Ви треба VPN за Apple MDM? Три потреби за пристап, еден одговор
Apple MDM работи на APNs и на HTTPS што го иницира уредот, а не на LAN тунел. Одделете го управувањето, споделувањето екран и пристапот до приватни апликации пред да додадете VPN.
Прашањето ретко е дали управувањето со Apple уреди бара шифрирање, зашто бара. Вистинското прашање е дали на вашиот парк му треба општа VPN пред Mac или iPad воопшто да може да се управува, и за повеќето распоредувања управувани преку интернет одговорот е не. Apple му дозволува на уредот да стигне до услуга за управување по свој распоред, а сообраќајот што е важен е потпишан канал за команди, а не сесија на работна површина. Дали тоа ќе работи кај вас зависи од три услови, и лесно е да се помешаат зашто однадвор сите изгледаат како далечински пристап.
Именувајте ја потребата пред да изберете пренос
Командите за управување и конфигурациските профили се една потреба, интерактивното споделување екран е втора, а пристапот до приватна внатрешна апликација е трета. Тие имаат различни сопственици, различна автентикација и често многу различна прифатлива изложеност. Нивното спојување е патот по кој еден парк завршува со јавен список порти што никој не може да го одбрани.
Трите потреби не делат еден пренос:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Збунетоста обично почнува со стар контролен список на сервер. Историски документ за OS X Server наведува долг сет порти, и некој ги препраќа сите на работ, зашто услугата за управување е некаде внатре. Тоа не е архитектура за управување и ја шири изложената површина далеку над контролната рамнина што сте се обидувале да ја објавите.
Што всушност прави push известувањето
Во документираниот тек на Apple, серверот за управување испраќа APNs известување за да му каже на уредот дека го чека работа. Потоа уредот отвора врска до серверот за управување и ги бара своите команди. Push е ѕвонче на врата, не тунел: не носи никаков произволен товар, ниту сесија на далечинска работна површина, ниту сообраќај на друга апликација.
Затоа уредот мора да биде запишан во предвидената услуга, да им верува на очекуваните крајни точки и да може да стигне и до услугата за управување и до Apple услугите од кои зависи текот. Apple упатството за подготовка на мрежата ги наведува тие зависности, и тие не се части од текот за преговарање. Сервер за управување што постои само во вашата мрежа и понатаму бара поддржан пат што уредот навистина може да го користи. Да го наречете MDM не прави недостапна крајна точка да биде достапна.
Држете ги дозволените патеки експлицитни, вклучително која било политика за прокси и TLS инспекција во средината. Уред за инспекција што го крши очекуваниот синџир на сертификати ќе изгледа токму како расипана регистрација.
Кога VPN е погрешниот одговор
Ако вашата услуга за управување е објавена на интернет со исправен сертификат и уредот ја започнува секоја врска, VPN додава скок без да додаде контрола. Уредот веќе се автентицира со својот идентитет на регистрација, а серверот веќе одлучува кои команди ќе ги прифати. Тунел пред тоа го менува мрежниот пат, не одлуката за доверба.
Истата контролна рамнина може да го достави и самиот VPN профил. Тој редослед е важен: управувана VPN конфигурација доаѓа како само уште еден товар, па на уредот не му треба тунелот да постои пред да го прими профилот што го создава.
Кога VPN е правилниот одговор
Има паркови каде крајната точка за управување никогаш не треба да биде достапна од интернет, и тоа е легитимен дизајн, а не недостиг на смелост. Регулирани околини, мали внатрешни ИТ тимови и сервери што хостираат и други административни интерфејси често завршуваат таму. Во тој случај заштитена патека за пристап пред услугата за управување е намерна архитектура, не заобиколување.
Споделувањето екран и пристапот до приватни апликации обично припаѓаат на таа страна од линијата. Двете изложуваат многу повеќе од канал за команди, и двете заслужуваат сопствена автентикација наместо да се возат на идентитетот на регистрација.
Стапицата при подигање што го крши враќањето
Еве го дефектот против кој би проектирал: единствениот пат до услугата за управување оди преку VPN, а VPN профилот или акредитивот на уредот истекле. Уредот не може да стигне до серверот за да земе замена команда, а серверот не може да турне ништо низ тунел што нема да се подигне. Враќањето сега зависи од корисник што можеби е стотици милји далеку.
Држете втор, независен пат за враќање, било тоа да е вонпојасен канал за управување, локален администратор или услуга за управување што останува достапна без тунелот. Тестирајте го додека сите работи функционираат, зашто за време на инцидент нема да добиете чист тест.
Потоа запишете која од трите потреби ја служи секој пат и отстранете ги препраќањата на порти што не служат ниту една од нив. Парк што може да се управува без општ тунел и што и понатаму може да се поправи кога тунелот е она што се расипало е резултатот за кој вреди да се проектира.