Quando i dispositivi gestiti si trovano dietro un firewall aziendale o un proxy, alcuni endpoint devono essere raggiungibili altrimenti l'iscrizione, la consegna delle politiche e le notifiche push smettono di funzionare. Questo articolo elenca cosa consentire, per piattaforma, e i dettagli a livello di percorso per i team che non possono autorizzare un intero dominio.

Panoramica

Tutto il traffico è HTTPS in uscita dal dispositivo. Non sono necessarie regole del firewall in ingresso sul lato del dispositivo.

Ogni account ha il proprio server MDM:

```

[company slug].mdm.getprimo.com

```

I dispositivi si connettono a quell'host per iscriversi e ricevere comandi. Consenti TCP 443 in uscita verso di esso.

Windows, Linux e Android non necessitano di nient'altro. Apple ha bisogno di più, perché i dispositivi Apple vengono attivati dal servizio push di Apple stesso.

La versione breve

Come utilizzare — Apple

Il MDM Apple dipende dal servizio di Notifiche Push Apple per attivare un dispositivo quando un comando è in attesa. Bloccare gli APNs significa che i dispositivi non riceveranno mai notizie sui comandi.

Consenti i cinque host Apple nella tabella sopra, più il tuo server MDM.

Su reti più vecchie che bloccano porte HTTPS non standard, consenti anche TCP 5223 in uscita verso *.push.apple.com. Se non sei sicuro che la tua rete lo faccia, consentilo.

Apple mantiene l'elenco completo su Utilizzare i prodotti Apple su reti aziendali.

Come utilizzare — Windows, Linux e Android

L'agente comunica in uscita sulla porta 443 verso il tuo server MDM e nient'altro. Non ci sono endpoint aggiuntivi.

Autorizzazione a livello di percorso

Se gestisci un proxy inverso o un firewall con regole di percorso e preferisci non autorizzare un intero dominio, consenti invece questi percorsi.

I dispositivi che si spostano al di fuori della VPN o dell'intranet necessitano solo degli endpoint osquery:

```

/api/osquery/*

/api/v1/osquery/*

macOS

Windows

iOS e iPadOS

Android

Mutual TLS

I percorsi /api//fleet/ supportano mTLS utilizzando il certificato emesso quando l'agente è stato impacchettato. /mdm/apple/mdm e /api/mdm/apple/enroll supportano mTLS utilizzando il certificato SCEP emesso dal server.

Questi endpoint non utilizzano mTLS:

```

/mdm/apple/scep

/api/mdm/microsoft/discovery

/api/mdm/microsoft/auth

/api/mdm/microsoft/policy

/api/mdm/microsoft/enroll

/api/mdm/microsoft/management

/api/mdm/microsoft/tos

```

Su macOS e Windows il client invia il proprio certificato in un'intestazione di richiesta e il server lo verifica in modo indipendente.

Dispositivi che viaggiano al di fuori della VPN

Se la tua flotta raggiunge la rete solo tramite una VPN o un intranet, i laptop in viaggio rimangono silenziosi. Non è necessario aprire tutto per risolvere questo problema: esponi solo gli endpoint osquery e l'agente continua a segnalare da qualsiasi luogo mentre il resto della superficie rimane chiusa.

Windows ha bisogno dei propri percorsi

L'iscrizione e la gestione di Windows non si svolgono sugli stessi percorsi dell'agente. Tre percorsi lo trasportano:

Aggiungi Windows Autopilot e hai anche bisogno degli endpoint di Microsoft, che sono documentati dalla loro parte e cambiano secondo il loro programma, non il nostro.

Apple e Android si collegano ai propri fornitori

Apple ha bisogno che i suoi host di push, attivazione e iscrizione siano raggiungibili: notifiche push su 443 e 2197, attivazione e iscrizione del dispositivo su 443. Bloccarli significa che i dispositivi si iscrivono ma non ricevono mai più un comando.

Android non ha affatto un agente. I dispositivi sono gestiti tramite Android Enterprise, quindi ciò di cui hanno bisogno è Google: l'API di gestione, Google Play e Firebase Cloud Messaging. Non c'è nulla di nostro da autorizzare.

Risoluzione dei problemi e FAQ

Risoluzione dei problemi

• I dispositivi Apple si iscrivono ma non agiscono mai sui comandi. Gli APNs sono bloccati. Consenti *.push.apple.com su 443 e 2197, e aggiungi 5223 se la tua rete limita le porte non standard.
• L'iscrizione fallisce su Apple durante la configurazione del dispositivo. One degli host di iscrizione non è raggiungibile. Controlla deviceenrollment.apple.com, mdmenrollment.apple.com e iprofiles.apple.com.
• Un dispositivo Windows o Linux installa l'agente e poi non riporta nulla. Il dispositivo non può raggiungere il tuo server MDM su 443. Quel host è l'unico endpoint di cui hanno bisogno quelle piattaforme, quindi inizia da lì.
• I dispositivi segnalano solo dall'ufficio. Gli endpoint osquery non sono raggiungibili dall'esterno della rete. Consenti /api/osquery/ e /api/v1/osquery/.

FAQ

1. Abbiamo bisogno di regole del firewall in ingresso?
   No. Ogni connessione è in uscita dal dispositivo.
   
2. Quale piattaforma ha bisogno di più endpoint?
   Apple. Windows, Linux e Android hanno bisogno solo del tuo server MDM.
   
3. Possiamo autorizzare percorsi invece di interi domini?
   Sì — le tabelle dei percorsi sopra lo coprono. Tieni solo presente che i percorsi cambiano man mano che il prodotto cambia.
   
4. Abbiamo ancora bisogno della porta 5223?
   Solo su reti più vecchie che bloccano porte HTTPS non standard. Consentirla è innocuo.