Cuando los dispositivos gestionados están detrás de un firewall o proxy corporativo, ciertos puntos finales deben ser accesibles o la inscripción, entrega de políticas y notificaciones push dejarán de funcionar. Este artículo enumera lo que se debe permitir, por plataforma, y el detalle a nivel de ruta para los equipos que no pueden permitir una lista blanca de todo un dominio.

Resumen

Todo el tráfico es HTTPS saliente desde el dispositivo. No se necesitan reglas de firewall entrantes en el lado del dispositivo.

Cada cuenta tiene su propio servidor MDM:

```

[company slug].mdm.getprimo.com

```

Los dispositivos se conectan a ese host para inscribirse y recibir comandos. Permite TCP 443 saliente hacia él.

Windows, Linux y Android no necesitan nada más. Apple necesita más, porque los dispositivos Apple son activados por el propio servicio de push de Apple.

La versión corta

Cómo usar — Apple

Apple MDM depende del servicio de Notificación Push de Apple para activar un dispositivo cuando hay un comando pendiente. Bloquear APNs significa que los dispositivos simplemente nunca recibirán comandos.

Permite los cinco hosts de Apple en la tabla anterior, además de tu servidor MDM.

En redes más antiguas que bloquean puertos HTTPS no estándar, también permite TCP 5223 saliente a *.push.apple.com. Si no estás seguro de si el tuyo lo hace, permítelo.

Apple mantiene la lista completa en Usar productos de Apple en redes empresariales.

Cómo usar — Windows, Linux y Android

El agente se comunica saliendo por el puerto 443 hacia tu servidor MDM y nada más. No hay puntos finales adicionales.

Lista blanca a nivel de ruta

Si ejecutas un proxy inverso o un firewall con reglas de ruta y prefieres no permitir un dominio completo, permite estas rutas en su lugar.

Los dispositivos que navegan fuera de la VPN o la intranet solo necesitan los puntos finales de osquery:

```

/api/osquery/*

/api/v1/osquery/*

macOS

Windows

iOS y iPadOS

Android

Mutual TLS

Las rutas /api//fleet/ soportan mTLS utilizando el certificado emitido cuando se empaquetó el agente. /mdm/apple/mdm y /api/mdm/apple/enroll soportan mTLS utilizando el certificado SCEP emitido por el servidor.

Estos puntos finales no utilizan mTLS:

```

/mdm/apple/scep

/api/mdm/microsoft/discovery

/api/mdm/microsoft/auth

/api/mdm/microsoft/policy

/api/mdm/microsoft/enroll

/api/mdm/microsoft/management

/api/mdm/microsoft/tos

```

En macOS y Windows, el cliente envía su certificado en un encabezado de solicitud, y el servidor lo verifica de forma independiente.

Dispositivos que viajan fuera de la VPN

Si tu flota solo accede a la red a través de una VPN o una intranet, las laptops en la carretera se quedan en silencio. No tienes que abrir todo para solucionar eso: expón solo los puntos finales de osquery, y el agente seguirá informando desde cualquier lugar mientras el resto de la superficie permanece cerrada.

Windows necesita sus propias rutas

La inscripción y gestión de Windows no se ejecutan por los mismos caminos que el agente. Tres rutas lo llevan:

Agrega Windows Autopilot y también necesitas los propios puntos finales de Microsoft, que están documentados de su lado y cambian según su programación, no la nuestra.

Apple y Android obtienen de sus propios proveedores

Apple necesita que sus hosts de push, activación e inscripción sean accesibles: notificaciones push en 443 y 2197, activación e inscripción de dispositivos en 443. Bloquealos y los dispositivos se inscriben pero nunca reciben un comando nuevamente.

Android no tiene agente en absoluto. Los dispositivos se gestionan a través de Android Enterprise, por lo que lo que necesitan es Google: la API de gestión, Google Play y Firebase Cloud Messaging. No hay nada nuestro que permitir.

Resolución de problemas y FAQ

Resolución de problemas

• Los dispositivos Apple se inscriben pero nunca actúan sobre los comandos. APNs está bloqueado. Permite *.push.apple.com en 443 y 2197, y añade 5223 si tu red restringe puertos no estándar.
• La inscripción falla en Apple durante la configuración del dispositivo. One de los hosts de inscripción no es accesible. Verifica deviceenrollment.apple.com, mdmenrollment.apple.com e iprofiles.apple.com.
• Un dispositivo Windows o Linux instala el agente y luego no informa nada. El dispositivo no puede alcanzar tu servidor MDM en 443. Ese host es el único punto final que necesitan esas plataformas, así que comienza ahí.
• Los dispositivos solo informan desde la oficina. Los puntos finales de osquery no son accesibles desde fuera de la red. Permite /api/osquery/ y /api/v1/osquery/.

FAQ

1. ¿Necesitamos reglas de firewall entrantes?
   No. Cada conexión es saliente desde el dispositivo.
   
2. ¿Qué plataforma necesita más puntos finales?
   Apple. Windows, Linux y Android solo necesitan tu servidor MDM.
   
3. ¿Podemos permitir rutas en lugar de dominios completos?
   Sí, las tablas de rutas anteriores lo cubren. Solo ten en cuenta que las rutas cambian a medida que lo hace el producto.
   
4. ¿Todavía necesitamos el puerto 5223?
   Solo en redes más antiguas que bloquean puertos HTTPS no estándar. Permitirlo es inofensivo.