Usar Iru en redes empresariales

Algunas organizaciones crean redes solo para inscripción o implementan proxies para limitar el acceso a internet público. En estas situaciones, es importante asegurarse de que tus dispositivos Apple, Windows y Android puedan comunicarse con los servicios de la plataforma y con Iru para completar las tareas de inscripción y gestión.

Al crear reglas de firewall para estos puertos, deberá permitirse el tráfico saliente.

Acceso global a la aplicación web

Independientemente de la región, todos los tenants de Iru acceden a la aplicación web a través de un único dominio global: subdomain.iru.com.

Las tablas específicas de cada región que aparecen a continuación también incluyen subdomain.kandji.io y subdomain.eu.kandji.io como dominios de acceso a la aplicación web. Son nombres de host heredados que dirigen al mismo servicio de Iru.

Tus datos permanecen aislados dentro de su región asignada. Cuando se carga la aplicación, se realiza una consulta a un servicio disponible globalmente (el Identity Service) para determinar la región de tu tenant. Todas las llamadas a la API posteriores se dirigen en consecuencia a los balanceadores de carga específicos de la región. Para obtener detalles sobre cómo iniciar sesión y acceder a tu tenant, consulta Introducción.

Dominios y puertos necesarios

Dominios compartidos entre todas las regiones

Los siguientes dominios son necesarios para todos los tenants, independientemente de la región:

Dominio	Puertos	Protocolo	OS	Descripción
`browser-intake-datadoghq.com`	443	TCP	All	Se usa para la gestión de versiones y la supervisión de la plataforma
`events.launchdarkly.com`	443	TCP	All	Se usa para la gestión de versiones y la supervisión de la plataforma
`updater.iru.com`	443	TCP	All	Se usa para las descargas y actualizaciones de Iru Access
`*.c.lencr.org`	443	TCP	All	Se usa para la validación de certificados de Let’s Encrypt mediante listas de revocación de certificados (CRL).

Dominios específicos de cada región

Región de EE. UU.
Región de la UE

Dominios de la región alojada en EE. UU.

Dominio	Puertos	Protocolo	OS	Descripción
`UUID.web-api.kandji.ioUUID.devices.us-1.kandji.ioUUID.devices.iru.com`	443	TCP	All	Se usa para el registro de MDM y la comunicación del Iru Agent. Sustituye UUID por el valor de tu tenant. Consulta Determinar tus dominios de dispositivo únicos para saber cómo encontrar tu UUID y tus dominios.
`kandji-prd.s3.amazonaws.com`	443	TCP	macOS	Lo usan los dispositivos macOS para descargar el Iru Agent y las Custom Apps cargadas en tu tenant de Iru
`iru-prd-managed-library-items.s3.amazonaws.com`	443	TCP	macOS	Lo usan los dispositivos macOS para descargar Auto Apps
`managed-library.kandji.io`	443	TCP	macOS	Lo usan los dispositivos macOS para descargar Auto Apps
`kandji-oregon-ti-yara-rules.s3.amazonaws.com`	443	TCP	macOS	Lo usa Endpoint Detection & Response (EDR) de macOS para descargar reglas YARA
`kandji-oregon-ti-process-rules.s3.amazonaws.com`	443	TCP	macOS	Lo usa EDR de macOS para descargar reglas de procesos (de comportamiento)
`kandji-oregon-ti-benign-hashes.s3.amazonaws.com`	443	TCP	macOS	Lo usa EDR de macOS para descargar hashes benignos para las detecciones de archivos
`subdomain.web-api.kandji.io`	443	TCP	All	Se usa para descargar el perfil de inscripción de gestión de dispositivos móviles (MDM)
`subdomain.kandji.iosubdomain.iru.com`	443	TCP	All	Se usa para acceder a la aplicación web de Iru
`subdomain.gateway.kandji.iosubdomain.gateway.iru.com`	443	TCP	All	Lo usa la aplicación web de Iru para acceder a las API de Iru.
`*.iot.kandji.io`	443	TCP	All	Se usa para las comunicaciones de telemetría de los dispositivos
`windows-agent.kandji.io`	443	TCP	Windows	Se usa para instalar y actualizar el Iru Agent en Windows
`subdomain.id.iru.comsubdomain.id.connect.iru.comsubdomain.id.devices.iru.comsubdomain.id.gateway.iru.com`	443	TCP	All	Punto de acceso al servicio de API de Iru Identity que da servicio a los tenants de EE. UU. Dentro de la aplicación web de Iru, se usa universalmente en todos los tenants, independientemente de las licencias de Iru Workforce Identity

Dominios de la región alojada en la UE

Dominio	Puertos	Protocolo	OS	Descripción
`UUID.web-api.eu.kandji.ioUUID.devices.eu.kandji.ioUUID.devices.eu.iru.com`	443	TCP	All	Se usa para el registro de MDM y la comunicación del Iru Agent. Sustituye UUID por el valor de tu tenant. Consulta Determinar tus dominios de dispositivo únicos para saber cómo encontrar tu UUID y tus dominios.
`kandji-prd-eu.s3.amazonaws.com`	443	TCP	macOS	Lo usan los dispositivos macOS para descargar el Iru Agent y las Custom Apps cargadas en tu tenant de Iru
`iru-prd-eu-managed-library-items.s3.amazonaws.com`	443	TCP	macOS	Lo usan los dispositivos macOS para descargar Auto Apps
`managed-library.eu.kandji.io`	443	TCP	macOS	Lo usan los dispositivos macOS para descargar Auto Apps
`kandji-frankfurt-ti-yara-rules.s3.amazonaws.com`	443	TCP	macOS	Lo usa Endpoint Detection & Response (EDR) de macOS para descargar reglas YARA
`kandji-frankfurt-ti-process-rules.s3.amazonaws.com`	443	TCP	macOS	Lo usa EDR de macOS para descargar reglas de procesos (de comportamiento)
`kandji-frankfurt-ti-benign-hashes.s3.amazonaws.com`	443	TCP	macOS	Lo usa EDR de macOS para descargar hashes benignos para las detecciones de archivos
`subdomain.web-api.eu.kandji.io`	443	TCP	All	Se usa para descargar el perfil de inscripción de gestión de dispositivos móviles (MDM)
`subdomain.eu.kandji.iosubdomain.iru.com`	443	TCP	All	Se usa para acceder a la aplicación web de Iru
`subdomain.gateway.eu.kandji.iosubdomain.gateway.eu.iru.com`	443	TCP	All	Lo usa la aplicación web de Iru para acceder a las API de Iru.
`*.iot.eu.kandji.io`	443	TCP	All	Se usa para las comunicaciones de telemetría de los dispositivos
`windows-agent.eu.kandji.io`	443	TCP	Windows	Se usa para instalar y actualizar el Iru Agent en Windows
`subdomain.id.iru.comsubdomain.id.eu.iru.comsubdomain.id.connect.iru.comsubdomain.id.connect.eu.iru.comsubdomain.id.devices.eu.iru.comsubdomain.id.gateway.eu.iru.com`	443	TCP	All	Punto de acceso al servicio de API de Iru Identity que da servicio a los tenants de la UE. Dentro de la aplicación web de Iru, se usa universalmente en todos los tenants, independientemente de las licencias de Iru Workforce Identity. El dominio id de EE. UU. se usa como servicio de consulta global para saber a qué región pertenece tu tenant y reenviar todo el tráfico posterior a la región de API de la UE.

Requisitos de red de la integración de AD CS

Si usas la integración de Active Directory Certificate Services, permite estas rutas de red para la configuración del AD CS Connector y el flujo de solicitudes de certificados. Para obtener el contexto completo de la integración, consulta Integración de AD CS: descripción general.

El AD CS Connector actualizado usa el inicio de sesión de Iru y la aprobación de la URL de registro en la aplicación web de Iru Endpoint. No usa Auth0. Usa la tabla AD CS Connector actualizado para las listas de permitidos estándar (tenant de Iru, API del tenant de Iru, Iru Identity, adcsconn y el tráfico interno de la CA de AD CS, según se indica). Incluye tu aplicación web de Iru y cualquier destino adicional de Iru Identity indicado en otras partes de este artículo cuando esas filas se apliquen a tu tenant. Si algún host de Windows Server sigue ejecutando el conector heredado durante la migración, permite también los destinos de la tabla AD CS Connector heredado hasta que esos hosts se actualicen y el conector heredado se elimine de Iru Endpoint.

AD CS Connector actualizado

Origen	Destino	Dominios de destino	Puerto	Protocolo	Descripción
AD CS Connector	Tenant de Iru	`subdomain.iru.comsubdomain.kandji.iosubdomain.eu.kandji.io`	443	TCP	Se usa durante la configuración inicial del conector para el inicio de sesión de Iru y la aprobación de la URL de registro en la aplicación web de Iru Endpoint
AD CS Connector	API del tenant de Iru	`subdomain.gateway.iru.comsubdomain.gateway.eu.iru.comsubdomain.gateway.kandji.iosubdomain.gateway.eu.kandji.iosubdomain.clients.us-1.kandji.iosubdomain.clients.eu.kandji.io`	443	TCP	Se usa para la comunicación de API entre el AD CS Connector y tu tenant. Sustituye subdomain por el subdominio de tu tenant. Los nombres de host Gateway coinciden con los dominios específicos de cada región. Las filas Clients son hosts de API de cliente del tenant: `subdomain.clients.us-1.kandji.io` para los tenants de la región de EE. UU. y `subdomain.clients.eu.kandji.io` para los tenants de la región de la UE (la misma división regional que las pestañas anteriores).
AD CS Connector	Iru Identity	`subdomain.id.iru.comsubdomain.id.eu.iru.com`	443	TCP	Se usa para Iru Identity durante los flujos de inicio de sesión y de tokens del conector actualizado
AD CS Connector	Servicio del conector de AD CS	`adcsconn.kandji.io` `adcsconn.eu.kandji.io`	443	TCP	WebSocket sobre TCP. Se usa para las solicitudes de certificados entre el AD CS Connector y el tenant del cliente
AD CS Connector	Servidores de CA de AD CS de Windows en tu entorno	FQDN de los servidores internos de CA de AD CS	135 + intervalo de RPC dinámico	TCP	DCE/RPC de Microsoft entre el conector y las CA emisoras al procesar solicitudes de certificados

RPC de Microsoft no usa un único puerto alto fijo. Permite TCP 135 (RPC Endpoint Mapper) hacia el FQDN de cada CA emisora y el intervalo de puertos RPC dinámicos de Windows que usa cada host de CA, que suele ser el intervalo que aparece como RPC Dynamic Ports en el Firewall de Windows Defender con seguridad avanzada del servidor de certificados. Confirma el intervalo en cada CA emisora y replícalo en tus reglas de firewall o proxy. Para obtener más contexto, consulta Configurar la asignación dinámica de puertos RPC con firewalls en Microsoft Learn.

AD CS Connector heredado (solo para la migración)

Permite estos destinos solo mientras al menos un host de Windows Server siga ejecutando el conector heredado (inicio de sesión WebView basado en Auth0 durante la configuración). Cuando todos los conectores usen el flujo actualizado de Iru, elimina estas filas de la lista de permitidos.

Origen	Destino	Dominios de destino	Puerto	Protocolo	Descripción
AD CS Connector	Auth0	`*.auth0.com`	443	TCP	Solo para el conector heredado. Varios subdominios usados para la autenticación WebView inicial durante la configuración del conector
AD CS Connector	Auth0	`auth.kandji.io` `auth.eu.kandji.io`	443	TCP	Solo para el conector heredado. Se usa al autenticar el AD CS Connector durante la configuración y la inicialización de WebSocket

Determinar tus dominios de dispositivo únicos

Los dispositivos inscritos usan tus dominios de dispositivo únicos para comunicarse con Iru mediante el protocolo MDM y el Iru Agent. Ejemplos de la región de EE. UU.:

UUID.web-api.kandji.io
UUID.devices.us-1.kandji.io
UUID.devices.iru.com

Ejemplos de la región de la UE:

UUID.web-api.eu.kandji.io
UUID.devices.eu.kandji.io
UUID.devices.eu.iru.com

El UUID es exclusivo de tu tenant. Puedes ver los dominios de tu tenant iniciando sesión en él y siguiendo estos pasos:

Abrir Organization

En la barra lateral, selecciona el Botón del menú de la cuenta y luego selecciona Organización.

Ver los dominios de dispositivo

En Endpoint, verás el panel Device Domains. Los dispositivos usan estos dominios para la comunicación de MDM y del agente.

Buscar el dominio de dispositivo en un Mac

Para determinar el dominio específico que usa un ordenador Mac concreto, ejecuta el siguiente comando en Terminal:

Terminal

system_profiler SPConfigurationProfileDataType | awk -v FS='(https://|/mdm)' '/CheckInURL/ {print $2}'

Inspección de SSL/TLS

El Iru Agent de macOS usa la fijación de certificados para comunicarse solo con servidores de confianza y para que el tráfico no se pueda interceptar ni inspeccionar (prevención de ataques MITM). Esto puede suponer un problema si tu administrador de red o de proxy descifra todo el tráfico SSL/TLS de forma predeterminada. Pide a tu administrador de red que excluya de la inspección los dominios de dispositivo de tu tenant.

Ten en cuenta que, aunque implementes la CA de tu filtro de contenido como CA raíz de confianza en tus dispositivos macOS, la inspección de SSL/TLS seguirá impidiendo que el Iru Agent se comunique con Iru.

Requisitos de red específicos de cada plataforma

Apple
Windows
Android

Hosts y puertos necesarios para Apple

Los dispositivos Apple necesitan acceso a varios servicios de Apple para una inscripción y gestión correctas. Para conocer los requisitos de red de Apple, consulta la guía oficial de Apple: Configurar dispositivos para que funcionen con APNs.

Host de destino	Puertos	Finalidad
Red de Apple (`17.0.0.0/8`)	TCP/443	Activación de dispositivos y alternativa si los dispositivos no pueden acceder a APNs en el puerto 5223
Red de Apple (`17.0.0.0/8`)	TCP/5223	Comunicación principal con Apple Push Notification service (APNs)
Red de Apple (`17.0.0.0/8`)	TCP/443 o 2197	Envío de notificaciones del servicio de gestión de dispositivos a APNs

Hosts y puertos necesarios para Windows

Los ordenadores Windows necesitan acceso a los servicios de Microsoft para una inscripción y gestión correctas:

Host de destino	Puertos	Finalidad
`.notify.windows.com.wns.windows.comlogin.microsoftonline.comlogin.live.com`	TCP/443	Necesario para Windows Push Notification Services (WNS). Para conocer los requisitos de configuración detallados, consulta la documentación de Microsoft sobre la lista de permitidos del firewall para WNS

Es posible que se necesiten URL adicionales para que las funciones específicas de Windows funcionen correctamente. Para ver la lista completa de endpoints de Windows, consulta la documentación de Microsoft sobre los endpoints de Windows 11 para ediciones no empresariales o la documentación de Microsoft sobre los endpoints de Windows 11 para ediciones empresariales.

Hosts y puertos necesarios para Android

Los dispositivos Android necesitan acceso a los servicios de Google para una inscripción y gestión correctas. Para conocer los requisitos de red de Android, consulta los requisitos de red de Android Enterprise de Google.

Host de destino	Puertos	Finalidad
`play.google.comandroid.comgoogle-analytics.comgoogleusercontent.com.gstatic.com.gvt1.com.ggpht.comdl.google.comdl-ssl.google.comandroid.apis.google.com.gvt2.com*.gvt3.com`	TCP/443 TCP, UDP/5228-5230	Google Play y actualizaciones, descargas de apps y API de Play Store
`*.googleapis.comm.google.com`	TCP/443	EMM/API de Google/API de Play Store/API de Android Management
`accounts.google.comaccounts.google.[country]`	TCP/443	Autenticación (usa tu dominio de nivel superior local para [country])
`gcm-http.googleapis.comgcm-xmpp.googleapis.comandroid.googleapis.com`	TCP/443, 5228-5230	Google Cloud Messaging para la comunicación entre la consola EMM ↔ DPC
`fcm.googleapis.comfcm-xmpp.googleapis.comfirebaseinstallations.googleapis.com`	TCP/443, 5228-5230	Firebase Cloud Messaging para Find Hub y la comunicación entre la consola EMM ↔ DPC
`connectivitycheck.android.comconnectivitycheck.gstatic.comwww.google.com`	TCP/443	Comprobaciones de conectividad del sistema operativo Android para conexiones Wi-Fi/de red móvil
`mtalk.google.commtalk4.google.comalt1-mtalk.google.comalt2-mtalk.google.comalt3-mtalk.google.comalt4-mtalk.google.comalt5-mtalk.google.comalt6-mtalk.google.comalt7-mtalk.google.comalt8-mtalk.google.comandroid.apis.google.comdevice-provisioning.googleapis.com`	TCP/443, 5228-5230	Conectividad de FCM para dispositivos detrás de firewalls de la organización
`time.google.com`	UDP/123	Acceso al servidor NTP necesario durante el aprovisionamiento del dispositivo

Versiones de TLS y conjuntos de cifrado

Según la guía de seguridad de la plataforma de Apple, las apps y los servicios integrados en los dispositivos macOS, iOS, tvOS y iPadOS prefieren automáticamente los conjuntos de cifrado con confidencialidad directa perfecta. Lo mismo ocurre cuando un desarrollador usa una API de red de alto nivel como CFNetwork. El Iru Agent usa estas API de red de alto nivel. Te recomendamos leer la guía de seguridad de la plataforma de Apple para comprender mejor estas funciones, especialmente la sección de seguridad de red TLS, que puedes encontrar aquí. Los dominios que se usan para la comunicación de MDM y del Iru Agent son exclusivos de tu tenant. Consulta Determinar tus dominios de dispositivo únicos para saber cómo encontrar los tuyos. Puedes inspeccionar los dominios de tu tenant con una herramienta como Qualys SSL Server Test para saber qué cifrados admite actualmente Iru.

Protocolos TLS compatibles

Iru admite las siguientes versiones del protocolo TLS:

Protocolo	Compatible	Notas
TLS 1.2	Sí	Negociado por el servidor sin SNI
TLS 1.1	Sí
TLS 1.0	Sí	Negociado por el servidor sin SNI
TLS 1.3	No
SSL 3	No
SSL 2	No

Conjuntos de cifrado

TLS 1.2 en el orden preferido por el servidor

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA

TLS 1.1 en el orden preferido por el servidor

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA

TLS 1.0 en el orden preferido por el servidor

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA

Descripción general

Requisitos

Iru AI

Acceso

Facturación

Portal de socios

Soporte

Usar Iru en redes empresariales

Acceso global a la aplicación web

Dominios y puertos necesarios

Dominios compartidos entre todas las regiones

Dominios específicos de cada región

Dominios de la región alojada en EE. UU.

Dominios de la región alojada en la UE

Requisitos de red de la integración de AD CS

AD CS Connector actualizado

AD CS Connector heredado (solo para la migración)

Determinar tus dominios de dispositivo únicos

Buscar el dominio de dispositivo en un Mac

Inspección de SSL/TLS

Requisitos de red específicos de cada plataforma

Hosts y puertos necesarios para Apple

Hosts y puertos necesarios para Windows

Hosts y puertos necesarios para Android

Versiones de TLS y conjuntos de cifrado

Protocolos TLS compatibles

Conjuntos de cifrado

​Acceso global a la aplicación web

​Dominios y puertos necesarios

​Dominios compartidos entre todas las regiones

​Dominios específicos de cada región

​Dominios de la región alojada en EE. UU.

​Dominios de la región alojada en la UE

​Requisitos de red de la integración de AD CS

​AD CS Connector actualizado

​AD CS Connector heredado (solo para la migración)

​Determinar tus dominios de dispositivo únicos

​Buscar el dominio de dispositivo en un Mac

​Inspección de SSL/TLS

​Requisitos de red específicos de cada plataforma

​Hosts y puertos necesarios para Apple

​Hosts y puertos necesarios para Windows

​Hosts y puertos necesarios para Android

​Versiones de TLS y conjuntos de cifrado

​Protocolos TLS compatibles

​Conjuntos de cifrado

Acceso global a la aplicación web

Dominios y puertos necesarios

Dominios compartidos entre todas las regiones

Dominios específicos de cada región

Dominios de la región alojada en EE. UU.

Dominios de la región alojada en la UE

Requisitos de red de la integración de AD CS

AD CS Connector actualizado

AD CS Connector heredado (solo para la migración)

Determinar tus dominios de dispositivo únicos

Buscar el dominio de dispositivo en un Mac

Inspección de SSL/TLS

Requisitos de red específicos de cada plataforma

Hosts y puertos necesarios para Apple

Hosts y puertos necesarios para Windows

Hosts y puertos necesarios para Android

Versiones de TLS y conjuntos de cifrado

Protocolos TLS compatibles

Conjuntos de cifrado