Potrebujete VPN za Apple MDM? Tri potrebe po dostopu, en odgovor
Apple MDM deluje na APNs in HTTPS, ki ga sproži naprava, ne na tunelu LAN. Ločite upravljanje, skupno rabo zaslona in dostop do zasebnih aplikacij, preden dodate VPN.
Vprašanje le redko je, ali upravljanje naprav Apple potrebuje šifriranje, ker ga potrebuje. Pravo vprašanje je, ali vaša flota potrebuje univerzalni VPN, preden je Mac ali iPad sploh mogoče upravljati, in pri večini uvajanj, upravljanih prek interneta, je odgovor ne. Apple napravi omogoča, da doseže storitev upravljanja po svojem lastnem urniku, in promet, ki šteje, je podpisan kanal ukazov, ne seja namizja. Ali bo to delovalo pri vas, je odvisno od treh pogojev, in zlahka jih je zamenjati, ker od zunaj vsi izgledajo kot oddaljen dostop.
Poimenujte potrebo, preden izberete prenos
Ukazi za upravljanje in konfiguracijski profili so ena potreba, interaktivna skupna raba zaslona druga, doseganje zasebne interne aplikacije pa tretja. Imajo različne lastnike, različno preverjanje pristnosti in pogosto zelo različno sprejemljivo izpostavljenost. Zlivanje vsega skupaj je pot, po kateri flota konča z javnim seznamom vrat, ki ga nihče ne more braniti.
Te tri potrebe si ne delijo enega prenosa:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Zmeda se običajno začne s starim kontrolnim seznamom strežnika. Zgodovinski dokument o OS X Server navaja dolg nabor vrat, in nekdo jih vse posreduje na robu, ker je storitev upravljanja nekje znotraj. To ni arhitektura upravljanja in širi izpostavljeno površino daleč prek krmilne ravnine, ki ste jo poskušali objaviti.
Kaj push obvestilo v resnici naredi
V dokumentiranem toku Apple strežnik upravljanja pošlje obvestilo APNs, da napravi sporoči, da jo čaka delo. Naprava nato odpre povezavo do strežnika upravljanja in zahteva svoje ukaze. Push je zvonček na vratih, ne tunel: ne prenaša nobenega poljubnega tovora, nobene seje oddaljenega namizja in nobenega prometa druge aplikacije.
Zato mora biti naprava vpisana v predvideno storitev, zaupati pričakovanim končnim točkam in biti sposobna doseči tako storitev upravljanja kot storitve Apple, od katerih je tok odvisen. Smernice Apple za pripravo omrežja navajajo te odvisnosti in niso pogajalski deli toka. Strežnik upravljanja, ki obstaja le znotraj vašega omrežja, še vedno potrebuje podprto pot, ki jo naprava zares lahko uporabi. Če temu rečete MDM, nedosegljiva končna točka še ni dosegljiva.
Dovoljene poti naj bodo izrecne, vključno s katero koli politiko proxyja in pregleda TLS v sredini. Naprava za pregled, ki prekine pričakovano verigo potrdil, bo videti natanko kot pokvarjena registracija.
Kdaj je VPN napačen odgovor
Če je vaša storitev upravljanja objavljena na internetu s pravilnim potrdilom in vsako povezavo sproži naprava, VPN doda skok, ne da bi dodal nadzor. Naprava se že preverja s svojo identiteto vpisa, strežnik pa že odloča, katere ukaze bo sprejel. Tunel pred tem spremeni omrežno pot, ne pa odločitve o zaupanju.
Ista krmilna ravnina lahko dostavi tudi sam profil VPN. Ta vrstni red je pomemben: upravljana konfiguracija VPN prispe kot le še en tovor, zato naprava ne potrebuje obstoječega tunela, da bi prejela profil, ki ga ustvari.
Kdaj je VPN pravi odgovor
Obstajajo flote, kjer končna točka upravljanja ne bi smela biti nikoli dosegljiva z interneta, in to je legitimna zasnova, ne pomanjkanje poguma. Regulirana okolja, majhne interne IT ekipe in strežniki, ki gostijo tudi druge skrbniške vmesnike, pogosto pristanejo tam. V tem primeru je zaščitena pot dostopa pred storitvijo upravljanja namerna arhitektura, ne obhod.
Skupna raba zaslona in dostop do zasebnih aplikacij običajno sodita tudi na tisto stran črte. Oba razkrivata veliko več kot kanal ukazov in oba si zaslužita lastno preverjanje pristnosti, namesto da bi se vozila na identiteti vpisa.
Past pri zagonu, ki zlomi obnovitev
Tu je okvara, pred katero bi načrtoval: edina pot do storitve upravljanja gre skozi VPN, profil ali poverilnica VPN na napravi pa je potekla. Naprava ne more doseči strežnika, da bi prevzela nadomestni ukaz, strežnik pa ne more potisniti ničesar skozi tunel, ki se ne bo dvignil. Obnovitev je zdaj odvisna od uporabnika, ki je lahko stotine kilometrov stran.
Ohranite drugo, neodvisno pot za obnovitev, pa naj bo to zunajpasovni kanal upravljanja, lokalni skrbnik ali storitev upravljanja, ki ostane dosegljiva brez tunela. Preizkusite jo, dokler vse deluje, ker med incidentom ne boste dobili čistega preizkusa.
Nato zapišite, kateri od treh potreb služi katera pot, in odstranite posredovanja vrat, ki ne služijo nobeni od njih. Flota, ki jo je mogoče upravljati brez univerzalnega tunela in ki jo je še vedno mogoče popraviti, ko se pokvari prav tunel, je rezultat, za katerega se je vredno načrtovati.