Apple MDM үчүн VPN керекпи? Үч кирүү муктаждыгы, бир жооп
Apple MDM APNs жана түзмөк баштаган HTTPS аркылуу иштейт, LAN туннели аркылуу эмес. VPN кошуудан мурун башкарууну, экранды бөлүшүүнү жана жеке колдонмолорго кирүүнү бөлүңүз.
Суроо сейрек Apple түзмөктөрүн башкарууга шифрлоо керекпи дегенге байланыштуу, анткени керек. Чыныгы суроо — Mac же iPad-ды такыр башкаруу мүмкүн болоор алдында паркыңызга жалпы максаттагы VPN керекпи, жана интернет аркылуу башкарылуучу жайгаштыруулардын көбү үчүн жооп жок. Apple түзмөккө башкаруу кызматына өз графиги боюнча жетүүгө мүмкүндүк берет, ал эми маанилүү трафик — кол коюлган буйрук каналы, жумуш үстөлүнүн сессиясы эмес. Бул сизге иштейби, үч шартка байланыштуу, жана аларды адаштыруу оңой, анткени сырттан баары алыскы кирүүгө окшош.
Транспортту тандоодон мурун муктаждыкты атаңыз
Башкаруу буйруктары жана конфигурация профилдери — бир муктаждык, интерактивдүү экранды бөлүшүү — экинчиси, ал эми жеке ички колдонмого жетүү — үчүнчүсү. Алардын ээлери бөлөк, аутентификациясы бөлөк жана көбүнчө уруксат берилүүчү ачыктык деңгээли такыр башка. Аларды бир казанга салуу — парктын эч ким коргой албаган ачык порт тизмесине келишинин жолу.
Үч муктаждык бир транспортту бөлүшпөйт:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Адашуу адатта эски сервер текшерүү тизмесинен башталат. OS X Server тууралуу тарыхый документ узун порттор жыйындысын тизмелейт, ал эми бирөө алардын баарын четинде багыттайт, анткени башкаруу кызматы ошол жерде бир жерде. Бул башкаруу архитектурасы эмес жана ал ачык бетти сиз жарыяламак болгон башкаруу тегиздигинен алда канча кеңейтет.
Push билдирүүсү чындыгында эмне кылат
Apple документтеген агымда башкаруу сервери APNs билдирүүсүн жиберип, түзмөккө жумуш күтүп жатканын билдирет. Андан кийин түзмөк башкаруу сервери менен байланыш ачып, өз буйруктарын сурайт. Push — эшик коңгуроосу, туннель эмес: ал эч кандай эркин жүктү, алыскы жумуш үстөлүнүн сессиясын жана башка колдонмонун трафигин ташыбайт.
Ошондуктан түзмөк көздөлгөн кызматка катталышы, күтүлгөн акыркы чекиттерге ишениши жана башкаруу кызматына да, агым көз каранды Apple кызматтарына да жете алышы керек. Apple-дын тармакка даярдык жетекчилиги ошол көз карандылыктарды тизмелейт жана алар агымдын сүйлөшүлүүчү бөлүктөрү эмес. Тек тармагыңыздын ичинде гана болгон башкаруу серверине да түзмөк чындап колдоно алган колдоого алынган жол керек. Аны MDM деп атоо жеткиликсиз акыркы чекитти жеткиликтүү кылбайт.
Уруксат берилген жолдорду ачык кармаңыз, ортодо турган ар кандай прокси жана TLS текшерүү саясатын кошкондо. Күтүлгөн сертификат тизмегин буза турган текшерүү түзмөгү так бузулган каттоо сыяктуу көрүнөт.
VPN туура эмес жооп болгондо
Эгер башкаруу кызматыңыз туура сертификат менен интернетте жарыяланса жана ар бир байланышты түзмөк баштаса, VPN көзөмөл кошпой эле бир секирик кошот. Түзмөк мурун эле каттоо идентификациясы менен аутентификацияланат, ал эми сервер кайсы буйруктарды кабыл аларын мурун эле чечет. Анын алдындагы туннель тармак жолун өзгөртөт, ишеним чечимин эмес.
Ошол эле башкаруу тегиздиги VPN профилин өзүн да жеткире алат. Бул тартип маанилүү: башкарылуучу VPN конфигурациясы жөн гана дагы бир жүк катары келет, ошондуктан түзмөк аны түзгөн профилди алардан мурун туннелдин болушун талап кылбайт.
VPN туура жооп болгондо
Башкаруу акыркы чекити эч качан интернеттен жеткиликтүү болбошу керек парктар бар, жана бул батылдыктын жоктугу эмес, мыйзамдуу долбоор. Жөнгө салынуучу чөйрөлөр, чакан ички IT командалары жана башка административдик интерфейстерди да жайгаштырган серверлер көбүнчө ошол жерге келет. Ошондой учурда башкаруу кызматынын алдындагы корголгон кирүү жолу атайын архитектура, айланып өтүү эмес.
Экранды бөлүшүү жана жеке колдонмолорго кирүү адатта сызыктын ошол жагында да болот. Экөө тең буйрук каналынан алда канча көп нерсени ачат, жана экөө тең каттоо идентификациясына мингендин ордуна өз аутентификациясына татыктуу.
Калыбына келтирүүнү буза турган жүктөө тузагы
Мына мен каршы долбоорлой турган бузулуу: башкаруу кызматына жалгыз жол VPN аркылуу өтөт, ал эми түзмөктөгү VPN профили же каттоо маалыматтарынын мөөнөтү бүткөн. Түзмөк алмаштыруучу буйрук алуу үчүн серверге жете албайт, ал эми сервер көтөрүлбөй турган туннелден эч нерсе түртө албайт. Калыбына келтирүү эми жүздөгөн миль алыстыкта болушу мүмкүн болгон колдонуучуга көз каранды.
Калыбына келтирүү үчүн экинчи, көз карандысыз жол кармаңыз: ал тилкеден тышкаркы башкаруу каналы, жергиликтүү администратор же туннелсиз жеткиликтүү бойдон калган башкаруу кызматы болушу мүмкүн. Баары иштеп турганда аны сынап көрүңүз, анткени окуя учурунда таза сынак ала албайсыз.
Андан кийин ар бир жол үч муктаждыктын кайсынысына кызмат кыларын жазып, эч бирине кызмат кылбаган порт багыттоолорун алып салыңыз. Жалпы туннелсиз башкарууга боло турган жана туннель бузулган учурда да оңдоого боло турган парк — долбоорлоого татыктуу натыйжа.