के Apple MDM का लागि VPN चाहिन्छ? तीन पहुँच आवश्यकताहरू, एउटै उत्तर
Apple MDM APNs र यन्त्रले सुरु गर्ने HTTPS मा चल्छ, LAN टनेलमा होइन। VPN थप्नुअघि व्यवस्थापन, स्क्रिन साझेदारी र निजी एप पहुँच अलग गर्नुहोस्।
Apple यन्त्र व्यवस्थापनलाई इन्क्रिप्शन चाहिन्छ कि भन्ने प्रश्न विरलै सोधिन्छ, किनकि चाहिन्छ। वास्तविक प्रश्न यो हो कि Mac वा iPad व्यवस्थापन गर्न सकिनुअघि तपाईंको फ्लीटलाई सामान्य उद्देश्यको VPN चाहिन्छ कि भन्ने हो, र इन्टरनेटबाट व्यवस्थापन गरिने अधिकांश परिनियोजनका लागि उत्तर होइन हो। Apple ले यन्त्रलाई आफ्नै तालिकाअनुसार व्यवस्थापन सेवासम्म पुग्न दिन्छ, र महत्त्वपूर्ण ट्राफिक हस्ताक्षरित आदेश च्यानल हो, डेस्कटप सत्र होइन। यो तपाईंका लागि काम गर्छ कि भन्ने तीन सर्तमा निर्भर छ, र बाहिरबाट सबै टाढाको पहुँचजस्तै देखिने हुनाले तिनलाई गलाउनु सजिलो छ।
यातायात छान्नु अघि आवश्यकताको नाम राख्नुहोस्
व्यवस्थापन आदेश र कन्फिगरेसन प्रोफाइल एउटा आवश्यकता हो, अन्तरक्रियात्मक स्क्रिन साझेदारी दोस्रो हो, र निजी आन्तरिक एपसम्म पुग्नु तेस्रो हो। तिनका मालिक फरक, प्रमाणीकरण फरक, र प्रायः स्वीकार्य एक्सपोजर धेरै फरक हुन्छ। तिनलाई एकै ठाउँमा मिसाउनु भनेको फ्लीट कसैले पनि रक्षा गर्न नसक्ने सार्वजनिक पोर्ट सूचीमा पुग्ने बाटो हो।
तीन आवश्यकताले एउटै यातायात साझा गर्दैनन्:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
भ्रम सामान्यतया पुरानो सर्भर जाँचसूचीबाट सुरु हुन्छ। OS X Server को ऐतिहासिक कागजातले लामो पोर्ट समूह सूचीबद्ध गर्छ, र कोही ती सबै किनारमा अगाडि पठाउँछ किनकि व्यवस्थापन सेवा कतै त्यसभित्र छ। त्यो व्यवस्थापन वास्तुकला होइन, र त्यसले खुला सतहलाई तपाईंले प्रकाशित गर्न खोजेको नियन्त्रण तहभन्दा धेरै परसम्म फैलाउँछ।
पुश सूचनाले वास्तवमा के गर्छ
Apple को अभिलेखित प्रवाहमा व्यवस्थापन सर्भरले APNs सूचना पठाएर यन्त्रलाई काम प्रतीक्षामा छ भनी जानकारी दिन्छ। त्यसपछि यन्त्रले व्यवस्थापन सर्भरसँग जडान खोल्छ र आफ्ना आदेश माग्छ। पुश ढोकाको घण्टी हो, टनेल होइन: यसले कुनै स्वेच्छाचारी पेलोड, कुनै टाढाको डेस्कटप सत्र, वा अर्को एपको ट्राफिक बोक्दैन।
त्यसैले यन्त्र अभिप्रेत सेवामा दर्ता भएको हुनुपर्छ, अपेक्षित अन्त्यबिन्दुहरूमा विश्वास गर्नुपर्छ, र व्यवस्थापन सेवा तथा प्रवाह निर्भर Apple सेवाहरूसम्म पुग्न सक्नुपर्छ। Apple को सञ्जाल तयारी मार्गदर्शन ले ती निर्भरताहरू सूचीबद्ध गर्छ, र ती प्रवाहका वार्ता गर्न मिल्ने भाग होइनन्। केवल तपाईंको सञ्जालभित्र मात्र रहेको व्यवस्थापन सर्भरलाई पनि यन्त्रले वास्तवमै प्रयोग गर्न सक्ने समर्थित बाटो चाहिन्छ। यसलाई MDM भन्नुले अगम्य अन्त्यबिन्दुलाई गम्य बनाउँदैन।
अनुमति दिइएका बाटाहरू स्पष्ट राख्नुहोस्, बीचमा रहेको कुनै पनि प्रोक्सी र TLS निरीक्षण नीतिसहित। अपेक्षित प्रमाणपत्र शृंखला तोड्ने निरीक्षण उपकरण ठ्याक्कै बिग्रेको दर्ताजस्तै देखिन्छ।
जब VPN गलत उत्तर हो
यदि तपाईंको व्यवस्थापन सेवा उचित प्रमाणपत्रसहित इन्टरनेटमा प्रकाशित छ र हरेक जडान यन्त्रले सुरु गर्छ भने VPN ले कुनै नियन्त्रण नथपी एउटा फड्को थप्छ। यन्त्रले पहिले नै आफ्नो दर्ता परिचयले प्रमाणीकरण गर्छ, र सर्भरले पहिले नै कुन आदेश स्वीकार्ने निर्णय गर्छ। त्यसको अगाडि टनेल राख्दा सञ्जाल बाटो बदलिन्छ, विश्वासको निर्णय होइन।
त्यही नियन्त्रण तहले VPN प्रोफाइल आफैं पनि पुर्याउन सक्छ। त्यो क्रम महत्त्वपूर्ण छ: व्यवस्थापित VPN कन्फिगरेसन अर्को एउटा पेलोडका रूपमै आउँछ, त्यसैले त्यो बनाउने प्रोफाइल प्राप्त गर्नुअघि टनेल अस्तित्वमा हुनुपर्ने आवश्यकता यन्त्रलाई पर्दैन।
जब VPN सही उत्तर हो
केही फ्लीट छन् जहाँ व्यवस्थापन अन्त्यबिन्दु कहिल्यै इन्टरनेटबाट पुग्न नहुने हुन्छ, र त्यो साहसको कमी होइन, वैध डिजाइन हो। नियमन गरिएका वातावरण, साना आन्तरिक IT टोली, र अन्य प्रशासनिक इन्टरफेस पनि होस्ट गर्ने सर्भरहरू प्रायः त्यहीँ पुग्छन्। त्यस्तो अवस्थामा व्यवस्थापन सेवाअगाडि सुरक्षित पहुँच बाटो जानाजान बनाइएको वास्तुकला हो, वैकल्पिक उपाय होइन।
स्क्रिन साझेदारी र निजी एप पहुँच पनि सामान्यतया रेखाको त्यही छेउमा पर्छन्। दुवैले आदेश च्यानलभन्दा धेरै कुरा खोल्छन्, र दुवैले दर्ता परिचयमा चढ्नुको सट्टा आफ्नै प्रमाणीकरण पाउनुपर्छ।
पुनःस्थापना तोड्ने बुटस्ट्र्याप जाल
मैले विरुद्ध डिजाइन गर्ने विफलता यो हो: व्यवस्थापन सेवासम्मको एकमात्र बाटो VPN बाट जान्छ, र यन्त्रमा रहेको VPN प्रोफाइल वा प्रमाणपत्रको म्याद सकिएको छ। यन्त्रले प्रतिस्थापन आदेश लिन सर्भरसम्म पुग्न सक्दैन, र सर्भरले नउठ्ने टनेलबाट केही धकेल्न सक्दैन। पुनःस्थापना अब सयौं माइल टाढा हुन सक्ने प्रयोगकर्तामा निर्भर छ।
पुनःस्थापनाका लागि दोस्रो, स्वतन्त्र बाटो राख्नुहोस्, त्यो ब्यान्डबाहिरको व्यवस्थापन च्यानल होस्, स्थानीय प्रशासक होस्, वा टनेलबिना पुग्न सकिने व्यवस्थापन सेवा होस्। सबै कुरा चलिरहेको बेला यसको परीक्षण गर्नुहोस्, किनकि घटनाको बेला तपाईंले सफा परीक्षण पाउनुहुन्न।
त्यसपछि प्रत्येक बाटोले तीन आवश्यकतामध्ये कुनलाई सेवा दिन्छ लेख्नुहोस्, र कुनैलाई पनि सेवा नदिने पोर्ट फर्वार्डिङ हटाउनुहोस्। सामान्य टनेलबिना व्यवस्थापन गर्न सकिने, र टनेल नै बिग्रेको बेला पनि मर्मत गर्न सकिने फ्लीट नै डिजाइन गर्न लायक नतिजा हो।