagöng, ekki skjáborðsfundur. Hvort það virkar hjá þér veltur á þremur skilyrðum, og auðvelt er að rugla þeim saman því að utan líta þau öll út eins og fjartenging.
Nefndu þörfina áður en þú velur flutning
Stjórnunarskipanir og stillingarsnið eru ein þörf, gagnvirk skjádeiling er önnur, og að ná í einkainnra prógram er þriðja. Þau hafa mismunandi eigendur, mismunandi auðkenningu og oft mjög mismunandi ásættanlega sýn. Að hrúga þeim saman er leiðin sem floti endar með opinberum portlista sem enginn getur varið.
Þrjár þarfirnar deila ekki einum flutningi:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Ruglingurinn byrjar venjulega á gömlum gátlista fyrir þjón. Sögulegt OS X Server-skjal listar langan fjölda porta, og einhver framsendir þau öll á jaðrinum því stjórnunarþjónustan er einhvers staðar inni í þeim. Það er ekki stjórnunararkitektúr, og það víkkar hið berskjaldaða yfirborð langt út fyrir stjórnunarfletina sem þú varst að reyna að birta.
Hvað push-tilkynningin gerir í raun
Í skjalfestu ferli Apple sendir stjórnunarþjónninn APNs-tilkynningu til að segja tækinu að vinna bíði. Tækið opnar þá tengingu við stjórnunarþjóninn og biður um skipanir sínar. Push er dyrabjalla, ekki göng: hún ber enga handahófskennda farm, engan fjartengdan skjáborðsfund og enga umferð annars forrits.
Þannig að tækið verður að vera skráð í fyrirhugaða þjónustu, treysta væntum endapunktum og geta náð í bæði stjórnunarþjónustuna og þá Apple-þjónustu sem ferlið byggir á. Leiðbeiningar Apple um undirbúning nets lista þessar ósjálfstæður, og þær eru ekki samningsatriði í ferlinu. Stjórnunarþjónn sem er aðeins til innan netsins þíns þarf samt studda leið sem tækið getur raunverulega notað. Að kalla það MDM gerir óaðgengilegan endapunkt ekki aðgengilegan.
Haltu leyfðum leiðum skýrum, þar á meðal hvaða milliþjóna- og TLS-skoðunarstefnu sem er í miðjunni. Skoðunarbúnaður sem brýtur væntu vottorðakeðjuna mun líta nákvæmlega út eins og brotin skráning.
Þegar VPN er rangt svar
Ef stjórnunarþjónustan þín er birt á internetinu með réttu vottorði og tækið hefur frumkvæði að hverri tengingu, bætir VPN við stökki án þess að bæta við stjórn. Tækið auðkennir sig þegar með skráningarauðkenni sínu, og þjónninn ákveður þegar hvaða skipanir hann tekur. Göng fyrir framan það breyta netleiðinni, ekki traustsákvörðuninni.
Sami stjórnunarflötur getur líka afhent sjálft VPN-sniðið. Þessi röð skiptir máli: stýrð VPN-stilling kemur bara sem enn einn farmur, svo tækið þarf ekki að göngin séu til áður en það tekur við sniðinu sem býr þau til.
Þegar VPN er rétt svar
Það eru flotar þar sem stjórnunar-endapunkturinn ætti aldrei að vera aðgengilegur frá internetinu, og það er lögmæt hönnun en ekki skortur á hugrekki. Stýrð umhverfi, lítil innri upplýsingatækniteymi og þjónar sem hýsa líka aðra stjórnunarviðmót lenda oft þar. Í því tilviki er varin aðgangsleið fyrir framan stjórnunarþjónustuna viljandi arkitektúr, ekki hjáleið.
Skjádeiling og aðgangur að einkaprógrömmum tilheyra venjulega líka þeirri hlið línunnar. Bæði afhjúpa miklu meira en skipanagöng, og bæði eiga skilið eigin auðkenningu í stað þess að ríða á skráningarauðkenninu.
Upphleðslugildran sem brýtur endurheimt
Hér er bilunin sem ég myndi hanna gegn: eina leiðin að stjórnunarþjónustunni liggur í gegnum VPN, og VPN-sniðið eða skilríkið á tækinu er útrunnið. Tækið kemst ekki í þjóninn til að sækja staðgengilsskipun, og þjónninn getur ekki ýtt neinu í gegnum göng sem munu ekki rísa. Endurheimt fer nú eftir notanda sem gæti verið hundruð kílómetra í burtu.
Haltu annarri, óháðri leið fyrir endurheimt, hvort sem það er stjórnunargöng utan bands, staðbundinn stjórnandi eða stjórnunarþjónusta sem verður áfram aðgengileg án ganganna. Prófaðu hana meðan allt virkar, því þú færð ekki hreina prófun meðan á atviki stendur.
Skrifaðu svo niður hvaða þörf af þremur hver leið þjónar, og fjarlægðu portframendingar sem þjóna engri þeirra. Floti sem hægt er að stjórna án almennra ganga, og samt gera við þegar göngin eru það sem bilaði, er útkoman sem er þess virði að hanna fyrir.