Potrebujete VPN pre Apple MDM? Tri potreby prístupu, jedna odpoveď
Apple MDM beží na APNs a HTTPS iniciovanom zariadením, nie na tuneli LAN. Oddeľte správu, zdieľanie obrazovky a prístup k súkromným aplikáciám, kým pridáte VPN.
Otázka málokedy znie, či správa zariadení Apple potrebuje šifrovanie, pretože ho potrebuje. Skutočná otázka je, či vaša flotila potrebuje univerzálny VPN skôr, než sa Mac alebo iPad vôbec dá spravovať, a pri väčšine nasadení spravovaných cez internet je odpoveď nie. Apple umožňuje zariadeniu dosiahnuť službu správy podľa vlastného rozvrhu, a prevádzka, na ktorej záleží, je podpísaný kanál príkazov, nie relácia plochy. Či to u vás bude fungovať, závisí od troch podmienok, a je ľahké si ich pomýliť, pretože zvonka všetky vyzerajú ako vzdialený prístup.
Pomenujte potrebu, kým zvolíte prenos
Príkazy správy a konfiguračné profily sú jedna potreba, interaktívne zdieľanie obrazovky druhá a dosiahnutie súkromnej internej aplikácie tretia. Majú rôznych vlastníkov, rôzne overovanie a často veľmi odlišnú prijateľnú expozíciu. Zlievať ich dohromady je spôsob, akým flotila skončí s verejným zoznamom portov, ktorý nikto nedokáže obhájiť.
Tie tri potreby nezdieľajú jeden prenos:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Zmatek zvyčajne začína starým kontrolným zoznamom servera. Historický dokument o OS X Server uvádza dlhú sadu portov a niekto ich všetky presmeruje na okraji, pretože služba správy je niekde vnútri. To nie je architektúra správy a rozširuje vystavenú plochu ďaleko za riadiacu rovinu, ktorú ste sa snažili publikovať.
Čo push oznámenie skutočne robí
V dokumentovanom toku Apple posiela server správy oznámenie APNs, aby zariadeniu povedal, že naň čaká práca. Zariadenie potom otvorí spojenie so serverom správy a vyžiada si svoje príkazy. Push je zvonček pri dverách, nie tunel: nenesie žiadny ľubovoľný obsah, žiadnu reláciu vzdialenej plochy ani prevádzku inej aplikácie.
Zariadenie teda musí byť zapísané v zamýšľanej službe, dôverovať očakávaným koncovým bodom a byť schopné dosiahnuť ako službu správy, tak služby Apple, od ktorých tok závisí. Pokyny Apple na prípravu siete uvádzajú tieto závislosti a nie sú vyjednávateľnými časťami toku. Server správy, ktorý existuje len vo vašej sieti, stále potrebuje podporovanú cestu, ktorú zariadenie skutočne môže použiť. Nazvať to MDM neurobí nedostupný koncový bod dostupným.
Udržujte povolené cesty explicitné, vrátane akejkoľvek politiky proxy a kontroly TLS v strede. Kontrolné zariadenie, ktoré rozbije očakávanú reťaz certifikátov, bude vyzerať presne ako pokazená registrácia.
Keď je VPN nesprávna odpoveď
Ak je vaša služba správy publikovaná na internete so správnym certifikátom a každé spojenie iniciuje zariadenie, VPN pridá skok bez pridania kontroly. Zariadenie sa už overuje svojou identitou registrácie a server už rozhoduje, ktoré príkazy prijme. Tunel pred tým mení sieťovú cestu, nie rozhodnutie o dôvere.
Tá istá riadiaca rovina môže doručiť aj samotný profil VPN. Na tom poradí záleží: spravovaná konfigurácia VPN prichádza ako len ďalší obsah, takže zariadenie nepotrebuje existujúci tunel, aby mohlo prijať profil, ktorý ho vytvára.
Keď je VPN správna odpoveď
Existujú flotily, kde by koncový bod správy nikdy nemal byť dostupný z internetu, a to je legitímny návrh, nie nedostatok odvahy. Regulované prostredia, malé interné IT tímy a servery, ktoré hostujú aj iné administratívne rozhrania, tam často skončia. V takom prípade je chránená prístupová cesta pred službou správy zámernou architektúrou, nie obchádzkou.
Zdieľanie obrazovky a prístup k súkromným aplikáciám zvyčajne patria tiež na tú stranu línie. Obe odhaľujú oveľa viac ako kanál príkazov a obe si zaslúžia vlastné overovanie namiesto toho, aby sa viezli na identite registrácie.
Pasca pri štarte, ktorá láme obnovu
Tu je porucha, proti ktorej by som navrhoval: jediná cesta k službe správy vedie cez VPN a profil alebo poverenie VPN v zariadení vypršalo. Zariadenie nemôže dosiahnuť server, aby si vyzdvihlo náhradný príkaz, a server nemôže pretlačiť nič tunelom, ktorý nenabehne. Obnova teraz závisí od používateľa, ktorý môže byť stovky kilometrov ďaleko.
Udržujte druhú, nezávislú cestu na obnovu, či už je to mimopásmový kanál správy, lokálny administrátor alebo služba správy, ktorá zostáva dostupná bez tunela. Otestujte ju, kým všetko funguje, pretože počas incidentu čistý test nedostanete.
Potom si zapíšte, ktorej z troch potrieb slúži každá cesta, a odstráňte presmerovania portov, ktoré neposlúžia žiadnej z nich. Flotila, ktorú možno spravovať bez univerzálneho tunela a ktorú možno stále opraviť, keď sa pokazí práve tunel, je výsledok, pre ktorý stojí za to navrhovať.