ਕੀ Apple MDM ਲਈ VPN ਦੀ ਲੋੜ ਹੈ? ਤਿੰਨ ਪਹੁੰਚ ਲੋੜਾਂ, ਇੱਕ ਜਵਾਬ
Apple MDM APNs ਅਤੇ ਡਿਵਾਈਸ ਵੱਲੋਂ ਸ਼ੁਰੂ ਕੀਤੇ HTTPS 'ਤੇ ਚੱਲਦਾ ਹੈ, LAN ਟਨਲ 'ਤੇ ਨਹੀਂ। VPN ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰਬੰਧਨ, ਸਕ੍ਰੀਨ ਸ਼ੇਅਰਿੰਗ ਅਤੇ ਨਿੱਜੀ ਐਪ ਪਹੁੰਚ ਨੂੰ ਵੱਖ ਕਰੋ।
ਸਵਾਲ ਘੱਟ ਹੀ ਇਹ ਹੁੰਦਾ ਹੈ ਕਿ Apple ਡਿਵਾਈਸ ਪ੍ਰਬੰਧਨ ਨੂੰ ਐਨਕ੍ਰਿਪਸ਼ਨ ਦੀ ਲੋੜ ਹੈ ਜਾਂ ਨਹੀਂ, ਕਿਉਂਕਿ ਲੋੜ ਹੈ। ਅਸਲ ਸਵਾਲ ਇਹ ਹੈ ਕਿ Mac ਜਾਂ iPad ਨੂੰ ਪ੍ਰਬੰਧਿਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਤੁਹਾਡੇ ਫਲੀਟ ਨੂੰ ਆਮ ਉਦੇਸ਼ ਵਾਲਾ VPN ਚਾਹੀਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਇੰਟਰਨੈੱਟ ਰਾਹੀਂ ਪ੍ਰਬੰਧਿਤ ਜ਼ਿਆਦਾਤਰ ਡਿਪਲਾਇਮੈਂਟਾਂ ਲਈ ਜਵਾਬ ਨਹੀਂ ਹੈ। Apple ਡਿਵਾਈਸ ਨੂੰ ਆਪਣੇ ਸ਼ਡਿਊਲ ਅਨੁਸਾਰ ਪ੍ਰਬੰਧਨ ਸੇਵਾ ਤੱਕ ਪਹੁੰਚਣ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਮਹੱਤਵਪੂਰਨ ਟ੍ਰੈਫਿਕ ਦਸਤਖ਼ਤ ਕੀਤਾ ਕਮਾਂਡ ਚੈਨਲ ਹੈ, ਡੈਸਕਟਾਪ ਸੈਸ਼ਨ ਨਹੀਂ। ਇਹ ਤੁਹਾਡੇ ਲਈ ਕੰਮ ਕਰੇਗਾ ਜਾਂ ਨਹੀਂ ਇਹ ਤਿੰਨ ਸ਼ਰਤਾਂ 'ਤੇ ਨਿਰਭਰ ਹੈ, ਅਤੇ ਇਹਨਾਂ ਨੂੰ ਮਿਲਾਉਣਾ ਸੌਖਾ ਹੈ ਕਿਉਂਕਿ ਬਾਹਰੋਂ ਸਾਰੇ ਦੂਰਸਥ ਪਹੁੰਚ ਵਰਗੇ ਦਿਸਦੇ ਹਨ।
ਟਰਾਂਸਪੋਰਟ ਚੁਣਨ ਤੋਂ ਪਹਿਲਾਂ ਲੋੜ ਦਾ ਨਾਮ ਰੱਖੋ
ਪ੍ਰਬੰਧਨ ਕਮਾਂਡਾਂ ਅਤੇ ਕਨਫਿਗਰੇਸ਼ਨ ਪ੍ਰੋਫਾਈਲ ਇੱਕ ਲੋੜ ਹੈ, ਇੰਟਰਐਕਟਿਵ ਸਕ੍ਰੀਨ ਸ਼ੇਅਰਿੰਗ ਦੂਜੀ ਹੈ, ਅਤੇ ਨਿੱਜੀ ਅੰਦਰੂਨੀ ਐਪ ਤੱਕ ਪਹੁੰਚਣਾ ਤੀਜੀ ਹੈ। ਇਹਨਾਂ ਦੇ ਮਾਲਕ ਵੱਖਰੇ, ਪ੍ਰਮਾਣਿਕਤਾ ਵੱਖਰੀ, ਅਤੇ ਅਕਸਰ ਸਵੀਕਾਰਯੋਗ ਐਕਸਪੋਜ਼ਰ ਬਹੁਤ ਵੱਖਰਾ ਹੁੰਦਾ ਹੈ। ਇਹਨਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਨਾ ਹੀ ਉਹ ਤਰੀਕਾ ਹੈ ਜਿਸ ਨਾਲ ਫਲੀਟ ਕੋਲ ਅਜਿਹੀ ਜਨਤਕ ਪੋਰਟ ਸੂਚੀ ਆ ਜਾਂਦੀ ਹੈ ਜਿਸ ਦੀ ਰੱਖਿਆ ਕੋਈ ਨਹੀਂ ਕਰ ਸਕਦਾ।
ਤਿੰਨ ਲੋੜਾਂ ਇੱਕੋ ਟਰਾਂਸਪੋਰਟ ਸਾਂਝਾ ਨਹੀਂ ਕਰਦੀਆਂ:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
ਉਲਝਣ ਆਮ ਤੌਰ 'ਤੇ ਪੁਰਾਣੀ ਸਰਵਰ ਚੈੱਕਲਿਸਟ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ। OS X Server ਬਾਰੇ ਇੱਕ ਇਤਿਹਾਸਕ ਦਸਤਾਵੇਜ਼ ਪੋਰਟਾਂ ਦੀ ਲੰਮੀ ਸੂਚੀ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਇਹਨਾਂ ਸਾਰੀਆਂ ਨੂੰ ਕਿਨਾਰੇ ਅੱਗੇ ਭੇਜ ਦਿੰਦਾ ਹੈ ਕਿਉਂਕਿ ਪ੍ਰਬੰਧਨ ਸੇਵਾ ਕਿਤੇ ਇਸਦੇ ਅੰਦਰ ਹੈ। ਇਹ ਪ੍ਰਬੰਧਨ ਆਰਕੀਟੈਕਚਰ ਨਹੀਂ ਹੈ, ਅਤੇ ਇਹ ਖੁੱਲ੍ਹੀ ਸਤਹਿ ਨੂੰ ਤੁਹਾਡੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਵਾਲੇ ਕੰਟਰੋਲ ਪਲੇਨ ਤੋਂ ਬਹੁਤ ਅੱਗੇ ਫੈਲਾਉਂਦੀ ਹੈ।
ਪੁਸ਼ ਨੋਟੀਫਿਕੇਸ਼ਨ ਅਸਲ ਵਿੱਚ ਕੀ ਕਰਦਾ ਹੈ
Apple ਦੇ ਦਸਤਾਵੇਜ਼ੀ ਪ੍ਰਵਾਹ ਵਿੱਚ, ਪ੍ਰਬੰਧਨ ਸਰਵਰ APNs ਨੋਟੀਫਿਕੇਸ਼ਨ ਭੇਜਦਾ ਹੈ ਤਾਂ ਜੋ ਡਿਵਾਈਸ ਨੂੰ ਪਤਾ ਲੱਗੇ ਕਿ ਕੰਮ ਉਡੀਕ ਵਿੱਚ ਹੈ। ਫਿਰ ਡਿਵਾਈਸ ਪ੍ਰਬੰਧਨ ਸਰਵਰ ਨਾਲ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹਦਾ ਹੈ ਅਤੇ ਆਪਣੀਆਂ ਕਮਾਂਡਾਂ ਮੰਗਦਾ ਹੈ। ਪੁਸ਼ ਦਰਵਾਜ਼ੇ ਦੀ ਘੰਟੀ ਹੈ, ਟਨਲ ਨਹੀਂ: ਇਹ ਕੋਈ ਮਨਮਾਨੀ ਪੇਲੋਡ, ਕੋਈ ਦੂਰਸਥ ਡੈਸਕਟਾਪ ਸੈਸ਼ਨ, ਜਾਂ ਕਿਸੇ ਹੋਰ ਐਪ ਦਾ ਟ੍ਰੈਫਿਕ ਨਹੀਂ ਢੋਂਦਾ।
ਇਸ ਲਈ ਡਿਵਾਈਸ ਨੂੰ ਇਛਿਤ ਸੇਵਾ ਵਿੱਚ ਦਰਜ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਉਮੀਦ ਕੀਤੇ ਐਂਡਪੌਇੰਟਾਂ 'ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਪ੍ਰਬੰਧਨ ਸੇਵਾ ਤੇ ਉਹਨਾਂ Apple ਸੇਵਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਸਕਣਾ ਚਾਹੀਦਾ ਹੈ ਜਿਨ੍ਹਾਂ 'ਤੇ ਪ੍ਰਵਾਹ ਨਿਰਭਰ ਹੈ। Apple ਦੀ ਨੈੱਟਵਰਕ ਤਿਆਰੀ ਗਾਈਡ ਉਹਨਾਂ ਨਿਰਭਰਤਾਵਾਂ ਦੀ ਸੂਚੀ ਦਿੰਦੀ ਹੈ, ਅਤੇ ਇਹ ਪ੍ਰਵਾਹ ਦੇ ਗੱਲਬਾਤਯੋਗ ਹਿੱਸੇ ਨਹੀਂ ਹਨ। ਸਿਰਫ਼ ਤੁਹਾਡੇ ਨੈੱਟਵਰਕ ਦੇ ਅੰਦਰ ਮੌਜੂਦ ਪ੍ਰਬੰਧਨ ਸਰਵਰ ਨੂੰ ਵੀ ਅਜਿਹਾ ਸਮਰਥਿਤ ਰਾਹ ਚਾਹੀਦਾ ਹੈ ਜੋ ਡਿਵਾਈਸ ਅਸਲ ਵਿੱਚ ਵਰਤ ਸਕੇ। ਇਸਨੂੰ MDM ਕਹਿਣਾ ਕਿਸੇ ਅਪਹੁੰਚ ਐਂਡਪੌਇੰਟ ਨੂੰ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਬਣਾਉਂਦਾ।
ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਰਾਹਾਂ ਨੂੰ ਸਪਸ਼ਟ ਰੱਖੋ, ਵਿਚਕਾਰਲੀ ਕਿਸੇ ਵੀ ਪ੍ਰੌਕਸੀ ਅਤੇ TLS ਜਾਂਚ ਨੀਤੀ ਸਮੇਤ। ਉਮੀਦ ਕੀਤੀ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਤੋੜਨ ਵਾਲਾ ਜਾਂਚ ਯੰਤਰ ਬਿਲਕੁਲ ਟੁੱਟੀ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਵਰਗਾ ਦਿਸੇਗਾ।
ਜਦੋਂ VPN ਗਲਤ ਜਵਾਬ ਹੈ
ਜੇ ਤੁਹਾਡੀ ਪ੍ਰਬੰਧਨ ਸੇਵਾ ਢੁਕਵੇਂ ਸਰਟੀਫਿਕੇਟ ਨਾਲ ਇੰਟਰਨੈੱਟ 'ਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਹੈ ਅਤੇ ਹਰ ਕਨੈਕਸ਼ਨ ਡਿਵਾਈਸ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ, ਤਾਂ VPN ਕੋਈ ਨਿਯੰਤਰਣ ਜੋੜੇ ਬਿਨਾਂ ਇੱਕ ਛਾਲ ਜੋੜ ਦਿੰਦਾ ਹੈ। ਡਿਵਾਈਸ ਪਹਿਲਾਂ ਹੀ ਆਪਣੀ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਪਛਾਣ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਸਰਵਰ ਪਹਿਲਾਂ ਹੀ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜੀਆਂ ਕਮਾਂਡਾਂ ਸਵੀਕਾਰ ਕਰੇਗਾ। ਇਸਦੇ ਸਾਹਮਣੇ ਟਨਲ ਨੈੱਟਵਰਕ ਰਾਹ ਬਦਲਦਾ ਹੈ, ਭਰੋਸੇ ਦਾ ਫੈਸਲਾ ਨਹੀਂ।
ਉਹੀ ਕੰਟਰੋਲ ਪਲੇਨ VPN ਪ੍ਰੋਫਾਈਲ ਵੀ ਪਹੁੰਚਾ ਸਕਦਾ ਹੈ। ਇਹ ਕ੍ਰਮ ਮਹੱਤਵਪੂਰਨ ਹੈ: ਪ੍ਰਬੰਧਿਤ VPN ਕਨਫਿਗਰੇਸ਼ਨ ਬੱਸ ਇੱਕ ਹੋਰ ਪੇਲੋਡ ਵਜੋਂ ਆਉਂਦਾ ਹੈ, ਇਸ ਲਈ ਡਿਵਾਈਸ ਨੂੰ ਉਹ ਪ੍ਰੋਫਾਈਲ ਮਿਲਣ ਤੋਂ ਪਹਿਲਾਂ ਟਨਲ ਦੇ ਮੌਜੂਦ ਹੋਣ ਦੀ ਲੋੜ ਨਹੀਂ ਜੋ ਇਸਨੂੰ ਬਣਾਉਂਦੀ ਹੈ।
ਜਦੋਂ VPN ਸਹੀ ਜਵਾਬ ਹੈ
ਕੁਝ ਫਲੀਟ ਹਨ ਜਿੱਥੇ ਪ੍ਰਬੰਧਨ ਐਂਡਪੌਇੰਟ ਕਦੇ ਵੀ ਇੰਟਰਨੈੱਟ ਤੋਂ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ, ਅਤੇ ਇਹ ਹਿੰਮਤ ਦੀ ਕਮੀ ਨਹੀਂ ਸਗੋਂ ਵੈਧ ਡਿਜ਼ਾਈਨ ਹੈ। ਨਿਯੰਤਰਿਤ ਵਾਤਾਵਰਣ, ਛੋਟੀਆਂ ਅੰਦਰੂਨੀ IT ਟੀਮਾਂ, ਅਤੇ ਹੋਰ ਪ੍ਰਬੰਧਕੀ ਇੰਟਰਫੇਸ ਵੀ ਹੋਸਟ ਕਰਨ ਵਾਲੇ ਸਰਵਰ ਅਕਸਰ ਉੱਥੇ ਪਹੁੰਚਦੇ ਹਨ। ਅਜਿਹੀ ਸਥਿਤੀ ਵਿੱਚ ਪ੍ਰਬੰਧਨ ਸੇਵਾ ਦੇ ਸਾਹਮਣੇ ਸੁਰੱਖਿਅਤ ਪਹੁੰਚ ਰਾਹ ਜਾਣਬੁੱਝ ਕੇ ਬਣਾਈ ਆਰਕੀਟੈਕਚਰ ਹੈ, ਕੋਈ ਬਚਾਅ ਉਪਾਅ ਨਹੀਂ।
ਸਕ੍ਰੀਨ ਸ਼ੇਅਰਿੰਗ ਅਤੇ ਨਿੱਜੀ ਐਪ ਪਹੁੰਚ ਆਮ ਤੌਰ 'ਤੇ ਲਾਈਨ ਦੇ ਉਸੇ ਪਾਸੇ ਆਉਂਦੇ ਹਨ। ਦੋਵੇਂ ਕਮਾਂਡ ਚੈਨਲ ਨਾਲੋਂ ਬਹੁਤ ਵੱਧ ਖੋਲ੍ਹਦੇ ਹਨ, ਅਤੇ ਦੋਵੇਂ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਪਛਾਣ 'ਤੇ ਸਵਾਰ ਹੋਣ ਦੀ ਬਜਾਏ ਆਪਣੀ ਪ੍ਰਮਾਣਿਕਤਾ ਦੇ ਹੱਕਦਾਰ ਹਨ।
ਰਿਕਵਰੀ ਤੋੜਨ ਵਾਲਾ ਬੂਟਸਟਰੈਪ ਜਾਲ
ਇਹ ਉਹ ਨਾਕਾਮੀ ਹੈ ਜਿਸਦੇ ਖਿਲਾਫ਼ ਮੈਂ ਡਿਜ਼ਾਈਨ ਕਰਾਂਗਾ: ਪ੍ਰਬੰਧਨ ਸੇਵਾ ਤੱਕ ਇੱਕੋ ਰਾਹ VPN ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ, ਅਤੇ ਡਿਵਾਈਸ 'ਤੇ ਮੌਜੂਦ VPN ਪ੍ਰੋਫਾਈਲ ਜਾਂ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਦੀ ਮਿਆਦ ਖ਼ਤਮ ਹੋ ਗਈ ਹੈ। ਡਿਵਾਈਸ ਬਦਲਵੀਂ ਕਮਾਂਡ ਲੈਣ ਲਈ ਸਰਵਰ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦਾ, ਅਤੇ ਸਰਵਰ ਨਾ ਉੱਠਣ ਵਾਲੀ ਟਨਲ ਵਿੱਚੋਂ ਕੁਝ ਧੱਕ ਨਹੀਂ ਸਕਦਾ। ਰਿਕਵਰੀ ਹੁਣ ਅਜਿਹੇ ਵਰਤੋਂਕਾਰ 'ਤੇ ਨਿਰਭਰ ਹੈ ਜੋ ਸੈਂਕੜੇ ਮੀਲ ਦੂਰ ਹੋ ਸਕਦਾ ਹੈ।
ਰਿਕਵਰੀ ਲਈ ਦੂਜਾ, ਸੁਤੰਤਰ ਰਾਹ ਰੱਖੋ, ਭਾਵੇਂ ਉਹ ਆਊਟ-ਆਫ਼-ਬੈਂਡ ਪ੍ਰਬੰਧਨ ਚੈਨਲ ਹੋਵੇ, ਸਥਾਨਕ ਪ੍ਰਬੰਧਕ ਹੋਵੇ, ਜਾਂ ਟਨਲ ਤੋਂ ਬਿਨਾਂ ਪਹੁੰਚਯੋਗ ਰਹਿਣ ਵਾਲੀ ਪ੍ਰਬੰਧਨ ਸੇਵਾ ਹੋਵੇ। ਸਭ ਕੁਝ ਚੱਲਦੇ ਸਮੇਂ ਇਸਦੀ ਜਾਂਚ ਕਰੋ, ਕਿਉਂਕਿ ਘਟਨਾ ਵੇਲੇ ਤੁਹਾਨੂੰ ਸਾਫ਼ ਜਾਂਚ ਨਹੀਂ ਮਿਲੇਗੀ।
ਫਿਰ ਲਿਖੋ ਕਿ ਹਰ ਰਾਹ ਤਿੰਨ ਲੋੜਾਂ ਵਿੱਚੋਂ ਕਿਸ ਦੀ ਸੇਵਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਜੋ ਕਿਸੇ ਦੀ ਵੀ ਸੇਵਾ ਨਹੀਂ ਕਰਦੇ ਉਹ ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਹਟਾ ਦਿਓ। ਜਿਸ ਫਲੀਟ ਨੂੰ ਆਮ ਟਨਲ ਤੋਂ ਬਿਨਾਂ ਪ੍ਰਬੰਧਿਤ ਕੀਤਾ ਜਾ ਸਕੇ, ਅਤੇ ਜਦੋਂ ਟਨਲ ਹੀ ਟੁੱਟੀ ਹੋਵੇ ਤਾਂ ਵੀ ਮੁਰੰਮਤ ਕੀਤੀ ਜਾ ਸਕੇ, ਉਹੀ ਡਿਜ਼ਾਈਨ ਕਰਨ ਯੋਗ ਨਤੀਜਾ ਹੈ।