Cuando los dispositivos gestionados están detrás de un firewall o proxy corporativo, ciertos puntos finales deben ser accesibles o la inscripción, entrega de políticas y notificaciones push dejarán de funcionar. Este artículo enumera qué permitir, por plataforma, y los detalles a nivel de ruta para los equipos que no pueden permitir una lista blanca de todo un dominio.
Resumen
Todo el tráfico es HTTPS saliente desde el dispositivo. No se necesitan reglas de firewall entrantes en el lado del dispositivo.
Cada cuenta tiene su propio servidor MDM:
```
[company slug].mdm.getprimo.com
```
Los dispositivos se conectan a ese host para inscribirse y recibir comandos. Permite TCP 443 saliente hacia él.
Windows, Linux y Android no necesitan nada más. Apple necesita más, porque los dispositivos Apple son activados por el propio servicio push de Apple.
La versión corta
Punto final |
Puerto |
Necesario para |
[company slug].mdm.getprimo.com |
443 |
Cada plataforma |
*.push.apple.com |
443, 2197 |
Notificaciones push de Apple |
albert.apple.com |
443 |
Activación de dispositivos Apple |
deviceenrollment.apple.com |
443 |
Inscripción automatizada de Apple |
mdmenrollment.apple.com |
443 |
Inscripción MDM de Apple |
iprofiles.apple.com |
443 |
Entrega de perfiles de Apple |
Cómo usar — Apple
Apple MDM depende del servicio de Notificación Push de Apple para activar un dispositivo cuando hay un comando esperando. Bloquear APNs significa que los dispositivos simplemente nunca recibirán comandos.
Permite los cinco hosts de Apple en la tabla anterior, además de tu servidor MDM.
En redes más antiguas que bloquean puertos HTTPS no estándar, también permite TCP 5223 saliente hacia *.push.apple.com. Si no estás seguro de si tu red lo hace, permítelo.
Apple mantiene la lista completa en Usar productos de Apple en redes empresariales.
Cómo usar — Windows, Linux y Android
El agente se comunica saliendo por el puerto 443 hacia tu servidor MDM y nada más. No hay puntos finales adicionales.
Lista blanca a nivel de ruta
Si ejecutas un proxy inverso o un firewall con reglas de ruta y prefieres no permitir un dominio completo, permite estas rutas en su lugar.
Los dispositivos que vagan fuera de la VPN o la intranet solo necesitan los puntos finales de osquery:
```
/api/osquery/*
/api/v1/osquery/*
macOS
Ruta |
Propósito |
/mdm/apple/scep |
El dispositivo obtiene un certificado SCEP |
/mdm/apple/mdm |
El dispositivo utiliza el protocolo MDM |
/api/mdm/apple/enroll |
El dispositivo obtiene un perfil de inscripción |
/api//fleet/device/ |
Página del dispositivo del empleado: inscripción manual, rotación de claves |
/mdm/sso, /api//fleet/mdm/sso, /mdm/sso/callback, /api//fleet/mdm/sso/callback, /assets/* |
Inicio de sesión del proveedor de identidad del empleado durante la configuración |
/api//fleet/mdm/setup/eula/ |
El empleado acepta el EULA durante la configuración |
/api/*/fleet/mdm/bootstrap |
Instalación del paquete bootstrap |
/mdm/apple/scep y /mdm/apple/mdm están fuera de /api porque implementan los protocolos MDM de Apple en lugar de una API REST.
Windows
Ruta |
Propósito |
/api/mdm/microsoft/management |
El dispositivo recibe comandos y perfiles |
/api/mdm/microsoft/discovery |
El dispositivo descubre detalles del servidor MDM |
/api/mdm/microsoft/policy |
Políticas de inscripción para la emisión de certificados |
/api/mdm/microsoft/enroll |
Inscripción de token WS-Trust X.509v3 (MS-WSTEP) |
/api/mdm/microsoft/tos |
Términos de servicio durante la inscripción automatizada |
/api/mdm/microsoft/auth |
Autenticación del empleado durante la inscripción automatizada |
iOS y iPadOS
Ruta |
Propósito |
/enroll |
El empleado accede a la página de inscripción |
/api/*/fleet/enrollment_profiles/ota |
El dispositivo descarga un perfil de inscripción |
/api//fleet/software/titles//inhouseapp |
Despliegue .ipa interno |
Android
Ruta |
Propósito |
/enroll |
El empleado accede a la página de inscripción |
/api/*/fleet/androidenterprise/enrollmenttoken |
Token de inscripción de la API de Gestión de Android |
/api/*/fleet/android_enterprise/pubsub |
Inscripción y notificaciones de estado |
/api/fleetd/* |
Despliegue de certificado para Wi-Fi y VPN |
Proxy SCEP — si usas Factorial IT como un proxy SCEP, también permite /mdm/scep/proxy/*.
Mutual TLS
Las rutas /api//fleet/ soportan mTLS usando el certificado emitido cuando se empaquetó el agente. /mdm/apple/mdm y /api/mdm/apple/enroll soportan mTLS usando el certificado SCEP emitido por el servidor.
Estos puntos finales no utilizan mTLS:
```
/mdm/apple/scep
/api/mdm/microsoft/discovery
/api/mdm/microsoft/auth
/api/mdm/microsoft/policy
/api/mdm/microsoft/enroll
/api/mdm/microsoft/management
/api/mdm/microsoft/tos
```
En macOS y Windows, el cliente envía su certificado en un encabezado de solicitud, y el servidor lo verifica de forma independiente.
Dispositivos que viajan fuera de la VPN
Si tu flota solo accede a la red a través de una VPN o una intranet, los portátiles en la carretera se quedan en silencio. No tienes que abrir todo para solucionar eso: expón solo los puntos finales de osquery, y el agente seguirá informando desde cualquier lugar mientras el resto de la superficie permanezca cerrada.
Windows necesita sus propias rutas
La inscripción y gestión de Windows no se ejecutan por los mismos caminos que el agente. Tres rutas lo llevan:
Ruta |
Lo que transporta |
|---|---|
Gestión |
Los comandos y perfiles que recibe el dispositivo |
Descubrimiento |
Cómo encuentra el dispositivo el servidor de gestión |
Política |
Las políticas de inscripción que emiten el certificado de identidad |
Agrega Windows Autopilot y también necesitarás los propios puntos finales de Microsoft, que están documentados en su lado y cambian en su programación, no en la nuestra.
Apple y Android extraen de sus propios proveedores
Apple necesita que sus hosts de push, activación e inscripción sean accesibles: notificaciones push en 443 y 2197, activación e inscripción de dispositivos en 443. Bloquealos y los dispositivos se inscriben pero nunca reciben un comando nuevamente.
Android no tiene agente en absoluto. Los dispositivos se gestionan a través de Android Enterprise, así que lo que necesitan es Google: la API de gestión, Google Play y Firebase Cloud Messaging. No hay nada nuestro que permitir.
Consejos y mejores prácticas
- Permite los hosts de Apple antes de tu primera inscripción de Mac, no después de que falle. Bloquear APNs se ve exactamente como un MDM roto, y es la causa más común de "los comandos no hacen nada".
- Permite TCP 5223 si no estás seguro sobre tu red. No cuesta nada y elimina toda una clase de fallos intermitentes en redes más antiguas.
- Prefiere la lista blanca a nivel de dominio donde tu equipo de seguridad lo permita. La lista de rutas cambia a medida que lo hace el producto; una regla de dominio no.
- Cubre los dispositivos que salen de la oficina. Las redes en casa y en cafés están fuera de tu firewall, así que exponer los puntos finales de osquery es lo que mantiene a los dispositivos en roaming informando.
Solución de problemas y FAQ
Solución de problemas
- Los dispositivos Apple se inscriben pero nunca actúan sobre los comandos. APNs está bloqueado. Permite *.push.apple.com en 443 y 2197, y añade 5223 si tu red restringe puertos no estándar.
- La inscripción falla en Apple durante la configuración del dispositivo. One de los hosts de inscripción es inalcanzable. Verifica deviceenrollment.apple.com, mdmenrollment.apple.com e iprofiles.apple.com.
- Un dispositivo Windows o Linux instala el agente y luego no informa nada. El dispositivo no puede alcanzar tu servidor MDM en 443. Ese host es el único punto final que necesitan esas plataformas, así que comienza allí.
- Los dispositivos informan solo desde la oficina. Los puntos finales de osquery no son alcanzables desde fuera de la red. Permite /api/osquery/ y /api/v1/osquery/.
FAQ
-
¿Necesitamos reglas de firewall entrantes?
No. Cada conexión es saliente desde el dispositivo.
-
¿Qué plataforma necesita más puntos finales?
Apple. Windows, Linux y Android solo necesitan tu servidor MDM.
-
¿Podemos permitir rutas en lugar de dominios completos?
Sí — las tablas de rutas arriba lo cubren. Solo ten en cuenta que las rutas cambian a medida que lo hace el producto.
-
¿Todavía necesitamos el puerto 5223?
Solo en redes más antiguas que bloquean puertos HTTPS no estándar. Permitirlo no es dañino.