Braucht Dir eng VPN fir Apple MDM? Dräi Zougangsbedierfnesser, eng Äntwert
Apple MDM schafft op APNs an op HTTPS, deen d'Apparat selwer start, net op engem LAN-Tunnel. Trennt d'Verwaltung, d'Bildschirmdeelegen an den Zougang zu private Apps, ier Dir eng VPN bäisetzt.
D'Fro ass selten, ob d'Verwaltung vun Apple-Apparater Verschlësselung brauch, well se brauch. D'richteg Fro ass, ob Äre Bestand eng Allzweck-VPN brauch, ier en Mac oder iPad iwwerhaapt verwalt ka ginn, a fir déi meescht iwwer d'Internet verwalt Installatiounen ass d'Äntwert nee. Apple erlaabt dem Apparat, eng Verwaltungsdéngscht no sengem eegenen Zäitplang z'erreechen, an den Trafik, op deen et ukënnt, ass en ënnerschriwwene Kommandokanal, net eng Desktopsitzung. Ob dat fir Iech funktionnéiert, hänkt vun dräi Bedéngungen of, an et ass liicht se ze verwiesselen, well se vun dobaussen all wéi Fernzougang ausgesinn.
Nennt de Besoin, ier Dir en Transport auswielt
Verwaltungskommanden a Konfiguratiounsprofilen sinn e Besoin, interaktivt Bildschirmdeelegen ass en zweeten, an eng privat intern Applikatioun z'erreechen ass en drëtten. Si hunn ënnerschiddlech Propriétären, ënnerschiddlech Authentifizéierung an dacks ganz ënnerschiddlech akzeptabel Expositioun. Se all an ee Pot ze werfen ass de Wee, wéi e Bestand mat enger ëffentlecher Portlëscht ophält, déi kee verdeedegen kann.
Déi dräi Bedierfnesser deelen keen eenzegen Transport:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
D'Verwirrung fänkt meeschtens mat enger aler Serverlëscht un. En historescht Dokument iwwer OS X Server zielt eng laang Rei Porten op, an ee leet se all um Rand weider, well d'Verwaltungsdéngscht iergendwou dobannen ass. Dat ass keng Verwaltungsarchitektur, an et erweidert d'exponéiert Uewerfläch wäit iwwer d'Kontrollfläch eraus, déi Dir wëllt publizéieren.
Wat d'Push-Notifikatioun tatsächlech mécht
Am dokumentéierte Floss vun Apple schéckt de Verwaltungsserver eng APNs-Notifikatioun, fir dem Apparat ze soen, datt Aarbecht waart. Duerno mécht den Apparat eng Verbindung mam Verwaltungsserver op a freet no senge Kommanden. De Push ass eng Dierklapp, keen Tunnel: en dréit keng arbiträr Notzlaascht, keng Fern-Desktopsitzung an och keen Trafik vun enger anerer App.
Den Apparat muss also bei der virgesinnener Déngscht ageschriwwen sinn, deenen erwaarten Endpunkte vertrauen, an et fäerdeg bréngen, souwuel d'Verwaltungsdéngscht wéi och d'Apple-Déngschten z'erreechen, vun deenen de Floss ofhänkt. Apple seng Orientatioun fir d'Netzwierkvirbereedung zielt déi Ofhängegkeeten op, an se sinn keng verhandelbar Deeler vum Floss. E Verwaltungsserver, deen nëmmen an Ärem Netzwierk existéiert, brauch nach ëmmer en ënnerstëtzten Wee, deen den Apparat wierklech ka benotzen. En MDM ze nennen mécht en onereechbaren Endpunkt net erreechbar.
Hält déi erlaabte Weeër explizit, inklusiv all Proxy- an TLS-Inspektiounspolitik an der Mëtt. En Inspektiounsapparat, deen d'erwaart Zertifikatskette brécht, wäert genee wéi eng futtis Aschreiwung ausgesinn.
Wann d'VPN déi falsch Äntwert ass
Wann Är Verwaltungsdéngscht mam richtege Zertifikat um Internet publizéiert ass an den Apparat all Verbindung ufänkt, setzt eng VPN en Hopp bäi, ouni eng Kontroll bäizesetzen. Den Apparat authentifizéiert sech schonn mat senger Aschreiwungsidentitéit, an de Server entscheet schonn, wéi eng Kommanden en unhëlt. En Tunnel virun deem ännert den Netzwierkwee, net d'Vertrauensentscheedung.
Déi selwecht Kontrollfläch kann och de VPN-Profil selwer liwweren. Déi Reihenfolleg ass wichteg: eng verwalt VPN-Konfiguratioun kënnt als just eng aner Notzlaascht, also brauch den Apparat den Tunnel net ze existéieren, ier en de Profil kritt, deen en erschaaft.
Wann d'VPN déi richteg Äntwert ass
Et gi Bestänn, wou den Verwaltungsendpunkt ni sollt vum Internet erreechbar sinn, an dat ass en legitime Design an net e Mangel u Courage. Reguléiert Ëmfeld, kleng intern IT-Teams a Serveren, déi och aner administrativ Schnëttstell hosten, landen dacks do. An deem Fall ass en geschützte Zougangswee virun der Verwaltungsdéngscht bewosst Architektur, keng Ëmwee.
Bildschirmdeelegen an Zougang zu private Apps gehéieren normalerweis och op déi Säit vun der Linn. Béid leeën vill méi oppen wéi e Kommandokanal, a béid verdéngen hir eegen Authentifizéierung, amplaz op der Aschreiwungsidentitéit ze reiden.
D'Bootstrap-Falle, déi d'Rettung brécht
Hei ass de Feeler, géint deen ech géif designen: deen eenzege Wee zur Verwaltungsdéngscht geet duerch eng VPN, an de VPN-Profil oder d'Zougangsdate vum Apparat sinn ofgelaf. Den Apparat kann de Server net erreechen, fir en Ersatzkommando ze sichen, an de Server kann näischt duerch en Tunnel drécken, deen net eropkënnt. D'Rettung hänkt elo vun engem Benotzer of, dee kéint Honnerte vu Meilen ewech sinn.
Hält en zweeten, onofhängege Wee fir d'Rettung, sief et en Out-of-Band-Verwaltungskanal, en lokalen Administrateur oder eng Verwaltungsdéngscht, déi ouni den Tunnel erreechbar bleift. Testéiert en, wärend alles funktionnéiert, well während engem Tëschefall kritt Dir keen propperen Test.
Schreift duerno op, wat fir ee vun den dräi Bedierfnesser all Wee déngt, a läscht d'Portweiderleitungen, déi kengem vun hinnen déngen. E Bestand, deen ouni en allgemengen Tunnel verwalt ka ginn an deen nach ka reparéiert ginn, wann den Tunnel dat ass, wat futti gaangen ass, ass d'Resultat, fir dat et sech lount ze designen.