Għandek bżonn VPN għall-Apple MDM? Tliet ħtiġijiet ta' aċċess, tweġiba waħda
Apple MDM jaħdem fuq APNs u HTTPS li jibda l-apparat, mhux fuq mina LAN. Issepara l-immaniġġjar, il-qsim tal-iskrin u l-aċċess għall-apps privati qabel iżżid VPN.
Il-mistoqsija rarament hija jekk l-immaniġġjar tal-apparati Apple jeħtieġx encryption, għax jeħtieġu. Il-mistoqsija vera hija jekk il-flotta tiegħek teħtieġx VPN ġenerali qabel ma Mac jew iPad jista' jiġi mmaniġġjat xejn, u għall-biċċa l-kbira tal-varar immaniġġjat mill-internet it-tweġiba hija le. Apple tħalli l-apparat jilħaq servizz ta' mmaniġġjar skont l-iskeda tiegħu stess, u t-traffiku li jgħodd huwa kanal ta' kmandi ffirmat, mhux sessjoni ta' desktop. Jekk dan jaħdimx għalik jiddependi fuq tliet kundizzjonijiet, u huwa faċli tħawwadhom għax minn barra kollha jixbhu aċċess remot.
Semmi l-ħtieġa qabel tagħżel trasport
Il-kmandi ta' mmaniġġjar u l-profili tal-konfigurazzjoni huma ħtieġa waħda, il-qsim interattiv tal-iskrin hija t-tieni, u l-ilħuq ta' applikazzjoni interna privata hija t-tielet. Għandhom sidien differenti, awtentikazzjoni differenti, u spiss espożizzjoni aċċettabbli ferm differenti. Li tgħaqqadhom flimkien huwa kif flotta tispiċċa b'lista pubblika ta' ports li ħadd ma jista' jiddefendiha.
It-tliet ħtiġijiet ma jaqsmu l-ebda trasport wieħed:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Il-konfużjoni normalment tibda b'lista ta' verifika antika tas-server. Dokument storiku ta' OS X Server jelenka sett twil ta' ports, u xi ħadd jgħaddihom kollha fit-tarf għax is-servizz ta' mmaniġġjar qiegħed xi mkien ġewwa. Dak mhuwiex arkitettura ta' mmaniġġjar, u jwessa' l-wiċċ espost ferm lil hinn mill-pjan ta' kontroll li kont qed tipprova tippubblika.
X'jagħmel verament in-notifika push
Fil-fluss dokumentat ta' Apple, is-server ta' mmaniġġjar jibgħat notifika APNs biex jgħid lill-apparat li qed jistenna xogħol. L-apparat imbagħad jiftaħ konnessjoni mas-server ta' mmaniġġjar u jitlob il-kmandi tiegħu. Il-push hija qanpiena tal-bieb, mhux mina: ma ġġorr l-ebda payload arbitrarju, l-ebda sessjoni ta' desktop mill-bogħod, u lanqas traffiku ta' app oħra.
Għalhekk l-apparat irid ikun irreġistrat mas-servizz maħsub, jafda l-endpoints mistennija, u jkun jista' jilħaq kemm is-servizz ta' mmaniġġjar kif ukoll is-servizzi Apple li l-fluss jiddependi fuqhom. Il-gwida ta' Apple għat-tħejjija tan-netwerk telenka dawk id-dipendenzi, u mhumiex partijiet negozjabbli tal-fluss. Server ta' mmaniġġjar li jeżisti biss ġewwa n-netwerk tiegħek xorta jeħtieġ triq appoġġjata li l-apparat jista' verament juża. Li ssejjaħlu MDM ma jagħmilx endpoint mhux milħuq milħuq.
Żomm it-toroq permessi espliċiti, inkluż kwalunkwe politika ta' proxy u spezzjoni TLS fin-nofs. Apparat ta' spezzjoni li jkisser il-katina taċ-ċertifikati mistennija jidher eżattament bħal reġistrazzjoni miksura.
Meta l-VPN hija t-tweġiba ħażina
Jekk is-servizz ta' mmaniġġjar tiegħek huwa ppubblikat fuq l-internet b'ċertifikat tajjeb u l-apparat jibda kull konnessjoni, VPN iżżid qabża mingħajr ma żżid kontroll. L-apparat diġà jawtentika ruħu bl-identità tar-reġistrazzjoni tiegħu, u s-server diġà jiddeċiedi liema kmandi se jaċċetta. Mina quddiem dan tbiddel it-triq tan-netwerk, mhux id-deċiżjoni tal-fiduċja.
L-istess pjan ta' kontroll jista' wkoll iwassal il-profil VPN innifsu. Dan l-ordni huwa importanti: konfigurazzjoni VPN immaniġġjata tasal bħala payload ieħor biss, għalhekk l-apparat m'għandux bżonn il-mina teżisti qabel ma jirċievi l-profil li joħloqha.
Meta l-VPN hija t-tweġiba t-tajba
Hemm flotti fejn l-endpoint ta' mmaniġġjar m'għandux qatt ikun milħuq mill-internet, u dan huwa disinn leġittimu mhux nuqqas ta' kuraġġ. Ambjenti regolati, timijiet tal-IT interni żgħar u servers li jospitaw ukoll interfaċċji amministrattivi oħra spiss jispiċċaw hemm. F'dak il-każ triq ta' aċċess protetta quddiem is-servizz ta' mmaniġġjar hija arkitettura maħsuba, mhux soluzzjoni ta' ċirkomvenzjoni.
Il-qsim tal-iskrin u l-aċċess għall-apps privati normalment jappartjenu wkoll għal dak in-naħa tal-linja. It-tnejn jesponu ferm aktar minn kanal ta' kmandi, u t-tnejn jistħoqqilhom l-awtentikazzjoni tagħhom stess minflok ma jirkbu fuq l-identità tar-reġistrazzjoni.
In-nassa tal-bootstrap li tkisser l-irkupru
Hawn hi l-falliment li kont niddisinja kontrih: l-unika triq għas-servizz ta' mmaniġġjar tgħaddi minn VPN, u l-profil jew il-kredenzjali tal-VPN fuq l-apparat skadew. L-apparat ma jistax jilħaq is-server biex jiġbor kmand sostitut, u s-server ma jistax jimbotta xejn minn mina li mhix se titla'. L-irkupru issa jiddependi fuq utent li jista' jkun mijiet ta' mili 'l bogħod.
Żomm it-tieni triq indipendenti għall-irkupru, kemm jekk kanal ta' mmaniġġjar out-of-band, amministratur lokali, jew servizz ta' mmaniġġjar li jibqa' milħuq mingħajr il-mina. Ippruvaha waqt li kollox jaħdem, għax ma jkollokx prova nadifa waqt inċident.
Imbagħad ikteb liema mit-tliet ħtiġijiet iservi kull triq, u neħħi l-indirizzar tal-ports li ma jservi l-ebda waħda minnhom. Flotta li tista' tiġi mmaniġġjata mingħajr mina ġenerali, u li għadha tista' tiġi msewwija meta l-mina hija dak li tkisser, hija r-riżultat li jistħoqqlu disinn.