Ar jums reikia VPN, skirtos Apple MDM? Trys prieigos poreikiai, vienas atsakymas
Apple MDM veikia per APNs ir įrenginio inicijuotą HTTPS, o ne per LAN tunelį. Atskirkite valdymą, ekrano bendrinimą ir prieigą prie privačių programėlių, prieš pridėdami VPN.
Klausimas retai būna apie tai, ar Apple įrenginių valdymui reikia šifravimo, nes reikia. Tikrasis klausimas – ar jūsų parkui reikia bendros paskirties VPN, kol Mac ar iPad dar negalima valdyti, o daugumai per internetą valdomų diegimų atsakymas yra ne. Apple leidžia įrenginiui pasiekti valdymo paslaugą pagal savo grafiką, o svarbus srautas yra pasirašytas komandų kanalas, o ne darbalaukio sesija. Ar tai veiks pas jus, priklauso nuo trijų sąlygų, ir jas lengva supainioti, nes iš išorės visos atrodo kaip nuotolinė prieiga.
Įvardykite poreikį prieš pasirinkdami transportą
Valdymo komandos ir konfigūracijos profiliai yra vienas poreikis, interaktyvus ekrano bendrinimas – antrasis, o pasiekimas privačios vidinės programėlės – trečiasis. Jie turi skirtingus savininkus, skirtingą autentifikavimą ir dažnai labai skirtingą priimtiną ekspoziciją. Jų suvertimas į vieną krūvą yra kelias, kuriuo parkas gauna viešą prievadų sąrašą, kurio niekas negali apginti.
Trys poreikiai nesidalija vienu transportu:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Sumišimas paprastai prasideda nuo seno serverio kontrolinio sąrašo. Istorinis OS X Server dokumentas išvardija ilgą prievadų rinkinį, ir kažkas juos visus persiunčia krašte, nes valdymo paslauga yra kažkur ten viduje. Tai nėra valdymo architektūra, ir ji išplečia atvirą paviršių gerokai už to valdymo lygmens, kurį bandėte paskelbti.
Ką iš tikrųjų daro push pranešimas
Apple dokumentuotame sraute valdymo serveris siunčia APNs pranešimą, kad pasakytų įrenginiui, jog laukia darbas. Tada įrenginys atidaro ryšį su valdymo serveriu ir paprašo savo komandų. Push yra durų skambutis, o ne tunelis: jis neveža jokio savavališko turinio, jokios nuotolinio darbalaukio sesijos ir jokio kitos programėlės srauto.
Taigi įrenginys turi būti užregistruotas numatytoje paslaugoje, pasitikėti laukiamais galiniais taškais ir galėti pasiekti tiek valdymo paslaugą, tiek Apple paslaugas, nuo kurių priklauso srautas. Apple tinklo paruošimo gairės išvardija tas priklausomybes, ir jos nėra derybų dalykas šiame sraute. Valdymo serveriui, kuris egzistuoja tik jūsų tinkle, vis tiek reikia palaikomo kelio, kurį įrenginys iš tikrųjų gali naudoti. Pavadinus tai MDM, nepasiekiamas galinis taškas netampa pasiekiamas.
Laikykite leidžiamus kelius aiškius, įskaitant bet kokią tarpinio serverio ir TLS tikrinimo politiką viduryje. Tikrinimo įrenginys, kuris nutraukia laukiamą sertifikatų grandinę, atrodys lygiai taip pat kaip sugedusi registracija.
Kai VPN yra neteisingas atsakymas
Jei jūsų valdymo paslauga paskelbta internete su tinkamu sertifikatu ir kiekvieną ryšį inicijuoja įrenginys, VPN prideda šuolį nepridėdama kontrolės. Įrenginys jau autentifikuojasi savo registracijos tapatybe, o serveris jau nusprendžia, kurias komandas priims. Tunelis prieš tai keičia tinklo kelią, o ne pasitikėjimo sprendimą.
Ta pati valdymo plokštuma gali pristatyti ir patį VPN profilį. Ši tvarka svarbi: valdoma VPN konfigūracija atvyksta kaip tiesiog dar vienas turinys, todėl įrenginiui nereikia, kad tunelis egzistuotų prieš gaunant profilį, kuris jį sukuria.
Kai VPN yra teisingas atsakymas
Yra parkų, kuriuose valdymo galinis taškas niekada neturėtų būti pasiekiamas iš interneto, ir tai teisėta konstrukcija, o ne drąsos trūkumas. Reguliuojamos aplinkos, mažos vidinės IT komandos ir serveriai, kuriuose talpinamos ir kitos administravimo sąsajos, dažnai ten atsiduria. Tokiu atveju apsaugotas prieigos kelias prieš valdymo paslaugą yra sąmoninga architektūra, o ne apėjimas.
Ekrano bendrinimas ir prieiga prie privačių programėlių paprastai taip pat priklauso tai linijos pusei. Abu atskleidžia daug daugiau nei komandų kanalas, ir abu nusipelno savo autentifikavimo, o ne jojimo registracijos tapatybe.
Įkrovos spąstai, kurie sulaužo atkūrimą
Štai gedimas, prieš kurį projektuočiau: vienintelis kelias į valdymo paslaugą eina per VPN, o įrenginyje esantis VPN profilis arba prisijungimo duomenys pasibaigę. Įrenginys negali pasiekti serverio atsarginės komandos, o serveris negali nieko stumti per tunelį, kuris nepakils. Atkūrimas dabar priklauso nuo naudotojo, kuris gali būti šimtus mylių toli.
Turėkite antrą, nepriklausomą kelią atkūrimui: juostos išorės valdymo kanalą, vietinį administratorių arba valdymo paslaugą, kuri lieka pasiekiama be tunelio. Išbandykite jį, kol viskas veikia, nes per incidentą švaraus bandymo negausite.
Tada užrašykite, kurį iš trijų poreikių tenkina kiekvienas kelias, ir pašalinkite prievadų persiuntimus, kurie netenkina nė vieno. Parkas, kurį galima valdyti be bendro tunelio ir kurį vis dar galima suremontuoti, kai tunelis ir yra tai, kas sugedo, yra rezultatas, dėl kurio verta projektuoti.