Apple MDM үшін VPN керек пе? Үш қатынау қажеттілігі, бір жауап
Apple MDM APNs мен құрылғы бастайтын HTTPS арқылы жұмыс істейді, LAN туннелі арқылы емес. VPN қоспас бұрын басқаруды, экранды бөлісуді және жеке қолданбаларға қатынауды ажыратыңыз.
Сұрақ сирек Apple құрылғыларын басқаруға шифрлау керек пе дегенге қатысты, өйткені керек. Нағыз сұрақ — Mac немесе iPad-ты мүлде басқару мүмкін болмай тұрып, паркіңізге жалпы мақсаттағы VPN керек пе, және интернет арқылы басқарылатын орналастырулардың көпшілігі үшін жауап жоқ. Apple құрылғыға басқару қызметіне өз кестесімен жетуге мүмкіндік береді, ал маңызды трафик — қол қойылған команда арнасы, жұмыс үстелі сессиясы емес. Бұл сізге жарай ма, үш шартқа байланысты, және оларды шатастыру оңай, өйткені сырттан қарағанда бәрі қашықтан қатынауға ұқсайды.
Көлікті таңдамас бұрын қажеттілікті атаңыз
Басқару командалары мен конфигурация профильдері — бір қажеттілік, интерактивті экранды бөлісу — екіншісі, ал жеке ішкі қолданбаға жету — үшіншісі. Олардың иелері бөлек, аутентификациясы бөлек және көбіне рұқсат етілетін әшкерелену деңгейі мүлдем басқа. Оларды бір қазанға салу — парктің ешкім қорғай алмайтын ашық порттар тізіміне келу жолы.
Үш қажеттілік бір көлікті бөліспейді:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Шатасушылық әдетте ескі сервер тексеру тізімінен басталады. OS X Server туралы тарихи құжат ұзын порттар жиынын тізімдейді, ал біреу олардың барлығын шетте бағыттайды, өйткені басқару қызметі сонда бір жерде. Бұл басқару архитектурасы емес, және ол ашық бетті сіз жарияламақ болған басқару жазықтығынан әлдеқайда кеңейтеді.
Push хабарламасы шын мәнінде не істейді
Apple құжаттаған ағында басқару сервері APNs хабарламасын жіберіп, құрылғыға жұмыс күтіп тұрғанын білдіреді. Содан кейін құрылғы басқару серверімен байланыс ашып, өз командаларын сұрайды. Push — есік қоңырауы, туннель емес: ол ешқандай ерікті жүкті, қашықтағы жұмыс үстелі сессиясын және басқа қолданбаның трафигін тасымалдамайды.
Сондықтан құрылғы көзделген қызметке тіркелуі, күтілетін соңғы нүктелерге сенуі және басқару қызметіне де, ағын тәуелді Apple қызметтеріне де жетуі тиіс. Apple-дың желіге дайындық нұсқаулығы осы тәуелділіктерді тізімдейді және олар ағынның келісілетін бөліктері емес. Тек желіңіздің ішінде ғана бар басқару серверіне де құрылғы шынымен пайдалана алатын қолдау көрсетілген жол қажет. Оны MDM деп атау жетпейтін соңғы нүктені жететін етпейді.
Рұқсат етілген жолдарды айқын ұстаңыз, ортада тұрған кез келген прокси және TLS тексеру саясатын қоса. Күтілетін сертификат тізбегін бұзатын тексеру құрылғысы дәл бұзылған тіркеу сияқты көрінеді.
VPN дұрыс емес жауап болғанда
Егер басқару қызметіңіз дұрыс сертификатпен интернетте жарияланса және әр байланысты құрылғы бастаса, VPN бақылау қоспай-ақ бір секіріс қосады. Құрылғы қазірдің өзінде тіркеу сәйкестігімен аутентификацияланады, ал сервер қандай командаларды қабылдайтынын қазірдің өзінде шешеді. Оның алдындағы туннель желі жолын өзгертеді, сенім шешімін емес.
Сол басқару жазықтығы VPN профилінің өзін де жеткізе алады. Бұл реттілік маңызды: басқарылатын VPN конфигурациясы жай ғана тағы бір жүк ретінде келеді, сондықтан құрылғы оны жасайтын профильді алмас бұрын туннельдің болуы қажет емес.
VPN дұрыс жауап болғанда
Басқару соңғы нүктесі ешқашан интернеттен қолжетімді болмауы тиіс парктер бар, және бұл батылдықтың жоқтығы емес, заңды дизайн. Реттелетін орталар, шағын ішкі IT командалары және басқа әкімшілік интерфейстерді де орналастыратын серверлер жиі сол жерге келеді. Бұл жағдайда басқару қызметінің алдындағы қорғалған қатынау жолы әдейі архитектура, айналып өту емес.
Экранды бөлісу мен жеке қолданбаларға қатынау әдетте сызықтың сол жағында да болады. Екеуі де команда арнасынан әлдеқайда көп нәрсені ашады, және екеуі де тіркеу сәйкестігіне мінудің орнына өз аутентификациясына лайық.
Қалпына келтіруді бұзатын жүктеу тұзағы
Міне мен қарсы жобалайтын ақау: басқару қызметіне жалғыз жол VPN арқылы өтеді, ал құрылғыдағы VPN профилі немесе тіркелгі деректерінің мерзімі біткен. Құрылғы алмастырушы команда алу үшін серверге жете алмайды, ал сервер көтерілмейтін туннель арқылы ештеңе итере алмайды. Қалпына келтіру енді жүздеген миль қашықтықта болуы мүмкін пайдаланушыға тәуелді.
Қалпына келтіру үшін екінші, тәуелсіз жол ұстаңыз: ол жолақтан тыс басқару арнасы, жергілікті әкімші немесе туннельсіз қолжетімді болып қалатын басқару қызметі болуы мүмкін. Барлығы жұмыс істеп тұрғанда оны сынап көріңіз, өйткені оқиға кезінде таза сынақ ала алмайсыз.
Содан кейін әр жолдың үш қажеттіліктің қайсысына қызмет ететінін жазып, ешқайсысына қызмет етпейтін порт бағыттауларын алып тастаңыз. Жалпы туннельсіз басқаруға болатын және туннель бұзылған кезде де жөндеуге болатын парк — жобалауға тұрарлық нәтиже.