MDM wymusza profil publiczny

MDM wymuszające profil publiczny sieci niezależnie od lokalizacji wskazuje na politykę bezpieczeństwa traktującą wszystkie sieci jako niezaufane na urządzeniach firmowych.

MDM wymusza profil publiczny – co oznacza to ustawienie

MDM wymuszający profil publiczny to reguła zarządzania urządzeniem, w której połączenie sieciowe zostaje zaklasyfikowane jako publiczne niezależnie od tego, czy komputer znajduje się w biurze, w domu, w hotelu, czy korzysta z punktu dostępowego telefonu. W systemach Windows profil sieciowy wpływa między innymi na działanie zapory, widoczność urządzenia dla innych komputerów oraz możliwość korzystania z udostępnionych zasobów. Profil publiczny jest przeznaczony dla środowisk, którym nie ufa się w pełni, dlatego ogranicza wykrywanie urządzeń i zmniejsza zakres połączeń przychodzących.

Wymuszenie takiej klasyfikacji przez MDM oznacza, że użytkownik nie może swobodnie zmienić profilu na prywatny za pomocą ustawień systemowych. Decyzja jest zapisana w polityce przypisanej do urządzenia, grupy urządzeń albo użytkownika. Po odebraniu zasad przez klienta zarządzania ustawienie może zostać ponownie zastosowane nawet po ręcznej zmianie, ponownym uruchomieniu komputera lub podłączeniu do innej sieci. Nie jest to zatem zwykła awaria rozpoznawania sieci, lecz zamierzone zachowanie wynikające z centralnej konfiguracji bezpieczeństwa.

Takie podejście ogranicza ryzyko udostępnienia komputera innym urządzeniom w sieci lokalnej. Przy profilu publicznym system może blokować część reguł zapory związanych z udostępnianiem plików, drukarek, usług administracyjnych oraz wykrywaniem komputerów. Ochrona dotyczy przede wszystkim połączeń przychodzących, dlatego wymuszenie profilu nie musi blokować przeglądania stron internetowych, synchronizacji danych ani działania aplikacji korzystających z połączeń wychodzących.

Różnica między profilem publicznym, prywatnym i domenowym

Profil publiczny zakłada najmniejszy poziom zaufania do otoczenia sieciowego. Komputer jest traktowany tak, jakby mógł znajdować się w miejscu, w którym inne urządzenia nie powinny mieć dostępu do jego usług. Profil prywatny stosuje się zwykle w zaufanej sieci domowej lub innej sieci, w której dozwolone jest wykrywanie urządzeń oraz wybrane formy współdzielenia zasobów. Profil domenowy jest związany z rozpoznanym środowiskiem domenowym i może być używany wtedy, gdy system potwierdzi odpowiednią łączność oraz przynależność do domeny.

Wymuszenie profilu publicznego przez MDM różni się od automatycznej oceny sieci przez system. Automatyczna klasyfikacja może zależeć od identyfikatora sieci, konfiguracji domeny, odpowiedzi infrastruktury oraz stanu połączenia. Polityka MDM może natomiast narzucić bardziej restrykcyjne zachowanie, aby utrzymać spójny poziom ochrony na wszystkich zarządzanych komputerach. W praktyce oznacza to, że sama zmiana nazwy sieci, ponowne połączenie z punktem dostępowym albo ustawienie opcji w interfejsie systemu nie musi zmienić końcowego profilu.

Warto odróżnić profil sieciowy od typu uwierzytelnienia. Połączenie zabezpieczone hasłem nie staje się automatycznie siecią prywatną, a sieć firmowa nie musi być oznaczona jako prywatna, jeżeli organizacyjna polityka wymaga traktowania jej jak środowiska niezaufanego. Również sam fakt podłączenia przewodu Ethernet nie przesądza o profilu. Ostateczny rezultat może wynikać z kilku warstw ustawień: zasad MDM, lokalnych reguł zapory, konfiguracji systemu, ustawień domenowych oraz programów zabezpieczających.

Jeżeli wymóg profilu publicznego jest uzasadniony ochroną, powinien zostać uzupełniony precyzyjnymi wyjątkami dla potrzebnych usług. Zbyt szerokie blokowanie może utrudniać dostęp do drukarek, udziałów sieciowych, zdalnej pomocy lub aplikacji działających w sieci lokalnej. Bezpieczniejsze jest kontrolowane dopuszczenie konkretnych komunikacji niż wyłączenie całego mechanizmu zapory albo ręczne obchodzenie polityki zarządzania.

Typowe problemy związane z wymuszonym profilem publicznym

Najczęściej zauważalnym skutkiem jest brak dostępu do innych komputerów w tej samej sieci. Urządzenia mogą nie pojawiać się w Eksploratorze plików, a próba otwarcia udziału sieciowego może kończyć się komunikatem o braku dostępu. Podobnie może zachowywać się drukarka sieciowa, skaner lub inne urządzenie wymagające komunikacji lokalnej. W takim przypadku przyczyną nie musi być uszkodzenie sprzętu. Blokada może wynikać z profilu publicznego i powiązanych z nim reguł zapory.

Innym objawem jest niedziałająca pomoc zdalna albo narzędzie administracyjne, które wymaga połączeń przychodzących. Program może poprawnie korzystać z internetu, pobierać aktualizacje i synchronizować konto, a jednocześnie odrzucać połączenie z innego komputera. Taki rozdźwięk często prowadzi do błędnego podejrzenia awarii karty sieciowej, sterownika lub routera.

Problemy mogą pojawić się także po aktualizacji systemu, zmianie sposobu zarządzania albo przejściu urządzenia do innej grupy MDM. Nowa polityka może ponownie ustawić profil publiczny, zmienić kolejność reguł zapory albo zablokować lokalne modyfikacje. Jeżeli urządzenie otrzymuje sprzeczne zasady, możliwe są powtarzające się komunikaty, chwilowe zmiany ustawień i powrót restrykcyjnej konfiguracji po synchronizacji.

Przed zgłoszeniem usterki warto sprawdzić, czy problem występuje wyłącznie w jednej sieci, czy również po podłączeniu do innego punktu dostępowego. Pomocne jest ustalenie, czy działa dostęp do internetu, czy urządzenie otrzymuje prawidłową konfigurację adresową oraz czy blokada dotyczy połączeń przychodzących, wychodzących, czy obu kierunków. Należy również zweryfikować status synchronizacji MDM, ostatnią zmianę zasad oraz komunikaty zapory. Nie powinno się jednak usuwać profilu zarządzania, wyłączać ochrony ani edytować ustawień administracyjnych bez zgody osoby odpowiedzialnej za urządzenie.

Jeżeli reguła została wdrożona celowo, rozwiązaniem nie jest proste przełączenie profilu na prywatny. Konieczne może być ustalenie, jaka usługa ma działać, jaki kierunek komunikacji jest wymagany i dla których urządzeń ma obowiązywać wyjątek. Dopiero na tej podstawie można przygotować ograniczoną regułę zapory lub skorygować politykę MDM. Jeśli natomiast profil publiczny pojawia się mimo odmiennej konfiguracji, trzeba przeanalizować logi zastosowania zasad, lokalne ustawienia sieciowe i kolejność nakładania polityk.

Kiedy najlepiej umówić wizytę serwisową - MDM wymusza profil publiczny

Do serwisu warto zgłosić się wtedy, gdy wymuszenie profilu publicznego powoduje utratę potrzebnych funkcji, a przyczyny nie można ustalić na podstawie komunikatów systemu i ustawień zarządzania. Dotyczy to zwłaszcza sytuacji, w której internet działa, lecz nie są dostępne udziały sieciowe, drukowanie, pomoc zdalna albo komunikacja między komputerem a urządzeniem lokalnym. W ramach obsługi można rozdzielić problem polityki MDM od problemu zapory, sterownika, konfiguracji sieci lub konkretnej aplikacji.

Przy zgłoszeniu przydatne jest podanie nazwy urządzenia, wersji systemu, informacji o tym, czy komputer jest zarządzany centralnie, oraz opisu zmian poprzedzających problem. Warto wskazać, czy błąd występuje przy Wi-Fi, połączeniu przewodowym, czy w obu przypadkach, a także czy inne urządzenia w tej samej sieci działają prawidłowo. Takie dane ułatwiają sprawdzenie, czy ograniczenie jest skutkiem reguły bezpieczeństwa, błędnej klasyfikacji sieci, niedostępnej usługi, czy uszkodzenia konfiguracji.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie laptopa, a diagnoza laptopa jest darmowa. Podczas analizy można zweryfikować zastosowane zasady, stan zapory i usług sieciowych oraz ustalić, jakie ustawienie powinno zostać zmienione przez administratora MDM, a jakie można naprawić lokalnie. Jeżeli urządzenie pozostaje własnością organizacji i podlega centralnemu zarządzaniu, zalecane jest zachowanie informacji o politykach oraz uzgodnienie każdej zmiany z administratorem, aby po kolejnej synchronizacji nie doszło do ponownego nałożenia tej samej blokady.