Apple MDM-д VPN хэрэгтэй юу? Гурван хандалтын хэрэгцээ, нэг хариулт
Apple MDM нь APNs болон төхөөрөмжийн эхлүүлсэн HTTPS дээр ажилладаг, LAN туннел дээр биш. VPN нэмэхээс өмнө удирдлага, дэлгэц хуваалцах, хувийн апп-ын хандалтыг тусгаарлаарай.
Apple төхөөрөмжийн удирдлагад шифрлэлт хэрэгтэй юу гэдэг асуулт ховор, учир нь хэрэгтэй. Жинхэнэ асуулт нь Mac эсвэл iPad-ыг удирдаж эхлэхээс өмнө танай паркад ерөнхий зориулалтын VPN хэрэгтэй юу гэдэг, интернетээр удирддаг ихэнх байршуулалтад хариулт нь үгүй. Apple төхөөрөмжид удирдлагын үйлчилгээнд өөрийн хуваарийн дагуу хүрэх боломж олгодог, чухал трафик бол гарын үсэгтэй команд суваг, ажлын ширээний сесс биш. Энэ танд ажиллах эсэх нь гурван нөхцөлөөс хамаарна, гаднаас бүгд алсын хандалт мэт харагддаг тул тэдгээрийг андуурахад амархан.
Тээврийг сонгохын өмнө хэрэгцээг нэрлэ
Удирдлагын команд болон тохиргооны профайл нь нэг хэрэгцээ, интерактив дэлгэц хуваалцах нь хоёр дахь, хувийн дотоод апп-д хүрэх нь гурав дахь. Тэд өөр эзэмшигчтэй, өөр баталгаажуулалттай, ихэвчлэн огт өөр хүлээн зөвшөөрөгдөх илрэлтэй. Тэдгээрийг нэг дор хийх нь парк хэн ч хамгаалж чадахгүй нийтийн портын жагсаалттай болох зам.
Гурван хэрэгцээ нэг тээврийг хуваалцдаггүй:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Төөрөгдөл ихэвчлэн хуучин серверийн шалгах хуудсаас эхэлдэг. OS X Server-ийн түүхэн баримт бичиг урт портын багцыг жагсаадаг, удирдлагын үйлчилгээ тэнд хаа нэгтээ байгаа учраас хэн нэгэн бүгдийг ирмэг дээр дамжуулдаг. Энэ нь удирдлагын архитектур биш бөгөөд та нийтлэх гэж оролдсон удирдлагын хавтгайгаас хамаагүй давсан ил гарсан гадаргууг өргөжүүлдэг.
Push мэдэгдэл яг юу хийдэг
Apple-ийн баримтжуулсан урсгалд удирдлагын сервер APNs мэдэгдэл илгээж, төхөөрөмжид ажил хүлээж байгааг мэдэгддэг. Дараа нь төхөөрөмж удирдлагын сервертэй холболт нээж, өөрийн командуудыг хүсдэг. Push нь хаалганы хонх, туннел биш: ямар ч дур зоргын ачаа, алсын ажлын ширээний сесс, өөр апп-ын трафик зөөдөггүй.
Тиймээс төхөөрөмж зориулсан үйлчилгээнд бүртгэгдсэн байх, хүлээгдэж буй төгсгөлийн цэгүүдэд итгэх, удирдлагын үйлчилгээ болон урсгал хамаарах Apple үйлчилгээнүүдэд хоёуланд нь хүрэх чадвартай байх ёстой. Apple-ийн сүлжээ бэлтгэх заавар эдгээр хамаарлыг жагсаадаг бөгөөд тэдгээр нь урсгалын хэлэлцэж болох хэсэг биш. Зөвхөн танай сүлжээний дотор оршдог удирдлагын серверт ч төхөөрөмжийн бодитоор ашиглаж чадах дэмжигдсэн зам хэрэгтэй. Үүнийг MDM гэж нэрлэх нь хүрэх боломжгүй төгсгөлийн цэгийг хүрэх боломжтой болгодоггүй.
Зөвшөөрөгдсөн замуудыг тодорхой байлга, дунд байгаа аливаа прокси болон TLS шалгалтын бодлогыг оролцуулан. Хүлээгдэж буй гэрчилгээний хэлхээг эвддэг шалгалтын төхөөрөмж яг эвдэрсэн бүртгэл мэт харагдана.
VPN буруу хариулт болох үед
Хэрэв танай удирдлагын үйлчилгээ зөв гэрчилгээтэйгээр интернетэд нийтлэгдсэн бөгөөд холболт бүрийг төхөөрөмж эхлүүлдэг бол VPN хяналт нэмэхгүйгээр нэг үсрэлт нэмнэ. Төхөөрөмж аль хэдийн бүртгэлийн таних тэмдгээрээ баталгаажиж, сервер аль хэдийн ямар командуудыг хүлээж авахаа шийддэг. Түүний өмнөх туннел сүлжээний замыг өөрчилдөг, итгэлийн шийдвэрийг биш.
Мөн удирдлагын хавтгай VPN профайлыг өөрөө хүргэж болно. Энэ дараалал чухал: удирддаг VPN тохиргоо зүгээр л бас нэг ачаа болж ирдэг, тиймээс түүнийг үүсгэдэг профайлыг авахаас өмнө туннел байх шаардлагагүй.
VPN зөв хариулт болох үед
Удирдлагын төгсгөлийн цэг хэзээ ч интернетээс хүрэх боломжгүй байх ёстой паркууд байдаг бөгөөд энэ нь зориг дутмаг биш, хууль ёсны дизайн. Зохицуулалттай орчин, жижиг дотоод IT баг, бусад административ интерфэйсийг ч хостлож буй серверүүд тэнд очдог. Тэр тохиолдолд удирдлагын үйлчилгээний өмнөх хамгаалагдсан хандалтын зам нь санаатай архитектур, тойрч гарах шийдэл биш.
Дэлгэц хуваалцах, хувийн апп-ын хандалт нь ихэвчлэн шугамын тэр талд ч хамаарна. Хоёулаа командын сувгаас хамаагүй илүүг илчилдэг бөгөөд хоёулаа бүртгэлийн таних тэмдэг дээр тохож байхын оронд өөрийн баталгаажуулалт авах ёстой.
Сэргээлтийг эвддэг ачааллын урхи
Би эсрэг нь зохиох алдаа нь энэ: удирдлагын үйлчилгээ рүү ганц зам VPN-ээр дайран өнгөрдөг, төхөөрөмж дээрх VPN профайл эсвэл итгэмжлэл хугацаа дууссан. Төхөөрөмж орлуулах команд авахын тулд серверт хүрч чадахгүй, сервер босохгүй туннелээр юу ч түлхэж чадахгүй. Сэргээлт одоо хэдэн зуун милийн зайд байж болох хэрэглэгчээс хамаарна.
Сэргээлтэд зориулж хоёр дахь, бие даасан зам хадгал: энэ нь зурвасаас гадуурх удирдлагын суваг, локал администратор, эсвэл туннелгүйгээр хүрэх боломжтой хэвээр байх удирдлагын үйлчилгээ байж болно. Бүх зүйл ажиллаж байхад нь туршиж үз, учир нь ослын үеэр цэвэр туршилт авахгүй.
Дараа нь зам бүр гурван хэрэгцээний алинд үйлчилдгийг бичээд, аль нэгэнд нь ч үйлчилдэггүй порт дамжуулалтыг хас. Ерөнхий туннелгүйгээр удирдаж болох, туннел нь эвдэрсэн үед ч засаж болох парк бол зохиох үнэ цэнэтэй үр дүн.