ต้องใช้ VPN สำหรับ Apple MDM หรือไม่ สามความต้องการด้านการเข้าถึง หนึ่งคำตอบ
Apple MDM ทำงานบน APNs และ HTTPS ที่อุปกรณ์เป็นผู้เริ่ม ไม่ใช่ทันเนล LAN แยกการจัดการ การแชร์หน้าจอ และการเข้าถึงแอปส่วนตัวออกจากกันก่อนเพิ่ม VPN
คำถามแทบไม่เคยเป็นเรื่องที่ว่าการจัดการอุปกรณ์ Apple ต้องใช้การเข้ารหัสหรือไม่ เพราะมันต้องใช้ คำถามจริงคือกองอุปกรณ์ของคุณต้องใช้ VPN อเนกประสงค์หรือไม่ก่อนที่ Mac หรือ iPad จะถูกจัดการได้เลย และสำหรับการติดตั้งที่จัดการผ่านอินเทอร์เน็ตส่วนใหญ่ คำตอบคือไม่ Apple อนุญาตให้อุปกรณ์เข้าถึงบริการจัดการตามกำหนดเวลาของตัวเอง และทราฟฟิกที่สำคัญคือช่องทางคำสั่งที่ลงนามแล้ว ไม่ใช่เซสชันเดสก์ท็อป สิ่งนั้นจะได้ผลกับคุณหรือไม่ขึ้นอยู่กับสามเงื่อนไข และมันง่ายที่จะสับสนเพราะจากภายนอกทั้งหมดดูเหมือนการเข้าถึงระยะไกล
ตั้งชื่อความต้องการก่อนเลือกช่องทางขนส่ง
คำสั่งจัดการและโปรไฟล์การกำหนดค่าเป็นความต้องการหนึ่ง การแชร์หน้าจอแบบโต้ตอบเป็นอย่างที่สอง และการเข้าถึงแอปพลิเคชันภายในส่วนตัวเป็นอย่างที่สาม สิ่งเหล่านี้มีเจ้าของต่างกัน การยืนยันตัวตนต่างกัน และบ่อยครั้งมีการเปิดเผยที่ยอมรับได้ต่างกันมาก การรวมทุกอย่างเข้าด้วยกันคือหนทางที่กองอุปกรณ์จะลงเอยด้วยรายการพอร์ตสาธารณะที่ไม่มีใครป้องกันได้
ความต้องการทั้งสามไม่ได้ใช้ช่องทางขนส่งเดียวกัน
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
ความสับสนมักเริ่มจากรายการตรวจสอบเซิร์ฟเวอร์เก่า เอกสารเชิงประวัติศาสตร์เกี่ยวกับ OS X Server ระบุชุดพอร์ตยาว และมีคนส่งต่อทั้งหมดที่ขอบเพราะบริการจัดการอยู่ที่ไหนสักแห่งข้างใน นั่นไม่ใช่สถาปัตยกรรมการจัดการ และมันขยายพื้นผิวที่เปิดเผยออกไปไกลเกินระนาบการควบคุมที่คุณพยายามเผยแพร่
การแจ้งเตือนแบบพุชทำอะไรจริง ๆ
ในโฟลว์ที่ Apple เอกสารไว้ เซิร์ฟเวอร์จัดการส่งการแจ้งเตือน APNs เพื่อบอกอุปกรณ์ว่ามีงานรออยู่ จากนั้นอุปกรณ์จะเปิดการเชื่อมต่อไปยังเซิร์ฟเวอร์จัดการและขอคำสั่งของตน พุชเป็นกระดิ่งหน้าประตู ไม่ใช่ทันเนล มันไม่ได้บรรทุกเพย์โหลดใด ๆ ตามอำเภอใจ ไม่มีเซสชันเดสก์ท็อประยะไกล และไม่มีทราฟฟิกของแอปอื่น
ดังนั้นอุปกรณ์ต้องลงทะเบียนกับบริการที่ตั้งใจไว้ ไว้วางใจปลายทางที่คาดไว้ และสามารถเข้าถึงทั้งบริการจัดการและบริการของ Apple ที่โฟลว์พึ่งพา คำแนะนำการเตรียมเครือข่ายของ Apple ระบุการพึ่งพาเหล่านั้น และสิ่งเหล่านั้นไม่ใช่ส่วนที่ต่อรองได้ของโฟลว์ เซิร์ฟเวอร์จัดการที่มีอยู่เฉพาะภายในเครือข่ายของคุณยังคงต้องมีเส้นทางที่รองรับซึ่งอุปกรณ์ใช้ได้จริง การเรียกมันว่า MDM ไม่ได้ทำให้ปลายทางที่เข้าถึงไม่ได้กลายเป็นเข้าถึงได้
ทำให้เส้นทางที่อนุญาตชัดเจน รวมถึงนโยบายพร็อกซีและการตรวจสอบ TLS ใด ๆ ที่อยู่ตรงกลาง อุปกรณ์ตรวจสอบที่ทำให้ห่วงโซ่ใบรับรองที่คาดไว้แตกจะดูเหมือนการลงทะเบียนที่เสียหายทุกประการ
เมื่อ VPN เป็นคำตอบที่ผิด
หากบริการจัดการของคุณเผยแพร่บนอินเทอร์เน็ตด้วยใบรับรองที่ถูกต้องและอุปกรณ์เป็นผู้เริ่มทุกการเชื่อมต่อ VPN จะเพิ่มการกระโดดหนึ่งครั้งโดยไม่เพิ่มการควบคุม อุปกรณ์ยืนยันตัวตนด้วยข้อมูลระบุตัวตนการลงทะเบียนอยู่แล้ว และเซิร์ฟเวอร์ตัดสินใจอยู่แล้วว่าจะยอมรับคำสั่งใด ทันเนลที่อยู่ข้างหน้าสิ่งนั้นเปลี่ยนเส้นทางเครือข่าย ไม่ใช่การตัดสินใจเรื่องความไว้วางใจ
ระนาบการควบคุมเดียวกันยังสามารถส่งมอบโปรไฟล์ VPN ได้เอง ลำดับนั้นสำคัญ การกำหนดค่า VPN ที่จัดการจะมาถึงในฐานะเพย์โหลดอีกอันหนึ่งเท่านั้น ดังนั้นอุปกรณ์จึงไม่จำเป็นต้องมีทันเนลอยู่ก่อนที่จะได้รับโปรไฟล์ที่สร้างมันขึ้นมา
เมื่อ VPN เป็นคำตอบที่ถูกต้อง
มีกองอุปกรณ์ที่ปลายทางการจัดการไม่ควรเข้าถึงได้จากอินเทอร์เน็ตเลย และนั่นเป็นการออกแบบที่ชอบธรรม ไม่ใช่การขาดความกล้า สภาพแวดล้อมที่มีการกำกับดูแล ทีมไอทีภายในขนาดเล็ก และเซิร์ฟเวอร์ที่โฮสต์อินเทอร์เฟซด้านการบริหารอื่น ๆ ด้วยมักลงเอยที่นั่น ในกรณีนั้นเส้นทางการเข้าถึงที่ได้รับการป้องกันข้างหน้าบริการจัดการคือสถาปัตยกรรมที่ตั้งใจไว้ ไม่ใช่วิธีเลี่ยง
การแชร์หน้าจอและการเข้าถึงแอปส่วนตัวมักอยู่ในด้านนั้นของเส้นด้วย ทั้งสองเปิดเผยมากกว่าช่องทางคำสั่งมาก และทั้งสองสมควรมีการยืนยันตัวตนของตัวเองแทนที่จะโดยสารไปกับข้อมูลระบุตัวตนการลงทะเบียน
กับดักการเริ่มต้นที่ทำให้การกู้คืนพัง
นี่คือความล้มเหลวที่ฉันจะออกแบบเพื่อป้องกัน เส้นทางเดียวไปยังบริการจัดการวิ่งผ่าน VPN และโปรไฟล์หรือข้อมูลรับรอง VPN บนอุปกรณ์หมดอายุแล้ว อุปกรณ์ไม่สามารถเข้าถึงเซิร์ฟเวอร์เพื่อเก็บคำสั่งทดแทน และเซิร์ฟเวอร์ไม่สามารถดันอะไรผ่านทันเนลที่ไม่ขึ้นมา การกู้คืนตอนนี้ขึ้นอยู่กับผู้ใช้ที่อาจอยู่ห่างหลายร้อยไมล์
เก็บเส้นทางที่สองที่เป็นอิสระสำหรับการกู้คืน ไม่ว่าจะเป็นช่องทางจัดการนอกแบนด์ ผู้ดูแลระบบภายใน หรือบริการจัดการที่ยังเข้าถึงได้โดยไม่มีทันเนล ทดสอบมันขณะที่ทุกอย่างทำงาน เพราะคุณจะไม่ได้รับการทดสอบที่สะอาดระหว่างเหตุการณ์
จากนั้นเขียนว่าช่องทางแต่ละช่องทางให้บริการความต้องการข้อใดในสามข้อ และลบการส่งต่อพอร์ตที่ไม่ให้บริการข้อใดเลย กองอุปกรณ์ที่จัดการได้โดยไม่ต้องมีทันเนลทั่วไป และยังซ่อมได้เมื่อทันเนลเป็นสิ่งที่พัง คือผลลัพธ์ที่คุ้มค่าแก่การออกแบบ