Wenn verwaltete Geräte hinter einer Unternehmensfirewall oder einem Proxy sitzen, müssen bestimmte Endpunkte erreichbar sein, damit die Registrierung, die Bereitstellung von Richtlinien und Push-Benachrichtigungen funktionieren. Dieser Artikel listet auf, was pro Plattform erlaubt werden muss, sowie die detaillierten Routeninformationen für Teams, die eine ganze Domain nicht auf die Whitelist setzen können.

Übersicht

Der gesamte Verkehr ist ausgehendes HTTPS vom Gerät. Es sind keine eingehenden Firewall-Regeln auf der Geräteseite erforderlich.

Jedes Konto hat seinen eigenen MDM-Server:

```

[company slug].mdm.getprimo.com

```

Geräte verbinden sich mit diesem Host, um sich zu registrieren und Befehle zu empfangen. Erlauben Sie ausgehendes TCP 443 zu diesem.

Windows, Linux und Android benötigen nichts anderes. Apple benötigt mehr, da Apple-Geräte durch den eigenen Push-Dienst von Apple geweckt werden.

Die kurze Version

So verwenden Sie — Apple

Apple MDM hängt vom Apple Push Notification-Dienst ab, um ein Gerät zu wecken, wenn ein Befehl wartet. Blockieren Sie APNs und die Geräte erfahren einfach nie von Befehlen.

Erlauben Sie die fünf Apple-Hosts in der obigen Tabelle sowie Ihren MDM-Server.

In älteren Netzwerken, die nicht-standardisierte HTTPS-Ports blockieren, erlauben Sie auch TCP 5223 ausgehend zu *.push.apple.com. Wenn Sie sich nicht sicher sind, ob dies bei Ihnen der Fall ist, erlauben Sie es.

Apple pflegt die vollständige Liste unter Verwenden Sie Apple-Produkte in Unternehmensnetzwerken.

So verwenden Sie — Windows, Linux und Android

Der Agent kommuniziert ausgehend über Port 443 mit Ihrem MDM-Server und nichts anderem. Es gibt keine zusätzlichen Endpunkte.

Route-Level-Whitelistung

Wenn Sie einen Reverse-Proxy oder eine Firewall mit Pfadregeln betreiben und nicht eine ganze Domain erlauben möchten, erlauben Sie stattdessen diese Routen.

Geräte, die außerhalb des VPN oder Intranets umherreisen, benötigen nur die osquery-Endpunkte:

```

/api/osquery/*

/api/v1/osquery/*
 

macOS

Windows

iOS und iPadOS

Android

Mutual TLS

Die /api//fleet/-Routen unterstützen mTLS mit dem Zertifikat, das ausgestellt wurde, als der Agent verpackt wurde. /mdm/apple/mdm und /api/mdm/apple/enroll unterstützen mTLS mit dem SCEP-Zertifikat, das vom Server ausgestellt wurde.

Diese Endpunkte verwenden kein mTLS:

```

/mdm/apple/scep

/api/mdm/microsoft/discovery

/api/mdm/microsoft/auth

/api/mdm/microsoft/policy

/api/mdm/microsoft/enroll

/api/mdm/microsoft/management

/api/mdm/microsoft/tos

```

Auf macOS und Windows sendet der Client sein Zertifikat in einem Anfrage-Header, und der Server überprüft es unabhängig.

Geräte, die außerhalb des VPN reisen

Wenn Ihre Flotte das Netzwerk nur über ein VPN oder ein Intranet erreicht, bleiben Laptops unterwegs still. Sie müssen nicht alles öffnen, um das zu beheben: Exponieren Sie nur die osquery-Endpunkte, und der Agent bleibt von überall aus aktiv, während der Rest der Oberfläche geschlossen bleibt.

Windows benötigt eigene Routen

Die Registrierung und Verwaltung von Windows laufen nicht über dieselben Pfade wie der Agent. Drei Routen tragen es:

Fügen Sie Windows Autopilot hinzu, und Sie benötigen auch die eigenen Endpunkte von Microsoft, die auf deren Seite dokumentiert sind und sich nach deren Zeitplan ändern, nicht unserem.

Apple und Android beziehen von ihren eigenen Anbietern

Apple benötigt seine Push-, Aktivierungs- und Registrierungs-Hosts erreichbar — Push-Benachrichtigungen über 443 und 2197, Aktivierung und Geräteeintragung über 443. Blockieren Sie sie, und Geräte registrieren sich, erhalten aber nie wieder einen Befehl.

Android hat überhaupt keinen Agenten. Geräte werden über Android Enterprise verwaltet, daher benötigen sie Google: die Verwaltungs-API, Google Play und Firebase Cloud Messaging. Es gibt nichts von uns zu erlauben.

Fehlerbehebung und FAQ

Fehlerbehebung

• Apple-Geräte registrieren sich, reagieren aber nie auf Befehle. APNs ist blockiert. Erlauben Sie *.push.apple.com auf 443 und 2197 und fügen Sie 5223 hinzu, wenn Ihr Netzwerk nicht-standardisierte Ports einschränkt.
• Die Registrierung schlägt bei Apple während der Geräteeinrichtung fehl. One der Registrierungs-Hosts ist nicht erreichbar. Überprüfen Sie deviceenrollment.apple.com, mdmenrollment.apple.com und iprofiles.apple.com.
• Ein Windows- oder Linux-Gerät installiert den Agenten und meldet dann nichts. Das Gerät kann Ihren MDM-Server auf 443 nicht erreichen. Dieser Host ist der einzige Endpunkt, den diese Plattformen benötigen, also fangen Sie dort an.
• Geräte berichten nur aus dem Büro. Die osquery-Endpunkte sind von außerhalb des Netzwerks nicht erreichbar. Erlauben Sie /api/osquery/ und /api/v1/osquery/.

FAQ

1. Benötigen wir eingehende Firewall-Regeln?
   Nein. Jede Verbindung ist ausgehend vom Gerät.
    
2. Welche Plattform benötigt die meisten Endpunkte?
   Apple. Windows, Linux und Android benötigen nur Ihren MDM-Server.
    
3. Können wir Routen anstelle ganzer Domains auf die Whitelist setzen?
   Ja — die obigen Routentabellen decken das ab. Seien Sie sich nur bewusst, dass sich Routen ändern, wenn sich das Produkt ändert.
    
4. Benötigen wir immer noch Port 5223?
   Nur in älteren Netzwerken, die nicht-standardisierte HTTPS-Ports blockieren. Es zu erlauben ist harmlos.