Sophos Mobile Control Guía de instalación
Werbung
Werbung
Sophos Mobile Control
Guía de instalación
Versión: 6
Edición: diciembre de 2015
2
Contenido
3.2 Actualización de licencias de evaluación a licencias completas..........................6
5.1 Solicitar un certificado SSL para Sophos Mobile Control...................................13
5.2 Instalar y configurar el servidor de Sophos Mobile Control................................14
6.2 Escenarios de uso para el proxy EAS independiente........................................17
7.3 Configurar el equilibrio de carga con Sophos UTM............................................27
8 Ejecutar el servicio Sophos Mobile Control con permisos de acceso limitados...............30
10.1 Características del servidor de Sophos Mobile Control...................................32
Guía de instalación
1 Acerca de esta guía
Esta guía explica cómo instalar y configurar Sophos Mobile Control versión 6. También describe cómo actualizar una instalación existente de Sophos Mobile Control.
A no ser que se especifique lo contrario, todos los procedimientos deben ejecutarse como administrador de Microsoft Windows Server o como un usuario del grupo pertinente.
3
4
Sophos Mobile Control
2 Introducción a Sophos Mobile Control
Sophos Mobile Control
Sophos Mobile Control es una herramienta de administración para dispositivos móviles como teléfonos inteligentes y tabletas. Sophos Mobile Control ayuda a mantener los datos corporativos seguros mediante la administración de las aplicaciones y de la seguridad.
El sistema de Sophos Mobile Control se compone de un servidor y un componente de cliente.
El servidor es el componente principal. Proporciona una interfaz web para administrar Sophos
Mobile Control y para gestionar los dispositivos móviles registrados.
El cliente de Sophos Mobile Control es una aplicación que se instala en los dispositivos móviles. Permite la configuración inalámbrica a través de la interfaz web del servidor de
Sophos Mobile Control.
El portal de autoservicio de Sophos Mobile Control para sus usuarios permite reducir la carga sobre el departamento informático al posibilitar que los usuarios finales puedan registrar sus propios dispositivos y realizar otras tareas sin tener que contactar con soporte.
Sophos Mobile Control también puede utilizarse para gestionar las aplicaciones móviles
Sophos Mobile Security, Sophos Secure Workspace y Sophos Secure Email. Para ello, es necesario contar con una licencia de SMC Advanced.
Sophos Mobile Security
Sophos Mobile Security es una app de seguridad para teléfonos y tabletas Android.
Escaneamos de forma automática las aplicaciones al instalarlas utilizando la información más reciente de SophosLabs. Esta función antivirus protege contra evitar los programas de software no deseados que puedan provocar fugas de datos y costes inesperados.
Sophos Secure Workspace
Sophos Secure Workspace es una app para dispositivos Apple iOS y Android que proporciona un espacio de trabajo seguro en el que se puede navegar, administrar, editar, compartir, cifrar y descifrar documentos de distintos proveedores de almacenamiento o distribuidos por su empresa. Está diseñado para evitar fugas de datos incluso si se pierde o roba su dispositivo o se envía un documento a un destino equivocado.
Los archivos pueden descifrarse y visualizarse con facilidad. Los archivos cifrados pueden obtenerse de otras apps y subirse a uno de los servicios de almacenamiento en la nube compatibles. Si lo prefiere, también puede almacenar los documentos de forma local en la aplicación.
Con Sophos Secure Workspace, puede leer archivos cifrados por SafeGuard Cloud Storage o SafeGuard Data Exchange. Ambos son módulos de SafeGuard Enterprise o una de sus diferentes ediciones.
Sophos Secure Workspace también incluye Corporate Browser, un navegador web que le permite acceder de forma segura a las páginas de la intranet de la empresa y a otras páginas permitidas, en función de lo que se establezca en la política de Sophos Mobile Control.
Guía de instalación
Sophos Secure Email
Sophos Secure Email es una aplicación para dispositivos Apple iOS y Android que proporciona un contenedor seguro para gestionar su correo electrónico, su calendario y sus contactos.
Todos los datos se cifran y se protegen contra el acceso de terceros.
5
6
Sophos Mobile Control
3 Licencias de Sophos Mobile Control
Sophos Mobile Control ofrece dos tipos de licencias:
■ Licencia SMC Standard
■ Licencia SMC Advanced
Una licencia SMC Advanced añade funcionalidad al permitirle administrar Sophos Mobile
Security, Sophos Secure Workspace y Sophos Secure Email, consulte
en la página 4.
Para obtener más información sobre cómo administrar Sophos Mobile Security, Sophos
Secure Workspace y Sophos Secure Email mediante la consola web de Sophos Mobile
Control, consulte la Guía de administrador de Sophos Mobile Control .
Como superadministrador, puede activar sus licencias adquiridas en el cliente superadministrador y asignar el número requerido de usuarios con licencia a clientes individuales.
3.1 Licencias de evaluación
Sophos ofrece una evaluación gratuita para Sophos Mobile Control. Puede registrarse para la evaluación en el sitio web de Sophos: http://www.sophos.com/es-es/products/free-trials/mobile-control.aspx
.
La licencia de evaluación le permite administrar hasta cinco usuarios y es válida durante 30 días.
Lo único que necesitará para configurar Sophos Mobile Control para la evaluación es la dirección de correo electrónico que haya utilizado para registrarse al descargar el instalador.
3.2 Actualización de licencias de evaluación a licencias completas
Para actualizar sus licencias de evaluación simplemente introduzca la clave de licencia completa en la consola web de Sophos Mobile Control. Para más información, consulte la
Ayuda de administrador de Sophos Mobile Control .
3.3 Actualización de licencias
Para actualizar sus licencias simplemente introduzca la nueva clave de licencia en la consola web de Sophos Mobile Control. Para más información, consulte la Guía de superadministrador
de Sophos Mobile Control.
Guía de instalación
4 Arquitectura de Sophos Mobile Control
4.1 Ejemplos de arquitectura
Los siguientes gráficos muestran cómo se puede integrar el servidor de Sophos Mobile Control
(servidor SMC) en la infraestructura de una empresa.
Figura 1: Resumen de comunicación
7
Sophos Mobile Control
Figura 2: Sophos Mobile Control en zona desmilitarizada (DMZ)
8
Figura 3: Sophos Mobile Control en DMZ con protección de tráfico entrante y saliente
Guía de instalación
Figura 4: Sophos Mobile Control en back-end con protección de tráfico entrante y saliente
Figura 5: Configuración de clústeres de Sophos Mobile Control con firewall de aplicaciones web de Sophos UTM
9
Sophos Mobile Control
4.2 Puertos y protocolos
De Internet al servidor SMC
Compatibilidad con reenvío de puertos, NAT, WAF y proxy inverso
Protocolo Puerto
TCP
Destino
HTTP
HTTPS
80
443
<Servidor de SMC>
<Servidor de SMC>
Comentario ¿Opcional?
Reenvía al puerto HTTPS
Acceso a la consola de administración, el portal de autoservicio y la sincronización de dispositivos, UTM, NAC
Sí
De la red interna al servidor SMC
Protocolo Puerto
TCP
Destino
HTTP
HTTPS
80
443
<Servidor de SMC>
<Servidor de SMC>
Comentario ¿Opcional?
Reenvía al puerto HTTPS
Acceso a la consola de administración, el portal de autoservicio y la sincronización de dispositivos, UTM, NAC
Sí
Del servidor SMC a Internet
Nota: se puede usar un proxy para este tráfico. Asegúrese de que puede acceder a los servidores de APN y que mantiene el certificado de cliente para services.sophosmc.com
intacto.
Comentario ¿Opcional?
Protocolo Puerto
TCP
Destino
HTTPS con certificado de cliente.
443 services.sophosmc.com
(85.22.154.49)
Usado para inserción de aplicaciones SMC - Apple (APNs) y Microsoft (MPNS)
10
Guía de instalación
Protocolo Puerto
TCP
Destino
HTTPS 443 android.googleapis.com
Comentario ¿Opcional?
APNS con certificado de cliente.
2195
HTTPS 443 gateway.push.apple.com
(17.0.0.0/8)
HTTPS
HTTPS
HTTPS
443
443
443
Mensajería en la nube de Google para dispositivos Android
Servicio de notificaciones de inserción de Apple vpp.itunes.apple.com (17.0.0.0/8) Programa de compras por volumen (VPP) de Apple
Sí vpp.itunes.apple.com (17.0.0.0/8) Búsqueda de identificador de aplicación de Apple deviceservices-external.apple.com
(17.0.0.0/8)
Omisión de bloqueo de activación de Apple para dispositivos supervisados
Sí login.live.com, db3.notify.windows.com
Servicio de notificaciones de inserción de Windows
Del servidor SMC a los siguientes hosts internos
Protocolo Puerto
TCP
Destino
MS SQL o MySQL
1433 ó
3306
<su host de base de datos>
SMTP
(Normal,
SSL o
TLS)
25, 465 o
587
<su host SMTP>
LDAP o
LDAPS
389 ó 636 <su host LDAP>
HTTPS 443 <su servidor Exchange>
HTTPS 443 <su servidor SGN>
Comentario
Si no está en el mismo ordenador que SMC
Correos para inscripción y mantenimiento
A su servidor de directorio.
Normal o SSL
Para tráfico de ActiveSync
Para integración SGN
¿Opcional?
Sí
Sí
Sí
11
Sophos Mobile Control
De los dispositivos a Internet
Para los dispositivos móviles, mientras estén conectados a la WLAN, deben abrirse los siguientes puertos a Internet.
Comentario ¿Opcional?
Servicio Puerto
TCP
Destino
APNs 5223 17.0.0.0/8
GCM 5228,
5229,
5230
Internet
Servicio de notificaciones de inserción de Apple para dispositivos iOS
Mensajería en la nube de Google para dispositivos Android
4.3 Guía de tamaños
El artículo de la base de conocimiento de Sophos Sophos Mobile Control - Guía de tamaños ofrece directrices sobre el dimensionamiento de una instalación de servidor de Sophos Mobile
Control en términos de requisitos de hardware (por ejemplo, CPU, memoria) y software (por ejemplo, base de datos, virtualización).
Puede acceder al artículo de la base de conocimiento en http://www.sophos.com/support/knowledgebase/122741.aspx
.
12
Guía de instalación
5 Configurar Sophos Mobile Control
Los pasos básicos para la configuración de Sophos Mobile Control son:
■
Solicitar un certificado SSL, consulte Solicitar un certificado SSL para Sophos Mobile
en la página 13.
■ Ejecutar el instalador de Sophos Mobile Control, consulte
Instalar y configurar el servidor de Sophos Mobile Control
en la página 14.
Después de la instalación, debe llevar a cabo algunos pasos de configuración inicial:
■
■
■
Inicie sesión en la consola web de Sophos Mobile Control por primera vez para ejecutar el asistente de configuración.
Para los dispositivos iOS, necesita tener el certificado del servicio de notificaciones de inserción de Apple.
También puede configurar un proxy EAS independiente para el filtrado de correo electrónico que tiene las siguientes ventajas sobre el proxy EAS que se instala de manera automática con Sophos Mobile Control:
■
■
■
Soporte para autenticación de cliente basada en certificados.
Soporte de cliente de Lotus Traveler para dispositivos no iOS.
Soporte para múltiples servidores Exchange y Lotus Traveler.
Consulte la Guía de inicio de Sophos Mobile Control para obtener más información sobre estas tareas de configuración.
5.1 Solicitar un certificado SSL para Sophos Mobile
Control
Para configurar Sophos Mobile Control, necesita un certificado de servidor web SSL. En el proceso de configuración, puede elegir entre crear un certificado autofirmado y usar un
PKCS #12 con certificado, clave privada y cadena de certificados. Para más información, consulte
Instalar y configurar el servidor de Sophos Mobile Control en la página 14. Su
producto de Sophos incluye un asistente de certificado SSL en la carpeta
%MDM_HOME%\tools\Wizard que puede usar para solicitar su certificado o puede descargar el asistente desde MySophos.
Nota: si tiene previsto administrar dispositivos móviles de Windows Phone 8 o Windows 10, le recomendamos que use un certificado SSL oficial. De lo contrario, deberá instalar el certificado autofirmado de forma manual en los dispositivos.
Para solicitar su certificado SSL:
■ Inicie el asistente de certificado SSL haciendo doble clic en el archivo Sophos Mobile
Control SSL Certificate Wizard.exe.
13
Sophos Mobile Control
El asistente le guiará en el proceso de instalación. Introduzca la información necesaria siguiendo estas instrucciones: a) En la página Upload CSR, puede hacer clic en el botón Open CSR para abrir el archivo
.csr
si su proveedor de certificados admite la acción de copiar y pegar.
b) En la página Import Certificate Files, introduzca el certificado de CA descargado en la página Upload CSR en el campo Select CA certificate file.
c) En la página Certificate created, aparece la ubicación del certificado creado. Deberá hacer referencia a esta ubicación cuando configure Sophos Mobile Control, consulte
Instalar y configurar el servidor de Sophos Mobile Control
en la página 14.
Nota: se recomienda que cree una copia de seguridad de la carpeta que contiene los archivos de certificados.
5.2 Instalar y configurar el servidor de Sophos Mobile
Control
■
■
Si tiene previsto conectar Sophos Mobile Control a una base de datos existente, asegúrese de que dispone de las credenciales de inicio de sesión para la base de datos antes de iniciar la instalación y de que cuenta con los permisos suficientes para crear nuevos almacenes de datos, cuentas de usuario y registros de datos.
Si la base de datos no está alojada de manera local, necesita acceder al puerto TCP 3306 para MySQL y 1433 para Microsoft SQL Server. Además, necesita una cuenta de administrador que pueda iniciar sesión desde el servidor de Sophos Mobile Control.
1. Ejecute el instalador de Sophos Mobile Control como administrador, revise y acepte el
License Agreement (acuerdo de licencia).
2. En la página System Property Checks, haga clic en Check para realizar pruebas para verificar que su entorno de sistema cumple con todos los requisitos necesarios para
Sophos Mobile Control.
Puede hacer clic en Report para generar un informe de los resultados de las pruebas.
3. En la página Choose Install Location, elija la carpeta de destino para el servidor de
Sophos Mobile Control.
4. En la página Database Type Selection, seleccione el tipo de base de datos que desea utilizar:
■
■
■
Install and use Microsoft SQL Server 2014 Express: instalará inmediatamente SQL
Server 2014 Express y lo configurará para su uso con Sophos Mobile Control
Use existing Microsoft SQL database
Use existing MySQL
5. En la página Database Settings, introduzca las credenciales de inicio de sesión para la base de datos.
Nota: si ha seleccionado la opción Use SQL Server Authentification, deberá asegurarse de que el idioma de inicio de sesión de SQL está establecido en English. Puede consultar cómo hacer esto en
Cambiar el idioma de inicio de sesión de SQL
en la página 16.
6. En la página Database Selection, haga clic en Create a new database named e introduzca un nombre para la base de datos que se va a crear, por ejemplo SMCDB.
14
Guía de instalación
7. En la página Database Configuration, se muestran mensajes de progreso durante la creación de la base de datos.
Cuando la base de datos se haya creado y poblado con éxito, haga clic en Next para continuar.
8. Si ha seleccionado la autenticación Windows para el acceso a la base de datos, existe una página llamada Set service credentials donde se establece la cuenta de Windows con la que se ejecuta el servicio Sophos Mobile Control.
Puede utilizar la cuenta del sistema local o una cuenta de usuario. En el segundo caso, especifique la cuenta de usuario como <nombre de equipo>\<nombre de usuario> o como <dominio>\<nombre de usuario> .
El instalador asignará los derechos de acceso a la base de datos a esa cuenta.
9. En la página Configure super admin account, introduzca un nombre para el Super
admin customer (un cliente especial que únicamente usa el superadministrador), el Super
admin login (el nombre de inicio de sesión del superadministrador) y una Super admin
password.
El superadministrador es principalmente para la gestión de clientes y no debe usarse para la gestión rutinaria de dispositivos móviles. En Sophos Mobile Control, los clientes son los inquilinos que gestionan los dispositivos para sus usuarios. El superadministrador inicia sesión en el cliente superadministrador y puede, por ejemplo, predefinir ajustes para nuevos clientes e imponer ajustes y configuraciones a clientes existentes. Para más información, consulte la Guía de superadministrador de Sophos Mobile Control.
Nota:
■ Para el primer inicio de sesión en la consola web de Sophos Mobile Control se necesitan las credenciales del superadministrador.
■ Después de la instalación, es posible añadir superadministradores adicionales en la consola web de Sophos Mobile Control.
10. En la página Configure external server name, introduzca un nombre de servidor de
Sophos Mobile Control (por ejemplo smc.mycompany.com).
Nota: el nombre del servidor debe poder ser resuelto por los componentes del cliente de
Mobile Control.
11. En la página Configure server certificate, cree o importe un certificado para el acceso seguro (HTTPS) al servidor web.
Nota: su producto de Sophos incluye un asistente de certificado SSL que puede usar para solicitar su certificado SSL para Sophos Mobile Control. Para más información, consulte
Solicitar un certificado SSL para Sophos Mobile Control en la página 13.
■
■
Si todavía no tiene un certificado de confianza, seleccione Create self-signed
certificate.
Si tiene un certificado de confianza, haga clic en Import a certificate from a trusted
issuer y en una opción de la lista desplegable.
12. En la siguiente página, introduzca la información de certificado pertinente, dependiendo del tipo de certificado que haya seleccionado.
Nota: para un certificado autofirmado, deberá especificar un servidor al que se pueda acceder desde los dispositivos de los clientes.
15
Sophos Mobile Control
13. En la página Server Information, verifique la información del servidor y a continuación haga clic en Next para confirmar el servidor y el proceso de configuración.
14. Una vez finalizada la instalación, aparecerá el cuadro de diálogo Sophos Mobile Control
- Installation finished. Asegúrese de que la casilla Start Sophos Mobile Control Control
server now esté seleccionada y haga clic en Finish para iniciar el servicio Sophos Mobile
Control por primera vez.
Nota: una vez que el servicio se ha iniciado, puede tardar unos minutos antes de que la interfaz web de Sophos Mobile Control esté disponible.
Después de la instalación, debe llevar a cabo algunos pasos de configuración inicial:
■ Inicie sesión en la consola web de Sophos Mobile Control por primera vez para ejecutar el asistente de configuración.
■
■
Para los dispositivos iOS, necesita tener el certificado del servicio de notificaciones de inserción de Apple.
También puede configurar un proxy EAS independiente para el filtrado de correo electrónico que tiene las siguientes ventajas sobre el proxy EAS que se instala de manera automática con Sophos Mobile Control:
■
■
■
Soporte para autenticación de cliente basada en certificados.
Soporte de cliente de Lotus Traveler para dispositivos no iOS.
Soporte para múltiples servidores Exchange y Lotus Traveler.
Consulte la Guía de inicio de Sophos Mobile Control para obtener más información sobre estas tareas de configuración.
5.3 Cambiar el idioma de inicio de sesión de SQL
Si ha configurado Sophos Mobile Control Server para usar la autenticación mediante SQL
Server para conectarse a la base de datos, el idioma de inicio de sesión de SQL debe estar establecido en English (inglés). De lo contrario, se producirá un error cuando se inicie el servicio de Sophos Mobile Control.
Este tema describe cómo cambiar el idioma de inicio de sesión de SQL a English.
1. Detenga el servicio de Sophos Mobile Control.
2. Abra SQL Server Management Studio en el servidor y seleccione Seguridad > Inicios
de sesión.
3. En la página General de las Propiedades de inicio de sesión, establezca el Idioma
predeterminado en English, y luego haga clic en Aceptar para guardar los cambios.
4. Reinicie el servicio Sophos Mobile Control.
16
Guía de instalación
6 Configuración de un proxy EAS independiente
6.1 Proxy EAS independiente
Con Sophos Mobile Control, puede configurar un proxy EAS para filtrar tráfico de correo electrónico de dispositivos móviles a servidores de correo electrónico.
Los dispositivos móviles deben estar configurados para usar el proxy EAS como servidor de correo electrónico para los correos entrantes y salientes. El proxy EAS solo reenviará tráfico al servidor de correo real si Sophos Mobile Control reconoce el dispositivo y éste cumple con las políticas requeridas. Esto garantiza un nivel de seguridad más alto ya que el servidor de correo electrónico no necesita estar accesible desde Internet y solo los dispositivos autorizados
(configurados correctamente, por ejemplo mediante directrices de código de acceso) pueden acceder a él. Además, puede configurar el proxy EAS para bloquear el acceso desde dispositivos específicos.
Hay dos tipos de proxies EAS:
■
■
El proxy EAS interno que se instala automáticamente con Sophos Mobile Control. Admite el tráfico entrante de ActiveSync que usa Microsoft Exchange o Lotus Traveler para iOS y los dispositivos Samsung SAFE/KNOX.
Un proxy EAS independiente que se puede descargar e instalar por separado. Se comunica con el servidor de Sophos Mobile Control a través de una interfaz web HTTPS.
Funciones
El proxy EAS independiente tiene características adicionales en comparación con la versión interna:
■
■
Compatibilidad con Lotus Traveler para dispositivos no iOS (por ejemplo, Android). El cliente de Traveler para estos dispositivos usa un protocolo (no ActiveSync) que no es compatible con el proxy EAS interno.
Soporte para múltiples servidores de correo electrónico de Microsoft Exchange o Lotus
Traveler. Puede configurar una instancia del proxy EAS por servidor de correo electrónico.
■
■
Compatibilidad con equilibrador de carga. Puede configurar instancias de proxy EAS independientes en varios equipos y luego usar un equilibrador de carga para distribuir las solicitudes de los clientes entre ellas.
Soporte para autenticación de cliente basada en certificados. Puede seleccionar un certificado de una autoridad de certificación (CA), del cual deben derivarse los certificados de los clientes.
6.2 Escenarios de uso para el proxy EAS independiente
Para los siguientes escenarios debe utilizarse un servidor proxy EAS independiente.
17
Sophos Mobile Control
Usa Lotus Traveler para dispositivos no iOS
El proxy EAS interno no es apto para este escenario porque solo admite el protocolo
ActiveSync, que es el que usa Microsoft Exchange y Lotus Traveler para los dispositivos iOS.
Lotus Traveler para dispositivos no iOS (por ejemplo, Android) utiliza un protocolo diferente que admite el proxy EAS independiente.
Para dispositivos no iOS, es necesario contar con un software de cliente de Traveler dedicado.
Este software está disponible a través de <traveler-server>/servlet/traveler o el sistema de archivos de Traveler. Puede usar las funciones Instalar aplicación y Desinstalar
aplicación de Sophos Mobile Control para instalar y desinstalar el software de cliente de
Traveler. La configuración debe realizarse manualmente.
18
Figura 6: Proxy EAS para Lotus Traveler
Desea admitir múltiples servidores de back-end
Con el proxy EAS independiente puede configurar múltiples instancias de sistemas de correo de back-end. Cada instancia necesita un puerto TCP de entrada. Cada puerto puede conectarse a un back-end diferente. Necesita una URL por instancia de proxy EAS.
Guía de instalación
Figura 7: SMC y múltiples instancias de proxy EAS en el mismo ordenador
Figura 8: SMC y múltiples instancias de proxy EAS en diferentes ordenadores
19
Sophos Mobile Control
Desea configurar el equilibrio de carga para EAS
Puede configurar instancias de proxy EAS independientes en varios equipos y luego usar un equilibrador de carga para distribuir las solicitudes de los clientes entre ellas.
Para este escenario se requiere un equilibrador de carga existente para HTTP.
20
Figura 9: Proxies EAS de carga equilibrada (también pueden usarse detrás de un proxy inverso)
Desea usar la autenticación basada en el certificado de cliente
Para este escenario se requiere un PKI existente y la parte pública del certificado de CA debe establecerse en el proxy EAS.
Guía de instalación
Figura 10: Proxy EAS con autenticación mediante certificado de cliente
6.3 Descargue el instalador de proxy EAS
1. Inicie sesión en la consola web de Sophos Mobile Control como superadministrador.
2. En la barra lateral del menú, en CONFIGURACIÓN, haga clic en Configuración y, a continuación, en Configuración del sistema.
Aparece la vista Configuración del sistema.
3. Vaya a la ficha Proxy EAS y haga clic en el enlace de descarga de la sección Externo.
6.4 Instalar el proxy EAS independiente
Requisitos previos:
■
■
Sophos Mobile Control ya está instalado y configurado. Consulte la Guía de instalación
de Sophos Mobile Control.
Sophos Mobile Control ya está instalado y configurado.
■
■
Inicie sesión en la consola web de Sophos Mobile Control como superadministrador. Esto es necesario porque durante el proceso de configuración que se describe a continuación necesitará cargar archivos de certificado al servidor de Sophos Mobile Control.
Durante la configuración de las instancias del proxy EAS, el instalador comprobará si es posible acceder a los servidores de correo especificados. Necesitará asegurarse de que estos servidores están disponibles antes de ejecutar el instalador.
21
Sophos Mobile Control
Para instalar y configurar el proxy EAS independiente:
1. Ejecute el archivo Sophos Mobile Control EAS Proxy Setup.exe
como administrador para abrir el Sophos Mobile Control EAS Proxy - Setup Wizard.
2. Revise y acepte los términos de licencia.
3. En la página Choose Install Location, elija la carpeta de destino y haga clic en Install para iniciar la instalación.
Una completada la instalación, se abrirá automáticamente el Sophos Mobile Control
EAS Proxy - Configuration Wizard y le guiará a través de los pasos de configuración.
4. En el cuadro de diálogo SMC Server configuration, introduzca la URL del servidor SMC con el que se conectará el proxy EAS. También es recomendable que seleccione Use
SSL for incoming connections (Clients to EAS Proxy) para asegurar la comunicación entre clientes y el proxy EAS. Puede seleccionar Use client certificates for authentication si desea que los clientes usen un certificado además de las credenciales del proxy EAS para la autenticación. Esto añade un nivel adicional de seguridad a la conexión.
5. Si ha seleccionado Use SSL for incoming connections (Clients to EAS Proxy) antes, se mostrará la página Configure server certificate. En esta página puede crear o importar un certificado para el acceso seguro (HTTPS) al proxy EAS.
Nota: su producto de Sophos incluye un asistente de certificado SSL que puede usar para solicitar su certificado SSL para el proxy EAS de Sophos Mobile Control. Para más información, consulte
Solicitar un certificado SSL para Sophos Mobile Control en la página
13.
■
■
Si todavía no tiene un certificado de confianza, seleccione Create self-signed
certificate.
Si tiene un certificado de confianza, haga clic en Import a certificate from a trusted
issuer y seleccione una de las opciones de importación del cuadro de lista:
■
■
PKCS12 with certificate, private key and certificate chain (intermediate and
CA)
Separate files for certificate, private key, intermediate and CA certificate
6. En la siguiente página, introduzca la información de certificado pertinente, dependiendo del tipo de certificado que haya seleccionado.
Nota: para un certificado autofirmado, deberá especificar un servidor al que se pueda acceder desde los dispositivos de los clientes.
7. Si ha seleccionado Use client certificates for authenticationantes, se mostrará la página
SMC client authentication configuration. En esta página, selecciona un certificado de una autoridad de certificación (CA), del cual deben derivarse los certificados de los clientes.
Cuando un cliente intenta conectarse, el proxy EAS comprobará si el certificado que el cliente proporciona está derivado de la CA que ha especificado aquí.
22
Guía de instalación
8. En la página EAS Proxy instance setup, configure una o varias instancias del proxy EAS.
Para cada instancia, introduzca un Instance name (nombre de la instancia), el Server
port (puerto del servidor) pertinente para el tráfico entrante y el ActiveSync server
(servidor de ActiveSync) con el que se conectará la instancia del proxy. Seleccione Enable
traveler client access para permitir el acceso al cliente de Lotus Traveler. Si es necesario, puede habilitar la autenticación SSL o mediante certificado de cliente para determinadas instancias.
Nota: si configura más de una instancia de proxy, cada una de ellas debe usar un puerto de servidor diferente.
9. Después de introducir la información de la instancia, haga clic en Add para añadir la instancia a la lista Instances.
Para cada instancia de proxy, el instalador creará un certificado que necesitará cargar al servidor de Sophos Mobile Control. Después de hacer clic en Add, se abrirá una ventana de mensaje en la que se explica cómo cargar el certificado.
10. En la ventana de mensaje, haga clic en OK.
Se abrirá un cuadro de diálogo en el que se muestra la carpeta en la que se ha creado el certificado.
Nota: también puede abrir el cuadro de diálogo seleccionando la instancia pertinente y haciendo clic en el enlace Export config and upload to SMC en la página EAS Proxy
instance setup.
11. Usando la consola web de Sophos Mobile Control como superadministrador, navegue a
Setup > System setup > EAS proxy.
23
Sophos Mobile Control
12. En la sección External, haga clic en Upload a file y seleccione el archivo del certificado que se ha creado para la instancia del proxy EAS. No se olvide de guardar estos cambios en los ajustes de EAS proxy.
Nota: debe cargar el certificado antes de iniciar el proxy EAS. Si el certificado no está disponible durante el arranque, Sophos Mobile Control rechazará la conexión y el servicio no se iniciará.
13. Si es necesario, repita los pasos
para configurar instancias adicionales del proxy
EAS. Cuando haya terminado, haga clic en Next.
Se probarán los puertos de servidor que ha introducido y se configurarán las reglas de tráfico entrante para el firewall de Windows.
14. En la página Sophos Mobile Control EAS Proxy - Configuration Wizard finished, haga clic en Finish para cerrar el Configuration Wizard y regresar al Setup Wizard.
15. En el Setup Wizard, asegúrese de que Start Sophos Mobile Control EAS Proxy server
now está seleccionado y a continuación haga clic en Finish para completar la configuración e iniciar el proxy EAS de Sophos Mobile Control por primera vez.
Nota: cada día, las entradas del registro del proxy EAS se mueven a un nuevo archivo, usando el patrón de nomenclatura EASProxy.log.aaaa-mm-dd . Estos archivos de registro diarios no se eliminan automáticamente y por tanto pueden causar problemas de espacio en el disco con el tiempo. Le recomendamos que configure un proceso para mover los archivos de registro a una ubicación de copia de seguridad.
24
Guía de instalación
7 Equilibrio de carga y alta disponibilidad
Sophos Mobile Control (SMC) permite configurar un entorno de alta disponibilidad. Esto garantiza que el servicio de SMC siga estando accesible externamente y que se sigan pudiendo procesar las tareas, incluso después de un fallo de un nodo de Sophos Mobile
Control. Para lograr esto, es necesario recurrir al equilibrio de carga, que distribuye las sesiones del cliente y del navegador usando DNS Round Robin en los nodos disponibles.
A continuación se describe cómo configurar la organización por clústeres para Sophos Mobile
Control y configurar el equilibrio de carga mediante Sophos UTM.
7.1 Requisitos
■
■
■
■
Un servidor de Windows por separado para cada nodo de Sophos Mobile Control.
Todos los nodos deben estar en la misma red.
Un servidor de bases de datos o clúster de Microsoft SQL o MySQL.
Sophos UTM o proxy inverso Apache (mod_proxy) para el equilibrio de carga. El equilibrador de carga debe admitir cookies de sesión permanentes y certificados de servidor web SSL oficiales.
Nota: para obtener información detallada acerca de los requisitos de instalación, consulte http://downloads.sophos.com/readmes/readsmc_6_eng.html
y https://www.sophos.com/es-es/medialibrary/PDFs/documentation/smc_6_s_eng_supplement.pdf
.
Arquitectura
en la página 7.
Para la comunicación multidifusión entre los nodos de Sophos Mobile Control individuales, se puede usar una red por separado. La interfaz de red que se usará se puede seleccionar
durante la configuración del clúster, según se describe en Configurar el primer nodo en la
página 26. También puede ser una VLAN.
Nota: si desea operar un segundo clúster de Sophos Mobile Control para realizar pruebas, es necesaria una red por separado.
Puertos y protocolos
La siguiente tabla muestra los puertos y protocolos necesarios para la comunicación entre los nodos individuales de un clúster de servidor de Sophos Mobile Control.
Protocolo
TCP
TCP
Puertos
7600, 54200, 57600
7600, 57600
Destino
<Entrante>
<Saliente>
25
Sophos Mobile Control
26
Protocolo
UDP
Puertos
54200, 55200
Destino
<Entrante>
7.2 Configurar nodos de clúster
Para configurar un entorno organizado en clústeres debe instalar el primer nodo tal y como
se describe en Instalar y configurar el servidor de Sophos Mobile Control en la página 14. A
continuación, la propia organización por clústeres se activa usando el Asistente de
configuración.
Para el resto de nodos, debe seleccionarse la base de datos creada durante la instalación del primer nodo y debe activarse la organización por clústeres.
Nota: también es posible configurar un servidor SMC existente para la organización por clústeres y ampliar el entorno añadiendo nodos adicionales.
7.2.1 Configurar el primer nodo
1. Instale Sophos Mobile Control según se describe en Instalar y configurar el servidor de
Sophos Mobile Control en la página 14 y anote el nombre de la base de datos que ha
creado. Para instalar nodos adicionales deberá usar esta base de datos.
2. Al final de la instalación, deseleccione la opción Start Sophos Mobile Control server
now en el cuadro de diálogo Sophos Mobile Control - Installation finished.
Nota: si el servicio SMC ya se ha iniciado, se detendrá automáticamente y se reiniciará durante la configuración que se describe a continuación. También puede detener el servicio manualmente desde el menú del icono de Sophos Mobile Control de la bandeja del sistema.
3. En el servidor, haga clic en Start, vaya a Sophos Mobile Control y haga clic en
Configuration Wizard.
4. Aparecerá la página Welcome del The Sophos Mobile Control - Configuration Wizard.
Haga clic en Siguiente.
5. En la página Database Selection, seleccione Skip database configuration y haga clic en Next.
6. En la página Choose configuration steps, seleccione Configure cluster support y haga clic en Next.
7. En la página Cluster Configuration, use la lista desplegable de interfaces de red disponibles para seleccionar la interfaz que se usará para la comunicación multidifusión entre el nodo de servidor que está a punto de configurar y el resto de nodos.
8. Haga clic para pasar por las restantes páginas del asistente de configuración. Asegúrese de hacer clic en Yes cuando se le pregunte si desea iniciar el servicio SMC.
La configuración del primer nodo de servidor de SMC ha concluido. Haga clic en Finish en el cuadro de diálogo Sophos Mobile Control - Configuration Wizard finished.
7.2.2 Configurar nodos adicionales
1. Inicie la instalación de Sophos Mobile Control según se describe en
Instalar y configurar el servidor de Sophos Mobile Control
en la página 14.
Guía de instalación
2. En la página Database selection, seleccione la base de datos que creó cuando instaló el primer nodo y haga clic en Next.
Aparece el cuadro de diálogo Database configuration. Muestra el progreso del proceso de configuración.
3. En la página Database configuration, espere hasta que finalice el proceso de configuración y a continuación haga clic en Next.
4. En la página Choose configuration steps, seleccione Configure cluster support y haga clic en Next.
5. En la página Configure server certificate, cree un certificado autofirmado según se describe en
Instalar y configurar el servidor de Sophos Mobile Control en la página 14 y
haga clic en Next.
6. En la página Cluster Configuration, use la lista desplegable de interfaces de red disponibles para seleccionar la interfaz del nodo de servidor de Sophos Mobile Control que va a configurar y a continuación haga clic en Next.
7. Haga clic para pasar por las restantes páginas del asistente de configuración. En la página
Sophos Mobile Control - Installation finished, seleccione Start Sophos Mobile Control
server now para iniciar el nodo de clúster que acaba de configurar.
La configuración del nodo de SMC ha concluido. Si es necesario, repita este procedimiento para configurar nodos adicionales.
7.3 Configurar el equilibrio de carga con Sophos UTM
En este tema se describe cómo configurar Sophos UTM como un equilibrador de carga para un clúster de nodos de servidor de Sophos Mobile Control. Para obtener más información acerca de la configuración de Sophos UTM, consulte la documentación de Sophos UTM.
Nota:
■ Para usar Sophos UTM para la organización en clústeres necesita una licencia de Sophos
UTM con una suscripción de Sophos Webserver Protection.
■ En el siguiente procedimiento, especifique un certificado para proteger la comunicación entre los dispositivos móviles y el servidor web virtual que ha configurado en Sophos UTM.
Para facilitar las cosas, se recomienda usar el mismo certificado que usó para el servidor de Sophos Mobile Control (consulte
Solicitar un certificado SSL para Sophos Mobile
en la página 13). Si usó un certificado autofirmado, debe usar necesariamente ese mismo certificado.
1. Iniciar sesión en WebAdmin de Sophos UTM.
2. Desde la sección del menú de WebAdmin Webserver Protection, vaya a la ficha Web
Application Firewall > Real Webservers.
3. Haga clic en New Real Webserver para crear un nodo de SMC.
4. En el cuadro de diálogo Add Real Webserver, introduzca los siguientes valores: a) Name: Introduzca un nombre descriptivo para el servidor web (por ejemplo nodo SMC ).
b) Host: Seleccione o añada un host. Seleccione un host haciendo clic en el símbolo de la carpeta situado junto al campo de edición del host. Arrastre un host de la lista de hosts disponibles al campo de edición del Host.
Para obtener información adicional sobre cómo añadir una definición, consulte el tema
Definiciones de red en la Guía de administración de UTM .
c) Type: Seleccione Encrypted (HTTPS).
Haga clic en Save para guardar la configuración.
27
Sophos Mobile Control
Repita el paso anterior para cada nodo de servidor de Sophos Mobile Control.
5. Desde la sección del menú WebAdmin Webserver Protection, vaya a la ficha Certificate
Management > Certificates.
6. Haga clic en New Certificate para cargar un certificado de servidor web SSL.
7. En el cuadro de diálogo Add Certificate, introduzca los siguientes valores: a) Name: Introduzca un nombre descriptivo para el certificado.
b) Method: Seleccione Upload.
c) File type: Seleccione PKCS#12(Cert+CA) d) Password: Introduzca la contraseña para su archivo de certificado.
e) File: Haga clic en el icono de la carpeta situado junto a la casilla File, seleccione el certificado que desea cargar y haga clic en Start Upload.
Haga clic en Save para guardar la configuración. El certificado se añade a la lista
Certificates.
8. Desde la sección del menú de WebAdmin Webserver Protection, vaya a la ficha Web
Application Firewall > Virtual Webservers.
9. Haga clic en New Virtual Webserver para añadir un servidor web virtual para el clúster.
10. En el cuadro de diálogo Add Virtual Webserver que aparece, introduzca los siguientes valores: a) Name: Introduzca un nombre descriptivo para el servidor web virtual (por ejemplo clúster SMC ).
b) Interface: Seleccione de la lista desplegable la interfaz WAN a través de la cual se podrá acceder al clúster desde el exterior.
c) Type: Seleccione Encrypted (HTTPS) & redirect.
d) Certificate: Seleccione de la lista desplegable el certificado del servidor web que ha cargado anteriormente.
e) Domains (solo con certificado comodín, por ejemplo, se puede usar un certificado de clave pública con múltiples subdominios): Introduzca los dominios de los que el servidor web es responsable, por ejemplo tienda.ejemplo.com
, o use el icono Action para importar una lista de nombres de dominios.
Los dominios deben introducirse como nombres de dominio completos (FQDN).
Puede usar un asterisco (*) como carácter comodín para el prefijo del dominio, por ejemplo, *.midominio.com
. Los dominios con caracteres comodines se consideran ajustes alternativos: El servidor web virtual con la entrada de dominio con carácter comodín solo se usa cuando no se ha configurado ningún otro servidor web virtual con un nombre de dominio más específico.
Ejemplo: La solicitud de un cliente a a.b.c
coincidirá con a.b.c
antes que *.b.c
y antes que *.c
.
f) Real Webservers: Seleccione los nodos de SMC que ha creado anteriormente.
Importante: no seleccione un perfil de firewall.
Haga clic en Save para guardar la configuración. El servidor se añade a la lista Virtual
Webservers.
28
Guía de instalación
11. Habilitar el servidor web virtual.
El nuevo servidor web virtual está deshabilitado por defecto. Haga clic en el interruptor de palanca para habilitar el servidor web virtual. El color del interruptor de palanca cambiará de gris (deshabilitado) a verde (habilitado).
12. Vaya a la ficha Site Path Routing.
13. En la lista Virtual Webservers, vaya al servidor web virtual que ha añadido y haga clic en Edit.
14. En el cuadro de diálogo Edit Site Path Route que se abre, haga clic en Advanced y seleccione Enable sticky session cookie.
Haga clic en Save para guardar la configuración.
29
Sophos Mobile Control
8 Ejecutar el servicio Sophos Mobile
Control con permisos de acceso limitados
Por razones de seguridad, le recomendamos que ejecute el servicio SMC como usuario con permisos de acceso limitados en lugar de como administrador.
Nota: si utiliza la autenticación de Windows para el acceso a la base de datos, vaya directamente al paso 3 de las siguientes instrucciones.
1. En el ordenador en el que se está ejecutando Sophos Mobile Control, cree una cuenta de usuario “normal” de Windows con una contraseña que no caduque.
2. Elimine esta cuenta de usuario de todos los grupos. (Por defecto, el usuario estará en el grupo usuarios.)
3. Conceda a esta cuenta de usuario permisos de acceso completo al directorio de instalación de Sophos Mobile Control ( C:\Programas\Sophos\Sophos Mobile Control ) incluidos todos los subdirectorios.
4. Use esta cuenta de usuario para iniciar sesión en el Sophos Mobile Control Service:
Desde la ventana de Windows Servicios, abra el cuadro de diálogo Propiedades para el Sophos Mobile Control Service e introduzca las credenciales de la cuenta del usuario en la ficha Iniciar sesión.
30
Guía de instalación
9 Actualizar Sophos Mobile Control
Las instalaciones de Sophos Mobile Control se pueden actualizar directamente desde las versiones 5 o 5.1 a la versión 6.
Las versiones anteriores se deben actualizar antes a la versión 5. Para obtener más información, consulte su documentación de Sophos Mobile Control 5.
Para actualizar su instalación del servidor de Sophos Mobile Control a la versión 6, ejecute el instalador de Sophos Mobile Control 6 y siga las instrucciones. El programa de instalación detecta de forma automática que una instalación existente necesita actualizarse a la versión
6.
Se llevará a cabo una comprobación de propiedades del sistema antes de iniciar la actualización. Si se superan todas las comprobaciones, puede proceder con la actualización.
La base de datos y los archivos se actualizarán automáticamente sin ninguna interacción por parte del usuario. Una vez completada la actualización, el servicio de Sophos Mobile Control se iniciará de nuevo.
Nota: si utilizó la autenticación de Windows durante la instalación inicial de su servidor de
Sophos Mobile Control, la opción Start Sophos Mobile Control server now aparecerá en gris. Debe iniciar el servicio manualmente.
Qué debe comprobarse después de la actualización
En Sophos Mobile Control 5.1 podía definir listas de aplicaciones permitidas, no permitidas y obligatorias para una regla de cumplimiento. La versión 6 introduce una nueva característica llamada App groups (grupos de aplicaciones) para simplificar la administración de estas listas y permitir importar o exportarlas.
Durante el proceso de actualización, cualquier lista de aplicaciones que tuviera definida para una regla de cumplimiento se convierte en un grupo de aplicaciones, que recibirá el nombre de la regla de cumplimiento. Esto significa que si ha usado la misma lista de aplicaciones para más de una regla de cumplimiento, se convierte a múltiples grupos de aplicaciones con el mismo contenido.
Le recomendamos que revise los grupos de aplicaciones que se han creado por el proceso de actualización y que los consolide según sea necesario.
Para más información acerca de los grupos de aplicaciones, consulte la Guía de administrador
de Sophos Mobile Control.
31
Sophos Mobile Control
10 Referencia técnica
10.1 Características del servidor de Sophos Mobile Control
El componente central del producto Sophos Mobile Control es el servidor de Sophos Mobile
Control. Sus principales características son:
■
■
El servidor está conectado a Internet.
El servidor permite configurar un entorno de alta disponibilidad.
■
■
■
■
■
■
■
El administrador controla el servidor usando la interfaz web.
Los usuarios finales pueden registrar sus dispositivos usando el portal de autoservicio u obtener un dispositivo del administrador que haya sido preparado por medio de inscripción automática.
Los dispositivos móviles se sincronizan con el servidor a través de HTTPS.
Los clientes de iOS se desencadenan por el servidor a través de APNs, y los clientes de
Android a través de GCM. Los dispositivos de Windows 10 Mobile y Windows Phone 8.1
usan Windows Notification Service (WNS).
Puede usar Microsoft SQL Server o una base de datos MySQL existente para almacenar la información del dispositivo y de las aplicaciones. También puede dejar que el instalador de Sophos Mobile Control cree una nueva base de datos usando Microsoft SQL Server
2014 Express.
La base de datos puede estar alojada en el mismo ordenador o en uno por separado.
Esto permite utilizar clústeres de bases de datos.
El servidor admite configuraciones de múltiples inquilinos para permitir diferentes clientes en el mismo servidor.
■ El acceso al correo electrónico es posible a través de un proxy EAS integrado o independiente. Para la variante independiente, se requiere un acceso HTTPS al servidor
SMC.
El servidor de Sophos Mobile Control ha sido desarrollado para el Java Enterprise Environment
(JEE). Se instala y se ejecuta dentro de un servidor de aplicaciones WildFly estándar de la industria debidamente probado.
El entorno predeterminado para el servidor de Sophos Mobile Control es Windows
Server 2012 R2. El servidor se puede instalar en entornos virtuales.
10.2 Interfaces web de Sophos Mobile Control
10.2.1 Interfaz de administración de Sophos Mobile Control
Sophos Mobile Control se gestiona a través de una interfaz web que está protegida por un inicio de sesión y un mecanismo de sesiones. Puede implementar políticas de contraseñas.
El control de acceso permite diferentes roles de usuario. Estos roles tienen diferentes conjuntos de permisos de acceso. Cada usuario puede asignarse exactamente a un rol.
Para más información, consulte la Guía de administrador de Sophos Mobile Control.
32
Guía de instalación
10.2.2 Interfaz de súper administrador
El superadministrador se usa principalmente para configurar y gestionar clientes para la administración de dispositivos. La primera cuenta de superadministrador se crea durante la
configuración de Sophos Mobile Control, consulte Instalar y configurar el servidor de Sophos
en la página 14.
Como superadministrador, usted inicia sesión en la cuenta del cliente superadministrador, que también se crea durante la configuración de Sophos Mobile Control. En el caso del cliente superadministrador, la consola web de Sophos Mobile Control muestra una vista específica personalizada para las tareas del superadministrador.
10.2.3 Portal de autoservicio
El portal de autoservicio está protegido mediante un inicio de sesión, un mecanismo de sesión y una política de contraseña. La cuenta debe configurarla el administrador de Sophos Mobile
Control y puede asociarse con cualquier inquilino. El portal de autoservicio está diseñado para que los usuarios finales registren sus dispositivos con Sophos Mobile Control. Los usuarios finales también tienen permiso para realizar tareas para sus dispositivos, como por ejemplo el bloqueo remoto o el borrado remoto. Las tareas que pueden realizar varían en función del tipo de dispositivo y de la configuración. Como administrador, puede configurar las funciones del portal de autoservicio disponibles para los usuarios finales en la consola web de Sophos Mobile Control.
Para más información sobre cómo configurar el uso del portal de autoservicio para usuarios finales, consulte la Guía de administrador de Sophos Mobile Control .
Para más información sobre cómo usar el portal de autoservicio como usuario final, consulte la Guía de usuario de Sophos Mobile Control .
33
Sophos Mobile Control
11 Soporte técnico
Para obtener asistencia técnica sobre cualquier producto de Sophos, puede:
■ Visitar el foro SophosTalk en http://community.sophos.com/ para consultar casos similares.
■
■
■
Visitar la base de conocimiento de Sophos en http://www.sophos.com/es-es/support.aspx/ .
Descargar la documentación desde http://www.sophos.com/es-es/support/documentation.aspx/
Enviar un email a [email protected]
indicando la versión del producto de Sophos, el sistema operativo y parches aplicados, y el texto exacto de cualquier mensaje de error.
34
Guía de instalación
12 Aviso legal
Copyright © 2011 - 2015 Sophos Ltd. Todos los derechos reservados.
Ninguna parte de esta publicación puede ser reproducida, almacenada o transmitida de ninguna forma, ni por ningún medio, sea éste electrónico, mecánico, grabación, fotocopia o cualquier otro sin la correspondiente licencia del producto, bajo dichos términos, o sin la previa autorización escrita por parte del propietario.
Sophos es una marca registrada de Sophos Ltd. Otros productos y empresas mencionados son marcas registradas de sus propietarios.
35
Herunterladen
Öffentlicher Link aktualisiert
Der öffentliche Link zu Ihrem Chat wurde aktualisiert. Sie können Ihre Chat-Links nach der Registrierung hier einsehen und verwalten.
Öffentlicher Dokumentenlink
Werbung