¿Qué debe preparar nuestro equipo de TI?
Proporcione el acceso saliente a internet requerido sin abrir conexiones entrantes no solicitadas.
El Dispositivo necesita acceso a internet por Wi-Fi o datos móviles. Todas las conexiones las inicia el Dispositivo. No se requiere ninguna conexión entrante no solicitada, regla de firewall de entrada, reenvío de puertos, VPN, dirección IP pública ni acceso directo desde internet al Dispositivo. Debe permitirse el tráfico de retorno de las conexiones iniciadas por el Dispositivo.
El Dispositivo no requiere Ethernet ni acceso a bases de datos internas, servidores, aplicaciones de negocio, sistemas de control industrial o redes de tecnología operacional. Puede colocarse en una red de invitados, una red inalámbrica dedicada, una VLAN o un segmento de red aislado, siempre que se permitan los destinos indicados a continuación.
Destinos de salida requeridos
| Servicio | Destino | Puerto y protocolo | |--------------------------------------------|-----------------------------------------------------------------------------------------|-------------------------------| | Servicios de OPTOVERA | api.sobereye.net, api.optovera.net, sobereyeenterprise-media.s3.us-east-1.amazonaws.com | TCP 443 | | Apple Push Notification service (APNs) | \*.push.apple.com | TCP 5223; TCP 443 como alternativa | | Servicios de dispositivos de Apple | \*.apple.com | TCP 80 y 443 | | CDN de actualizaciones de software de Apple | \*.cdn-apple.com | TCP 80 y 443 | | Distribución de aplicaciones de Apple | \*.itunes.apple.com | TCP 80 y 443 | | Distribución de aplicaciones y contenido de Apple | \.apps.apple.com, \.mzstatic.com | TCP 443 | | Validación de certificados de Apple | certs.apple.com | TCP 80 y 443 | | Validación de certificados de Apple | crl.apple.com, ocsp.apple.com | TCP 80 | | Validación de certificados de Apple | ocsp2.apple.com, valid.apple.com | TCP 443 | | Validación de certificados de DigiCert | crl3.digicert.com, crl4.digicert.com, ocsp.digicert.com | TCP 80 | | Servicio horario de Apple | time-ios.apple.com, time.apple.com | UDP 123 | | Gestión de dispositivos móviles | \.jamfnow.com, \.jamfcloud.com (Jamf Now); \*.mosyle.com (Mosyle) | TCP 443 |
Los datos de OPTOVERA se intercambian únicamente con los servicios de OPTOVERA, por HTTPS con TLS 1.2 o posterior. Los demás destinos son servicios de Apple, DigiCert y MDM. Usan TCP 5223 para las notificaciones push de Apple, TCP 80 para las comprobaciones del estado de certificados y las descargas de software, y UDP 123 para la sincronización de fecha y hora. Estas conexiones no se usan para intercambiar datos de OPTOVERA.
Los endpoints son los mismos en todas las implementaciones, incluso cuando se ha acordado una Región Principal de Datos alternativa.
Configuración de firewall y proxy
- Aplique las reglas a la red Wi-Fi o VLAN que usan los Dispositivos.
- Permita la resolución DNS pública de todos los destinos indicados.
- Use reglas basadas en nombres de dominio completos, incluidos los dominios con comodín.
- Permita conexiones APNs de salida persistentes en TCP 5223.
- No aplique interceptación HTTPS, inspección SSL, descifrado TLS, sustitución de certificados ni autenticación de proxy a estos destinos. Apple indica que las conexiones cifradas inspeccionadas pueden ser rechazadas.
Cuando un firewall no pueda usar reglas basadas en nombres de host, Apple publica los rangos de red 17.0.0.0/8 (IPv4) y 2403:300::/32, 2620:149::/32 y 2a01:b740::/32 (IPv6). Estos rangos son más amplios que los nombres de host y deben usarse solo cuando la arquitectura del firewall lo requiera.
Los comandos de MDM no se entregan mediante conexiones entrantes. APNs notifica al Dispositivo que hay un comando disponible, y el Dispositivo abre entonces una conexión cifrada de salida hacia el servicio de MDM para recuperarlo.
La especificación completa se encuentra en OPTOVERA Managed Device Firewall Requirements (julio de 2026), disponible para los equipos de TI del Cliente a solicitud.