Apple MDM-ന് VPN വേണോ? മൂന്ന് ആക്സസ് ആവശ്യങ്ങൾ, ഒരു ഉത്തരം
Apple MDM APNs-ലും ഉപകരണം തുടങ്ങുന്ന HTTPS-ലും പ്രവർത്തിക്കുന്നു, LAN ടണലിൽ അല്ല. VPN ചേർക്കുന്നതിന് മുൻപ് മാനേജ്മെന്റ്, സ്ക്രീൻ പങ്കിടൽ, സ്വകാര്യ ആപ്പ് ആക്സസ് എന്നിവ വേർതിരിക്കുക.
Apple ഉപകരണ മാനേജ്മെന്റിന് എൻക്രിപ്ഷൻ വേണോ എന്നത് അപൂർവമായ ചോദ്യമാണ്, കാരണം വേണം. Mac അല്ലെങ്കിൽ iPad മാനേജ് ചെയ്യാൻ കഴിയുന്നതിന് മുൻപ് നിങ്ങളുടെ ഫ്ലീറ്റിന് പൊതു ഉദ്ദേശ്യ VPN വേണോ എന്നതാണ് യഥാർത്ഥ ചോദ്യം, ഇന്റർനെറ്റ് വഴി മാനേജ് ചെയ്യുന്ന മിക്ക വിന്യാസങ്ങൾക്കും ഉത്തരം ഇല്ല എന്നാണ്. ഉപകരണത്തിന് സ്വന്തം ഷെഡ്യൂൾ അനുസരിച്ച് ഒരു മാനേജ്മെന്റ് സേവനത്തിൽ എത്താൻ Apple അനുവദിക്കുന്നു, പ്രധാനമായ ട്രാഫിക് ഡെസ്ക്ടോപ്പ് സെഷനല്ല, ഒപ്പിട്ട കമാൻഡ് ചാനലാണ്. അത് നിങ്ങൾക്ക് പ്രവർത്തിക്കുമോ എന്നത് മൂന്ന് വ്യവസ്ഥകളെ ആശ്രയിച്ചിരിക്കുന്നു, പുറത്തുനിന്ന് നോക്കുമ്പോൾ എല്ലാം ദൂര ആക്സസ് പോലെ തോന്നുന്നതിനാൽ അവ കൂട്ടിക്കുഴയ്ക്കാൻ എളുപ്പമാണ്.
ഗതാഗതം തിരഞ്ഞെടുക്കുന്നതിന് മുൻപ് ആവശ്യത്തിന് പേര് നൽകുക
മാനേജ്മെന്റ് കമാൻഡുകളും കോൺഫിഗറേഷൻ പ്രൊഫൈലുകളും ഒരു ആവശ്യമാണ്, ഇന്ററാക്ടീവ് സ്ക്രീൻ പങ്കിടൽ രണ്ടാമത്തേത്, സ്വകാര്യ ആന്തരിക ആപ്പിൽ എത്തുന്നത് മൂന്നാമത്തേത്. അവയ്ക്ക് വ്യത്യസ്ത ഉടമകളും വ്യത്യസ്ത പ്രാമാണീകരണവും പലപ്പോഴും വളരെ വ്യത്യസ്തമായ സ്വീകാര്യ എക്സ്പോഷറും ഉണ്ട്. അവയെ ഒന്നിച്ച് ചേർക്കുന്നതാണ് ഒരു ഫ്ലീറ്റ് ആർക്കും സംരക്ഷിക്കാൻ കഴിയാത്ത പൊതു പോർട്ട് പട്ടികയിൽ എത്തുന്ന വഴി.
മൂന്ന് ആവശ്യങ്ങൾ ഒരു ഗതാഗതം പങ്കിടുന്നില്ല:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
ആശയക്കുഴപ്പം സാധാരണയായി പഴയ സെർവർ ചെക്ക്ലിസ്റ്റിൽ നിന്നാണ് തുടങ്ങുന്നത്. OS X Server-നെക്കുറിച്ചുള്ള ഒരു ചരിത്ര രേഖ നീണ്ട പോർട്ട് കൂട്ടം പട്ടികപ്പെടുത്തുന്നു, മാനേജ്മെന്റ് സേവനം എവിടെയോ അതിനുള്ളിൽ ആയതിനാൽ ആരോ എല്ലാം അരികിൽ ഫോർവേഡ് ചെയ്യുന്നു. അത് ഒരു മാനേജ്മെന്റ് ആർക്കിടെക്ചറല്ല, അത് നിങ്ങൾ പ്രസിദ്ധീകരിക്കാൻ ശ്രമിച്ച നിയന്ത്രണ തലത്തിന് വളരെ അപ്പുറത്തേക്ക് തുറന്ന ഉപരിതലം വികസിപ്പിക്കുന്നു.
പുഷ് അറിയിപ്പ് യഥാർത്ഥത്തിൽ എന്ത് ചെയ്യുന്നു
Apple രേഖപ്പെടുത്തിയ ഒഴുക്കിൽ, മാനേജ്മെന്റ് സെർവർ ഒരു APNs അറിയിപ്പ് അയച്ച് ജോലി കാത്തിരിക്കുന്നു എന്ന് ഉപകരണത്തെ അറിയിക്കുന്നു. തുടർന്ന് ഉപകരണം മാനേജ്മെന്റ് സെർവറിലേക്ക് ഒരു കണക്ഷൻ തുറന്ന് തന്റെ കമാൻഡുകൾ ആവശ്യപ്പെടുന്നു. പുഷ് ഒരു വാതിൽ മണിയാണ്, ടണലല്ല: അത് ഏതെങ്കിലും അനിയന്ത്രിത പേലോഡോ, ദൂര ഡെസ്ക്ടോപ്പ് സെഷനോ, മറ്റൊരു ആപ്പിന്റെ ട്രാഫിക്കോ വഹിക്കുന്നില്ല.
അതിനാൽ ഉപകരണം ഉദ്ദേശിച്ച സേവനത്തിൽ രജിസ്റ്റർ ചെയ്തിരിക്കണം, പ്രതീക്ഷിക്കുന്ന എൻഡ്പോയിന്റുകളെ വിശ്വസിക്കണം, മാനേജ്മെന്റ് സേവനത്തിലും ഒഴുക്ക് ആശ്രയിക്കുന്ന Apple സേവനങ്ങളിലും എത്താനാകണം. Apple-ന്റെ നെറ്റ്വർക്ക് തയ്യാറെടുപ്പ് മാർഗ്ഗനിർദ്ദേശം ആ ആശ്രിതത്വങ്ങൾ പട്ടികപ്പെടുത്തുന്നു, അവ ഒഴുക്കിന്റെ ചർച്ച ചെയ്യാവുന്ന ഭാഗങ്ങളല്ല. നിങ്ങളുടെ നെറ്റ്വർക്കിനുള്ളിൽ മാത്രം നിലനിൽക്കുന്ന ഒരു മാനേജ്മെന്റ് സെർവറിനും ഉപകരണത്തിന് യഥാർത്ഥത്തിൽ ഉപയോഗിക്കാവുന്ന പിന്തുണയുള്ള വഴി വേണം. അതിനെ MDM എന്ന് വിളിക്കുന്നത് എത്താനാകാത്ത ഒരു എൻഡ്പോയിന്റിനെ എത്താവുന്നതാക്കുന്നില്ല.
അനുവദിച്ച വഴികൾ വ്യക്തമായി സൂക്ഷിക്കുക, നടുവിലുള്ള ഏതെങ്കിലും പ്രോക്സി, TLS പരിശോധനാ നയം ഉൾപ്പെടെ. പ്രതീക്ഷിക്കുന്ന സർട്ടിഫിക്കറ്റ് ശൃംഖല തകർക്കുന്ന ഒരു പരിശോധനാ ഉപകരണം തകർന്ന രജിസ്ട്രേഷൻ പോലെ തന്നെ കാണപ്പെടും.
VPN തെറ്റായ ഉത്തരമാകുമ്പോൾ
നിങ്ങളുടെ മാനേജ്മെന്റ് സേവനം ശരിയായ സർട്ടിഫിക്കറ്റോടെ ഇന്റർനെറ്റിൽ പ്രസിദ്ധീകരിച്ചിട്ടുണ്ടെങ്കിൽ, ഓരോ കണക്ഷനും ഉപകരണം തുടങ്ങുന്നുവെങ്കിൽ, VPN നിയന്ത്രണം ചേർക്കാതെ ഒരു ചാട്ടം ചേർക്കുന്നു. ഉപകരണം ഇതിനകം തന്റെ രജിസ്ട്രേഷൻ ഐഡന്റിറ്റി ഉപയോഗിച്ച് പ്രാമാണീകരിക്കുന്നു, സെർവർ ഏത് കമാൻഡുകൾ സ്വീകരിക്കുമെന്ന് ഇതിനകം തീരുമാനിക്കുന്നു. അതിന് മുൻപിൽ ഒരു ടണൽ വയ്ക്കുന്നത് നെറ്റ്വർക്ക് പാതയെ മാറ്റുന്നു, വിശ്വാസ തീരുമാനത്തെയല്ല.
അതേ നിയന്ത്രണ തലത്തിന് VPN പ്രൊഫൈൽ തന്നെ നൽകാനും കഴിയും. ആ ക്രമം പ്രധാനമാണ്: മാനേജ് ചെയ്ത VPN കോൺഫിഗറേഷൻ വെറും മറ്റൊരു പേലോഡായി വരുന്നു, അതിനാൽ അത് സൃഷ്ടിക്കുന്ന പ്രൊഫൈൽ ലഭിക്കുന്നതിന് മുൻപ് ടണൽ നിലവിലുണ്ടാകണമെന്ന ആവശ്യം ഉപകരണത്തിനില്ല.
VPN ശരിയായ ഉത്തരമാകുമ്പോൾ
മാനേജ്മെന്റ് എൻഡ്പോയിന്റ് ഒരിക്കലും ഇന്റർനെറ്റിൽ നിന്ന് എത്താവുന്നതാകരുതാത്ത ഫ്ലീറ്റുകൾ ഉണ്ട്, അത് ധൈര്യക്കുറവല്ല, സാധുവായ രൂപകൽപ്പനയാണ്. നിയന്ത്രിത പരിസ്ഥിതികൾ, ചെറിയ ആന്തരിക IT ടീമുകൾ, മറ്റ് അഡ്മിനിസ്ട്രേറ്റീവ് ഇന്റർഫേസുകളും ഹോസ്റ്റ് ചെയ്യുന്ന സെർവറുകൾ എന്നിവ പലപ്പോഴും അവിടെ എത്തുന്നു. അത്തരം സന്ദർഭത്തിൽ മാനേജ്മെന്റ് സേവനത്തിന് മുൻപിൽ സംരക്ഷിത ആക്സസ് പാത ബോധപൂർവമായ ആർക്കിടെക്ചറാണ്, പരിഹാരമല്ല.
സ്ക്രീൻ പങ്കിടലും സ്വകാര്യ ആപ്പ് ആക്സസും സാധാരണയായി വരിയുടെ അതേ വശത്താണ്. രണ്ടും കമാൻഡ് ചാനലിനേക്കാൾ വളരെ കൂടുതൽ വെളിപ്പെടുത്തുന്നു, രണ്ടും രജിസ്ട്രേഷൻ ഐഡന്റിറ്റിയിൽ കയറിയിരിക്കുന്നതിന് പകരം സ്വന്തം പ്രാമാണീകരണത്തിന് അർഹരാണ്.
വീണ്ടെടുപ്പ് തകർക്കുന്ന ബൂട്ട്സ്ട്രാപ്പ് കെണി
ഞാൻ എതിരായി രൂപകൽപ്പന ചെയ്യുന്ന പരാജയം ഇതാണ്: മാനേജ്മെന്റ് സേവനത്തിലേക്കുള്ള ഏക വഴി VPN വഴി പോകുന്നു, ഉപകരണത്തിലെ VPN പ്രൊഫൈലോ ക്രെഡൻഷ്യലോ കാലഹരണപ്പെട്ടിരിക്കുന്നു. പകരം കമാൻഡ് ശേഖരിക്കാൻ ഉപകരണത്തിന് സെർവറിൽ എത്താനാകുന്നില്ല, ഉയരാത്ത ഒരു ടണലിലൂടെ സെർവറിന് ഒന്നും തള്ളാനാകുന്നില്ല. വീണ്ടെടുപ്പ് ഇപ്പോൾ നൂറുകണക്കിന് മൈൽ അകലെയായിരിക്കാം എന്ന ഒരു ഉപയോക്താവിനെ ആശ്രയിച്ചിരിക്കുന്നു.
വീണ്ടെടുപ്പിനായി രണ്ടാമതൊരു സ്വതന്ത്ര വഴി സൂക്ഷിക്കുക, അത് ബാൻഡിന് പുറത്തുള്ള മാനേജ്മെന്റ് ചാനലോ, പ്രാദേശിക അഡ്മിനിസ്ട്രേറ്ററോ, ടണലില്ലാതെ എത്താവുന്നതായി തുടരുന്ന മാനേജ്മെന്റ് സേവനമോ ആകാം. എല്ലാം പ്രവർത്തിക്കുമ്പോൾ അത് പരിശോധിക്കുക, സംഭവസമയത്ത് നിങ്ങൾക്ക് ശുദ്ധമായ പരിശോധന ലഭിക്കില്ല.
തുടർന്ന് ഓരോ വഴിയും മൂന്ന് ആവശ്യങ്ങളിൽ ഏതിന് സേവനം നൽകുന്നു എന്ന് എഴുതി, ഒന്നിനും സേവനം നൽകാത്ത പോർട്ട് ഫോർവേഡിംഗുകൾ നീക്കം ചെയ്യുക. പൊതുവായ ടണലില്ലാതെ മാനേജ് ചെയ്യാനാകുന്ന, ടണൽ തന്നെ തകർന്നപ്പോഴും നന്നാക്കാനാകുന്ന ഫ്ലീറ്റാണ് രൂപകൽപ്പന ചെയ്യാൻ യോഗ്യമായ ഫലം.