o que nossa equipe de TI precisa preparar?
Forneça o acesso de saída à internet necessário sem abrir conexões de entrada não solicitadas.
O Dispositivo precisa de acesso à internet por Wi-Fi ou dados móveis. Todas as conexões são iniciadas pelo Dispositivo. Não é necessária nenhuma conexão de entrada não solicitada, regra de firewall de entrada, redirecionamento de portas, VPN, endereço IP público nem acesso direto da internet ao Dispositivo. O tráfego de retorno das conexões iniciadas pelo Dispositivo precisa ser permitido.
O Dispositivo não exige Ethernet nem acesso a bancos de dados internos, servidores, aplicações de negócio, sistemas de controle industrial ou redes de tecnologia operacional. Pode ficar em uma rede de convidados, rede sem fio dedicada, VLAN ou segmento de rede isolado, desde que os destinos abaixo sejam liberados.
Destinos de saída necessários
| Serviço | Destino | Porta e protocolo | |--------------------------------------------|-----------------------------------------------------------------------------------------|-------------------------------| | Serviços da OPTOVERA | api.sobereye.net, api.optovera.net, sobereyeenterprise-media.s3.us-east-1.amazonaws.com | TCP 443 | | Apple Push Notification service (APNs) | \*.push.apple.com | TCP 5223; TCP 443 como alternativa | | Serviços de dispositivos da Apple | \*.apple.com | TCP 80 e 443 | | CDN de atualização de software da Apple | \*.cdn-apple.com | TCP 80 e 443 | | Distribuição de aplicativos da Apple | \*.itunes.apple.com | TCP 80 e 443 | | Distribuição de aplicativos e conteúdo da Apple | \.apps.apple.com, \.mzstatic.com | TCP 443 | | Validação de certificados da Apple | certs.apple.com | TCP 80 e 443 | | Validação de certificados da Apple | crl.apple.com, ocsp.apple.com | TCP 80 | | Validação de certificados da Apple | ocsp2.apple.com, valid.apple.com | TCP 443 | | Validação de certificados da DigiCert | crl3.digicert.com, crl4.digicert.com, ocsp.digicert.com | TCP 80 | | Serviço de horário da Apple | time-ios.apple.com, time.apple.com | UDP 123 | | Gerenciamento de dispositivos móveis | \.jamfnow.com, \.jamfcloud.com (Jamf Now); \*.mosyle.com (Mosyle) | TCP 443 |
Os dados da OPTOVERA são trocados somente com os serviços da OPTOVERA, por HTTPS com TLS 1.2 ou superior. Os demais destinos são serviços da Apple, da DigiCert e de MDM. Eles usam TCP 5223 para as notificações push da Apple, TCP 80 para verificações de status de certificados e downloads de software, e UDP 123 para sincronização de data e hora. Essas conexões não são usadas para trocar dados da OPTOVERA.
Os endpoints são os mesmos em todas as implantações, inclusive quando foi acordada uma Região Principal de Dados alternativa.
Configurações de firewall e proxy
- Aplique as regras à rede Wi-Fi ou VLAN usada pelos Dispositivos.
- Permita a resolução DNS pública de todos os destinos listados.
- Use regras baseadas em nomes de domínio totalmente qualificados, inclusive domínios com curinga.
- Permita conexões APNs de saída persistentes na porta TCP 5223.
- Não aplique interceptação HTTPS, inspeção SSL, descriptografia TLS, substituição de certificados nem autenticação de proxy a esses destinos. A Apple informa que conexões criptografadas inspecionadas podem ser rejeitadas.
Quando um firewall não puder usar regras baseadas em nome de host, a Apple publica as faixas de rede 17.0.0.0/8 (IPv4) e 2403:300::/32, 2620:149::/32 e 2a01:b740::/32 (IPv6). Essas faixas são mais amplas que os nomes de host e devem ser usadas apenas quando a arquitetura do firewall exigir.
Os comandos de MDM não são entregues por conexões de entrada. O APNs avisa o Dispositivo de que há um comando disponível, e o Dispositivo então abre uma conexão criptografada de saída para o serviço de MDM a fim de recuperá-lo.
A especificação completa está em OPTOVERA Managed Device Firewall Requirements (julho de 2026), disponível às equipes de TI do Cliente mediante solicitação.