کیا آپ کو Apple MDM کے لیے VPN درکار ہے؟ رسائی کی تین ضروریات، ایک جواب
Apple MDM APNs اور ڈیوائس کے شروع کردہ HTTPS پر چلتا ہے، LAN ٹنل پر نہیں۔ VPN شامل کرنے سے پہلے انتظام، اسکرین شیئرنگ اور نجی ایپ رسائی کو الگ کریں۔
سوال کم ہی یہ ہوتا ہے کہ Apple ڈیوائس انتظام کو خفیہ کاری درکار ہے یا نہیں، کیونکہ درکار ہے۔ اصل سوال یہ ہے کہ کیا آپ کے بیڑے کو Mac یا iPad کے انتظام سے پہلے ایک عام مقصد والا VPN درکار ہے، اور انٹرنیٹ کے ذریعے سنبھالے جانے والے زیادہ تر تعیناتیوں کے لیے جواب نہیں ہے۔ Apple ڈیوائس کو اپنے شیڈول کے مطابق انتظام کی خدمت تک پہنچنے دیتا ہے، اور اہم ٹریفک دستخط شدہ کمانڈ چینل ہے، ڈیسک ٹاپ سیشن نہیں۔ یہ آپ کے لیے کام کرے گا یا نہیں یہ تین شرطوں پر منحصر ہے، اور انہیں گڈمڈ کرنا آسان ہے کیونکہ باہر سے سب دور رسائی جیسے نظر آتے ہیں۔
ٹرانسپورٹ منتخب کرنے سے پہلے ضرورت کا نام رکھیں
انتظامی کمانڈز اور کنفیگریشن پروفائل ایک ضرورت ہیں، متحرک اسکرین شیئرنگ دوسری ہے، اور نجی اندرونی ایپ تک رسائی تیسری ہے۔ ان کے مالک الگ، توثیق الگ، اور اکثر قابل قبول افشا بہت الگ ہوتا ہے۔ انہیں ایک ساتھ ملانا وہ راستہ ہے جس سے بیڑا ایسی عوامی پورٹ فہرست تک پہنچتا ہے جس کا دفاع کوئی نہیں کر سکتا۔
تین ضروریات ایک ٹرانسپورٹ مشترک نہیں کرتیں:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
الجھن عام طور پر سرور کی پرانی چیک لسٹ سے شروع ہوتی ہے۔ OS X Server کے بارے میں ایک تاریخی دستاویز پورٹس کا طویل مجموعہ گنواتی ہے، اور کوئی ان سبھی کو کنارے پر آگے بھیج دیتا ہے کیونکہ انتظام کی خدمت کہیں اس کے اندر ہے۔ یہ انتظامی معماری نہیں ہے، اور یہ کھلی سطح کو اس کنٹرول ہوائی جہاز سے بہت آگے پھیلا دیتا ہے جسے آپ شائع کرنے کی کوشش کر رہے تھے۔
پش نوٹیفکیشن دراصل کیا کرتا ہے
Apple کے دستاویزی بہاؤ میں، انتظامی سرور APNs نوٹیفکیشن بھیجتا ہے تاکہ ڈیوائس کو بتائے کہ کام منتظر ہے۔ پھر ڈیوائس انتظامی سرور سے رابطہ کھولتا ہے اور اپنی کمانڈز مانگتا ہے۔ پش دروازے کی گھنٹی ہے، ٹنل نہیں: یہ کوئی من مانی پے لوڈ، کوئی دور رس ڈیسک ٹاپ سیشن، اور کسی دوسری ایپ کی ٹریفک نہیں ڈھوتا۔
لہٰذا ڈیوائس کو مطلوبہ خدمت میں رجسٹرڈ ہونا چاہیے، متوقع اختتامی مقامات پر بھروسہ کرنا چاہیے، اور انتظامی خدمت نیز ان Apple خدمات تک پہنچ سکنا چاہیے جن پر بہاؤ منحصر ہے۔ Apple کی نیٹ ورک تیاری کی رہنمائی ان انحصاروں کی فہرست دیتی ہے، اور وہ بہاؤ کے قابلِ گفت و شنید حصے نہیں ہیں۔ صرف آپ کے نیٹ ورک کے اندر موجود انتظامی سرور کو بھی ایسا تعاون یافتہ راستہ درکار ہے جو ڈیوائس واقعی استعمال کر سکے۔ اسے MDM کہنا کسی ناقابلِ رسائی اختتامی مقام کو قابلِ رسائی نہیں بناتا۔
اجازت یافتہ راستے واضح رکھیں، درمیان میں موجود کسی بھی پراکسی اور TLS معائنہ پالیسی سمیت۔ متوقع سرٹیفکیٹ زنجیر توڑنے والا معائنہ آلہ بالکل ٹوٹی ہوئی رجسٹریشن جیسا دکھے گا۔
جب VPN غلط جواب ہے
اگر آپ کی انتظامی خدمت درست سرٹیفکیٹ کے ساتھ انٹرنیٹ پر شائع ہے اور ہر رابطہ ڈیوائس شروع کرتا ہے، تو VPN کوئی کنٹرول شامل کیے بغیر ایک چھلانگ شامل کرتا ہے۔ ڈیوائس پہلے ہی اپنی رجسٹریشن شناخت سے توثیق کرتا ہے، اور سرور پہلے ہی طے کرتا ہے کہ کون سی کمانڈز قبول کرے گا۔ اس کے سامنے ٹنل نیٹ ورک راستہ بدلتا ہے، بھروسے کا فیصلہ نہیں۔
وہی کنٹرول ہوائی جہاز VPN پروفائل بھی پہنچا سکتا ہے۔ یہ ترتیب اہم ہے: منظم VPN کنفیگریشن صرف ایک اور پے لوڈ کے طور پر آتی ہے، اس لیے ڈیوائس کو اس پروفائل کے ملنے سے پہلے ٹنل کے موجود ہونے کی ضرورت نہیں جو اسے بناتا ہے۔
جب VPN درست جواب ہے
کچھ بیڑے ایسے ہیں جہاں انتظامی اختتامی مقام کو کبھی انٹرنیٹ سے قابلِ رسائی نہیں ہونا چاہیے، اور یہ دلیری کی کمی نہیں بلکہ جائز ڈیزائن ہے۔ ضابطہ بند ماحول، چھوٹی اندرونی IT ٹیمیں، اور دیگر انتظامی انٹرفیس بھی میزبانی کرنے والے سرور اکثر وہیں پہنچتے ہیں۔ ایسی صورت میں انتظامی خدمت کے سامنے محفوظ رسائی راستہ جان بوجھ کر بنایا گیا معماری ہے، کوئی بچاؤ نہیں۔
اسکرین شیئرنگ اور نجی ایپ رسائی عام طور پر لائن کے اسی طرف آتے ہیں۔ دونوں کمانڈ چینل سے کہیں زیادہ افشا کرتے ہیں، اور دونوں رجسٹریشن شناخت پر سوار ہونے کی بجائے اپنی توثیق کے حقدار ہیں۔
بوٹ اسٹرپ کا جال جو بحالی توڑ دیتا ہے
یہ وہ ناکامی ہے جس کے خلاف میں ڈیزائن کروں گا: انتظامی خدمت تک واحد راستہ VPN سے گزرتا ہے، اور ڈیوائس پر موجود VPN پروفائل یا اسناد کی مدت ختم ہو چکی ہے۔ ڈیوائس متبادل کمانڈ لینے کے لیے سرور تک نہیں پہنچ سکتا، اور سرور ایسے ٹنل سے کچھ نہیں دھکیل سکتا جو اٹھے گا نہیں۔ بحالی اب ایسے صارف پر منحصر ہے جو شاید سینکڑوں میل دور ہو۔
بحالی کے لیے دوسرا، خودمختار راستہ رکھیں، چاہے وہ بینڈ سے باہر انتظامی چینل ہو، مقامی منتظم ہو، یا ایسی انتظامی خدمت ہو جو ٹنل کے بغیر قابلِ رسائی رہے۔ اسے اس وقت آزمائیں جب سب کچھ چل رہا ہو، کیونکہ کسی واقعے کے دوران آپ کو صاف آزمائش نہیں ملے گی۔
پھر لکھیں کہ ہر راستہ تینوں ضرورتوں میں سے کس کی خدمت کرتا ہے، اور وہ پورٹ فارورڈنگ ہٹا دیں جو کسی کی بھی خدمت نہیں کرتے۔ جو بیڑا عام ٹنل کے بغیر سنبھالا جا سکے، اور جب ٹنل ہی ٹوٹا ہو تب بھی مرمت ہو سکے، وہی وہ نتیجہ ہے جس کے لیے ڈیزائن کرنا لائق ہے۔