Apple MDM uchun VPN kerakmi? Uchta kirish ehtiyoji, bitta javob
Apple MDM APNs va qurilma boshlaydigan HTTPS ustida ishlaydi, LAN tunnelida emas. VPN qo'shishdan oldin boshqaruv, ekran ulashish va xususiy ilova kirishini ajrating.
Savol kamdan-kam Apple qurilmalarini boshqarishga shifrlash kerakmi degani bo'ladi, chunki kerak. Asl savol shuki, Mac yoki iPad umuman boshqarilishi mumkin bo'lishidan oldin to'plamingizga umumiy maqsadli VPN kerakmi, va internet orqali boshqariladigan ko'pchilik joylashtirishlar uchun javob yo'q. Apple qurilmaga boshqaruv xizmatiga o'z jadvali bo'yicha yetib borish imkonini beradi, va muhim trafik imzolangan buyruq kanali, ish stoli seansi emas. Bu sizga ishlaydimi, uchta shartga bog'liq, va ularni chalkashtirish oson, chunki tashqaridan hammasi masofaviy kirishga o'xshaydi.
Transportni tanlashdan oldin ehtiyojni nomlang
Boshqaruv buyruqlari va konfiguratsiya profillari bitta ehtiyoj, interaktiv ekran ulashish ikkinchisi, va xususiy ichki ilovaga yetib borish uchinchisi. Ularning egalari boshqa, autentifikatsiyasi boshqa, va ko'pincha maqbul ochiqlik darajasi juda boshqa. Ularni bir joyga jamlash to'plamning hech kim himoya qila olmaydigan ochiq portlar ro'yxatiga kelib qolish yo'lidir.
Uch ehtiyoj bitta transportni bo'lishmaydi:
| Need | What actually carries it |
|---|---|
| Management commands and profiles | The enrolled device pulls from a service it can reach; APNs only wakes it |
| Interactive screen sharing | A remote-support tool or private desktop path with its own authentication |
| Private application access | That application's permitted network path, which may well be a VPN |
Chalkashlik odatda eski server tekshiruv ro'yxatidan boshlanadi. OS X Server haqidagi tarixiy hujjat uzoq portlar to'plamini sanab o'tadi, va kimdir ularning barchasini chekkada yo'naltiradi, chunki boshqaruv xizmati qayerdadir ichida. Bu boshqaruv arxitekturasi emas, va u ochiq yuzani siz e'lon qilmoqchi bo'lgan boshqaruv tekisligidan ancha nariga kengaytiradi.
Push bildirishnomasi aslida nima qiladi
Apple hujjatlashtirgan oqimda boshqaruv serveri APNs bildirishnomasini yuborib, qurilmaga ish kutayotganini bildiradi. So'ngra qurilma boshqaruv serveri bilan aloqa ochadi va o'z buyruqlarini so'raydi. Push eshik qo'ng'irog'i, tunnel emas: u hech qanday o'zboshimchalik yukini, masofaviy ish stoli seansini va boshqa ilova trafigini tashimaydi.
Shuning uchun qurilma mo'ljallangan xizmatda ro'yxatdan o'tgan bo'lishi, kutilayotgan oxirgi nuqtalarga ishonishi va boshqaruv xizmatiga hamda oqim bog'liq bo'lgan Apple xizmatlariga yetib borishi kerak. Apple ning tarmoqqa tayyorgarlik yo'riqnomasi o'sha bog'liqliklarni sanab o'tadi, va ular oqimning kelishib bo'ladigan qismlari emas. Faqat tarmog'ingiz ichida mavjud boshqaruv serveriga ham qurilma haqiqatan ishlata oladigan qo'llab-quvvatlanadigan yo'l kerak. Uni MDM deb atash yetib bo'lmaydigan oxirgi nuqtani yetib boradigan qilib qo'ymaydi.
Ruxsat etilgan yo'llarni aniq saqlang, o'rtada turgan har qanday proksi va TLS tekshiruvi siyosatini qo'shib. Kutilgan sertifikat zanjirini buzadigan tekshiruv qurilmasi xuddi buzilgan ro'yxatdan o'tish kabi ko'rinadi.
VPN noto'g'ri javob bo'lganda
Agar boshqaruv xizmatingiz to'g'ri sertifikat bilan internetda e'lon qilingan bo'lsa va har bir aloqani qurilma boshlayotgan bo'lsa, VPN hech qanday nazorat qo'shmasdan bitta sakrash qo'shadi. Qurilma allaqachon ro'yxatdan o'tish identifikatori bilan autentifikatsiyadan o'tadi, va server qaysi buyruqlarni qabul qilishini allaqachon hal qiladi. Uning oldidagi tunnel tarmoq yo'lini o'zgartiradi, ishonch qarorini emas.
Xuddi shu boshqaruv tekisligi VPN profilini o'zi ham yetkazib berishi mumkin. Bu tartib muhim: boshqariladigan VPN konfiguratsiyasi shunchaki yana bir yuk sifatida keladi, shuning uchun qurilma uni yaratadigan profilni olishdan oldin tunnel mavjud bo'lishiga muhtoj emas.
VPN to'g'ri javob bo'lganda
Boshqaruv oxirgi nuqtasi hech qachon internetdan yetib bo'lmaydigan bo'lishi kerak bo'lgan to'plamlar bor, va bu jasorat etishmasligi emas, qonuniy dizayn. Tartibga solingan muhitlar, kichik ichki IT jamoalari va boshqa ma'muriy interfeyslarni ham joylashtirgan serverlar ko'pincha o'sha yerda qoladi. Bunday holatda boshqaruv xizmati oldidagi himoyalangan kirish yo'li ataylab qurilgan arxitektura, aylanib o'tish emas.
Ekran ulashish va xususiy ilovalarga kirish odatda chiziqning o'sha tomoniga ham tegishli. Ikkalasi ham buyruq kanalidan ancha ko'proq narsani ochib beradi, va ikkalasi ham ro'yxatdan o'tish identifikatoriga minish o'rniga o'z autentifikatsiyasiga loyiq.
Qayta tiklashni buzadigan yuklash tuzog'i
Men qarshi dizayn qiladigan nosozlik mana bu: boshqaruv xizmatiga yagona yo'l VPN orqali o'tadi, va qurilmadagi VPN profili yoki hisob ma'lumotlari muddati tugagan. Qurilma almashtiruvchi buyruq olish uchun serverga yetib borolmaydi, va server ko'tarilmaydigan tunneldan hech narsa itara olmaydi. Qayta tiklash endi yuzlab mil uzoqda bo'lishi mumkin bo'lgan foydalanuvchiga bog'liq.
Qayta tiklash uchun ikkinchi, mustaqil yo'l saqlang: bu tarmoqli tashqari boshqaruv kanali, mahalliy administrator yoki tunnelsiz yetib boriladigan boshqaruv xizmati bo'lishi mumkin. Hamma narsa ishlab turganda sinab ko'ring, chunki voqea paytida siz toza sinovga ega bo'lmaysiz.
So'ngra har bir yo'l uch ehtiyojning qaysi biriga xizmat qilishini yozing va hech biriga xizmat qilmaydigan port yo'naltirishlarini olib tashlang. Umumiy tunnelsiz boshqariladigan va tunnel buzilgan paytda ham tuzatiladigan to'plam — dizayn qilishga arziydigan natija.