Mavericks OS X 服务器 - 配置文件管理器 - 配置文件管理器端口是否必须映射到路由器才能获得全部功能?
我注意到服务器询问我是否希望 Profile Manager 端口可用。我检查了它添加到路由器的设置,它为服务器映射了 tcp 端口 80、443 和 1640。
端口 80 只是 apache web 服务器,所以它添加了这个,所以你可以访问 web 界面。出于与上述相同的原因,端口 443 再次成为 ssl apache Web 服务器。
1640端口呢?
事实是我不希望从外部(通过 Web 界面)访问配置文件管理器,但我确实希望它能够正常运行。我应该把这个 tcp 1620 留在那儿,还是可以安全地删除所有这些,Profile Manager 将继续工作?
PS。还在 Apple 的支持站点http://support.apple.com/kb/HT5302上找到了此文档。 它似乎添加了更多端口,这些端口似乎没有出现在自动配置的任何地方。
2195、2196 由 Profile Manager 用于发送推送通知
5223 用于维持与 APN 的持久连接并接收推送通知
80/443 为 Profile Manager 管理员提供对 Web 界面的访问
1640 注册访问证书颁发机构
不需要映射端口 2195、2196 和 5223,因为它们用于与 Apple 推送通知服务器的传出连接。除非您正在执行出口过滤,否则您无需对这些执行任何操作。如果您正在执行出口过滤,请确保在这些端口上允许连接到 Apple 的 17.0.0.0/8 网络块。
端口 1640 用于安全配置注册协议 (SCEP)。我还没有测试过,但我认为只有当你想注册不在 LAN 上的新设备时才需要映射。如果您从防火墙内进行所有注册,我认为您可以取消映射这个。
端口 80 和 443 用于 Web 界面(管理员使用“配置文件管理器”,用户使用“用户门户”)以及设备下载配置文件。推送通知用于告知设备新的/更新的配置文件,但不发送实际的配置文件;为此,设备在端口 443 上联系服务器(假设您已设置 SSL)以下载配置文件本身。如果您将这些未映射,您的设备将不会收到任何新的/更新的配置文件,直到它们位于专用网络上。
最终结果:您实际上不需要映射任何端口,但如果您不这样做,您的客户端设备在离开专用网络时将具有有限的功能。
顺便说一句,如果您为服务器使用本地或私有主机名(例如 server.local 或 server.private),则基本上同样的限制适用——在这些情况下,客户端将无法从私有网络外部解析服务器的地址,因此将无法注册或下载新的配置文件。