Punt final

Port

Necessari per

[company slug].mdm.getprimo.com

443

*.push.apple.com

443, 2197

albert.apple.com

443

deviceenrollment.apple.com

443

mdmenrollment.apple.com

443

iprofiles.apple.com

443

Com utilitzar — Apple

El MDM d'Apple depèn del servei de notificacions push d'Apple per despertar un dispositiu quan hi ha una ordre pendent. Si bloqueges els APNs, els dispositius simplement no s'assabenten de les ordres.

Permet els cinc hosts d'Apple a la taula anterior, més el teu servidor MDM.

En xarxes més antigues que bloquegen ports HTTPS no estàndard, també permet TCP 5223 sortint cap a *.push.apple.com. Si no estàs segur si la teva ho fa, permet-ho.

Apple manté la llista completa a Utilitza productes d'Apple en xarxes empresarials.

Com utilitzar — Windows, Linux i Android

L'agent parla sortint pel port 443 al teu servidor MDM i res més. No hi ha punts finals addicionals.

Permisos a nivell de ruta

Si utilitzes un proxy invers o un tallafoc amb regles de camí i prefereixes no permetre tota una dominació, permet aquestes rutes en el seu lloc.

Els dispositius que viatgen fora del VPN o intranet només necessiten els punts finals osquery:

```

/api/osquery/*

/api/v1/osquery/*

macOS

Windows

iOS i iPadOS

Android

Mutual TLS

Les rutes /api//fleet/ suporten mTLS utilitzant el certificat emès quan es va empaquetar l'agent. /mdm/apple/mdm i /api/mdm/apple/enroll suporten mTLS utilitzant el certificat SCEP emès pel servidor.

Aquests punts finals no utilitzen mTLS:

```

/mdm/apple/scep

/api/mdm/microsoft/discovery

/api/mdm/microsoft/auth

/api/mdm/microsoft/policy

/api/mdm/microsoft/enroll

/api/mdm/microsoft/management

/api/mdm/microsoft/tos

```

A macOS i Windows, el client envia el seu certificat en un capçalera de sol·licitud, i el servidor el verifica de manera independent.

Dispositius que viatgen fora del VPN

Si la teva flota només accedeix a la xarxa a través d'un VPN o d'una intranet, els portàtils en moviment es queden en silenci. No cal obrir-ho tot per solucionar-ho: exposa només els punts finals osquery, i l'agent continuarà informant des de qualsevol lloc mentre la resta de la superfície es manté tancada.

Windows necessita les seves pròpies rutes

La inscripció i gestió de Windows no es realitzen pels mateixos camins que l'agent. Tres rutes ho transporten:

Afegeix Windows Autopilot i també necessites els propis punts finals de Microsoft, que estan documentats al seu costat i canvien segons el seu horari, no el nostre.

Apple i Android tiren dels seus propis venedors

Apple necessita que els seus hosts de push, activació i inscripció siguin accessibles — notificacions push a 443 i 2197, activació i inscripció del dispositiu a 443. Si els bloqueges, els dispositius s'inscriuen però mai més reben una ordre.

Android no té agent en absolut. Els dispositius es gestionen a través d'Android Enterprise, així que el que necessiten és Google: l'API de gestió, Google Play i Firebase Cloud Messaging. No hi ha res nostre que permetre.

Resolució de problemes i FAQ

Resolució de problemes

• Els dispositius Apple s'inscriuen però mai actuen sobre les ordres. Els APNs estan bloquejats. Permet *.push.apple.com a 443 i 2197, i afegeix 5223 si la teva xarxa restringeix ports no estàndard.
• La inscripció falla a Apple durant la configuració del dispositiu. One dels hosts d'inscripció no és accessible. Comprova deviceenrollment.apple.com, mdmenrollment.apple.com i iprofiles.apple.com.
• Un dispositiu Windows o Linux instal·la l'agent i després no reporta res. El dispositiu no pot accedir al teu servidor MDM a 443. Aquest host és l'únic punt final que necessiten aquestes plataformes, així que comença per aquí.
• Els dispositius només informen des de l'oficina. Els punts finals osquery no són accessibles des de fora de la xarxa. Permet /api/osquery/ i /api/v1/osquery/.

FAQ

1. Necessitem regles de tallafoc entrants?
   No. Cada connexió és sortint des del dispositiu.
   
2. Quina plataforma necessita més punts finals?
   Apple. Windows, Linux i Android només necessiten el teu servidor MDM.
   
3. Podem permetre rutes en comptes de dominis sencers?
   Sí — les taules de rutes anteriors ho cobreixen. Només tingues en compte que les rutes canvien a mesura que ho fa el producte.
   
4. Encara necessitem el port 5223?
   Només en xarxes més antigues que bloquegen ports HTTPS no estàndard. Permetre-ho no és perjudicial.