ИСКЛЮЧЕНИЕ БЛОКИРОВОК ДЛЯ KNOX СЕРВИСОВ: ENROLLMENT SQUID
Захотелось пустить трафик Android устройства Samsung при первом включении через прокси и посмотреть его логи. Куда на самом деле оно ходит и для чего. Дело в том, что корпоративные политики безопасности некоторых организаций ограничивают права доступа сотрудников в интернет из внутренней сети компании. Однако, когда компания начинает использовать KNOX сервисы, то необходимо разрешить доступ к их серверам.
Cуществует официальная инструкция от Samsung. Она определяет список доменов или IP адресов, необходимых для первоначального включения мобильного устройства или factory reset, когда происходит настройка облачных KNOX сервисов: Knox Mobile Enrollment, Knox Configure, Knox Manage и так далее. Менять корпоративные политики компании и делать whitelist всех возможных IP дело затруднительное, потому что облачные KNOX сервисы используют в большинстве своём Amazon AWS с динамическим распределением IP адресов, а список диапазонов чрезвычайно большой.
Поэтому IT-служба безопасности может сделать простой DMZ (demilitarized zone) Ubuntu Squid прокси для его использования внутри сети организации c разрешённым доступом ко всем диапазонам IP. Прокси, который будет пропускать трафик и использоваться исключительно для целевых доменов, необходимых, чтобы активировать устройства.
Squid.conf настройки
acl enrollment_domains dstdomain .samsung.com .samsungknox.com .secb2b.com .samsunggsl.com
На разные домены нижнего уровня этих четырех адресов KNOX B2B сервисов идут обращения при первом включении устройств. Также необходим трафик и на google сервисы:
.google.com
.gstatic.com
.gvt1.com
.gvt2.com
.gvt3.com
.googleapis.com
.googleusercontent.com
Для полного счастья Android Setup Wizard, чтобы он не переживал, список можно дополнить иными сервисными адресами, без которых он может обойтись, но так или иначе «стучится» по ссылкам, содержащим следующие строки:
.samsungdm.com
.samsungapps.com
.samsungmobile.com
.bixbyllm.com
.sbixby.com
.samsung-sm-ds.com
.ospserver.net (сервера обновлений)
.samsungcloud.com
.samsungcloudplatform.com
И http_access deny !enrollment_domains, чтобы использовался прокси только для активации устройств или обновлений. Помимо ситуации с политиками компании может оказаться так, что ограничивают право доступа в интернет не корпоративные политики, а провайдер. Тогда на линии провайдера, который работает хорошо, вы ставите такой прокси и пускаете через него enrollment трафик, как в описанном примере. По мотивам обзора новинок XCover7 Pro и TabActive5 Pro