在企业网络上使用 Apple 产品

了解在企业网络上使用 Apple 产品时需要访问哪些主机和端口。

本文适用于企业和教育机构的网络管理员。

Apple 产品需要访问本文列出的互联网主机,才能使用各种服务。下面介绍了你的设备如何连接到主机并使用代理:

  • 与下列主机之间的网络连接是由设备(而不是 Apple 运营的主机)发起的。

  • Apple 服务将中断任何使用 HTTPS 拦截(SSL 检查)的连接。如果 HTTPS 流量遍历某个网页代理,请对本文列出的主机停用 HTTPS 拦截。

确保你的 Apple 设备可以访问下面列出的主机。

Apple 推送通知

了解如何对 Apple 推送通知服务 (APNS) 的连接问题进行故障诊断。对于通过 HTTP 代理发送所有流量的设备,你可以在设备上手动配置这个代理,也可以使用移动设备管理 (MDM) 进行配置。如果将设备配置为通过代理自动配置 (PAC) 文件来使用 HTTP 代理,则设备可以连接到 APNS。

设备设置

在设置期间或者在安装、更新或恢复操作系统时,Apple 设备需要访问以下主机。

主机

端口

协议

OS

描述

支持代理

albert.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

设备激活

captive.apple.com

443、80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

针对使用强制门户的网络进行互联网连接验证

gs.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

humb.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

static.ips.apple.com

443、80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

sq-device.apple.com

443

TCP

iOS、iPadOS 和 visionOS

eSIM 激活

tbsc.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

time-ios.apple.com

123

UDP

iOS、iPadOS、Apple tvOS 和 visionOS

供设备用来设置日期和时间

time.apple.com

123

UDP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

供设备用来设置日期和时间

time-macos.apple.com

123

UDP

仅限 macOS

供设备用来设置日期和时间

设备管理

已在 MDM 中注册的 Apple 设备需要访问以下主机和域。

主机

端口

协议

OS

描述

支持代理

*.push.apple.com

443、80、5223、2197

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

推送通知

进一步了解 APNS 和代理。

deviceenrollment.apple.com

443

TCP

iOS、iPadOS、Apple tvOS 和 macOS

DEP 暂时注册

deviceservices-external.apple.com

443

TCP

iOS、iPadOS、Apple tvOS 和 macOS

gdmf.apple.com

443

TCP

iOS、iPadOS、Apple tvOS 和 macOS

供 MDM 服务器用来识别使用“被管理的软件更新”的设备有哪些可用的软件更新

identity.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

APNs 证书请求门户

iprofiles.apple.com

443

TCP

iOS、iPadOS、Apple tvOS 和 macOS

托管当设备通过设备注册过程在 Apple 校园教务管理或 Apple 商务管理中注册时使用的注册描述文件

mdmenrollment.apple.com

443

TCP

iOS、iPadOS、Apple tvOS 和 macOS

当客户端通过设备注册过程在 Apple 校园教务管理或 Apple 商务管理中注册时,供 MDM 服务器用来上传客户端使用的注册描述文件,还可用来查找设备和账户

setup.icloud.com

443

TCP

iOS 和 iPadOS

需要在共享 iPad 上登录管理式 Apple 账户

vpp.itunes.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

供 MDM 服务器用来执行与“App 和图书”有关的操作,例如在设备上分配或撤销许可证

*.appattest.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

被管理设备证明

Apple 商务管理和 Apple 校园教务管理

管理员和经理

管理员和管理人员需要访问以下主机和域,才能管理 Apple 商务管理和 Apple 校园教务管理。

主机

端口

协议

OS

描述

支持代理

*.business.apple.com

443、80

TCP

-

Apple 商务管理

*.school.apple.com

443、80

TCP

-

Apple 校园教务管理

appleid.cdn-apple.com

443

TCP

-

登录认证

idmsa.apple.com

443

TCP

-

登录认证

*.itunes.apple.com

443、80

TCP

-

App 和图书

*.mzstatic.com

443

TCP

-

App 和图书

api.ent.apple.com

443

TCP

-

App 和图书 (ABM)

api.edu.apple.com

443

TCP

-

App 和图书 (ASM)

statici.icloud.com

443

TCP

-

设备图标

*.vertexsmb.com

443

TCP

-

验证免税状态

www.apple.com.cn

443

TCP

-

某些语言的字体

upload.appleschoolcontent.com

22

SSH

-

SFTP 上传

如果学校使用 Claris Connect 将其支持的学生信息系统 (SIS) 同步到 Apple 校园教务管理并上传 OneRoster 文件,则还必须允许访问 Claris Connect 主机

员工和学生

使用管理式 Apple 账户的员工和学生需要访问以下主机,才能在编写信息或共享文稿时查询所属企业或学校中的其他人。

主机

端口

协议

OS

描述

支持代理

ws-ee-maidsvc.icloud.com

443、80

TCP

iOS、iPadOS、macOS 和 visionOS

用户查询服务

Apple 商务必备设备管理

由 Apple 商务必备管理的管理员和设备需要访问以下主机和域,以及上文列出的用于 Apple 商务管理的主机和域。

主机

端口

协议

OS

描述

支持代理

axm-adm-enroll.apple.com

443

TCP

iOS、iPadOS、Apple tvOS 和 macOS

DEP 注册服务器

axm-adm-mdm.apple.com

443

TCP

iOS、iPadOS、Apple tvOS 和 macOS

MDM 服务器

axm-adm-scep.apple.com

443

TCP

iOS、iPadOS、Apple tvOS 和 macOS

SCEP 服务器

axm-app.apple.com

443

TCP

iOS、iPadOS 和 macOS

查看和管理 App 及设备

*.apple-mapkit.com

443

TCP

iOS 和 iPadOS

在受管理丢失模式下查看设备的位置

icons.axm-usercontent-apple.com

443

TCP

macOS

自定义软件包图标

“课堂”和“课业”

使用“课堂”或“课业”App 的学生和教师设备需要访问以下主机,以及在下文的 Apple 账户和 iCloud 部分中列出的主机。

主机

端口

协议

OS

描述

支持代理

s.mzstatic.com

443

TCP

iPadOS 和 macOS

“课堂”和“课业”设备验证

play.itunes.apple.com

443

TCP

iPadOS 和 macOS

“课堂”和“课业”设备验证

ws-ee-maidsvc.icloud.com

443

TCP

iPadOS 和 macOS

“课堂”和“课业”班级花名册服务

ws.school.apple.com

443

TCP

iPadOS 和 macOS

“课堂”和“课业”班级花名册服务

pg-bootstrap.itunes.apple.com

443

TCP

iPadOS

“课业”作业服务

cls-iosclient.itunes.apple.com

443

TCP

iPadOS

“课业”作业服务

cls-ingest.itunes.apple.com

443

TCP

iPadOS

“课业”作业服务

软件更新

在安装、恢复和更新 iOS、iPadOS、macOS、watchOS、Apple tvOS 和 visionOS 时,Apple 设备需要访问以下主机。

主机

端口

协议

OS

描述

支持代理

appldnld.apple.com

80

TCP

iOS、iPadOS、watchOS 和 visionOS

iOS、iPadOS 和 watchOS 更新

configuration.apple.com

443

TCP

仅限 macOS

Rosetta 2 更新

gdmf.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、watchOS 和 macOS

软件更新目录

gg.apple.com

443、80

TCP

iOS、iPadOS、Apple tvOS、watchOS、macOS 和 visionOS

iOS、iPadOS、Apple tvOS、watchOS 和 macOS 更新

gs.apple.com

443、80

TCP

iOS、iPadOS、Apple tvOS、watchOS、macOS 和 visionOS

iOS、iPadOS、Apple tvOS、watchOS 和 macOS 更新

ig.apple.com

443

TCP

仅限 macOS

macOS 更新

mesu.apple.com

443、80

TCP

iOS、iPadOS、Apple tvOS、watchOS、macOS 和 visionOS

托管软件更新目录

ns.itunes.apple.com

443

TCP

iOS、iPadOS、watchOS 和 visionOS

oscdn.apple.com

443、80

TCP

仅限 macOS

macOS 恢复

osrecovery.apple.com

443、80

TCP

仅限 macOS

macOS 恢复

skl.apple.com

443

TCP

仅限 macOS

macOS 更新

swcdn.apple.com

443、80

TCP

仅限 macOS

macOS 更新

swdist.apple.com

443

TCP

仅限 macOS

macOS 更新

swdownload.apple.com

443、80

TCP

仅限 macOS

macOS 更新

swscan.apple.com

443

TCP

仅限 macOS

macOS 更新

updates-http.cdn-apple.com

80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

软件更新下载

updates.cdn-apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

软件更新下载

xp.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

App 和附加内容

在安装和更新 App、使用某些 App 功能以及下载附加内容时,Apple 设备需要访问以下主机和域。一些附加内容也可能托管在第三方内容分发网络上。

主机

端口

协议

OS

描述

支持代理

*.itunes.apple.com

443、80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

商店内容,如 App、图书和音乐

*.apps.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

商店内容,如 App、图书和音乐

*.mzstatic.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

商店内容,如 App、图书和音乐,以及来自网站和替代市场的 App

itunes.apple.com

443、80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

ppq.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

企业 App 验证

api.apple-cloudkit.com

443

TCP

macOS

App 公证

*.appattest.apple.com

443

TCP

iOS、iPadOS、macOS 和 visionOS

App 验证,以及网站触控 ID 和面容 ID 认证

*.apps-marketplace.apple.com

443

TCP

iOS

安装来自网站和替代市场的 App

token.safebrowsing.apple.com

443

TCP

iOS、iPadOS、macOS 和 visionOS

Safari 浏览器欺骗性网站警告

__

audiocontentdownload.apple.com

80、443

TCP

iOS、iPadOS 和 macOS

“库乐队”可下载的内容

devimages-cdn.apple.com

80、443

TCP

macOS

Xcode 可下载的组件

download.developer.apple.com

80、443

TCP

macOS

Xcode 可下载的组件

playgrounds-assets-cdn.apple.com

443

TCP

iPadOS 和 macOS

Swift Playgrounds

playgrounds-cdn.apple.com

443

TCP

iPadOS 和 macOS

Swift Playgrounds

sylvan.apple.com

80、433

TCP

Apple tvOS 和 macOS

航拍屏幕保护程序和墙纸

gateway.icloud.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

语音控制资源

运营商更新

蜂窝网络设备需要访问以下主机,才能安装运营商软件包更新。

主机

端口

协议

OS

描述

支持代理

appldnld.apple.com

80

TCP

iOS 和 iPadOS

蜂窝网络运营商捆绑包更新

appldnld.apple.com.edgesuite.net

80

TCP

iOS 和 iPadOS

蜂窝网络运营商捆绑包更新

itunes.com

80

TCP

iOS 和 iPadOS

运营商捆绑包更新发现

itunes.apple.com

443

TCP

iOS 和 iPadOS

运营商捆绑包更新发现

updates-http.cdn-apple.com

80

TCP

iOS 和 iPadOS

蜂窝网络运营商捆绑包更新

updates.cdn-apple.com

443

TCP

iOS 和 iPadOS

蜂窝网络运营商捆绑包更新

内容缓存

提供内容缓存的 Mac 需要访问以下主机,以及这篇文稿中列出的提供 Apple 内容(例如软件更新、App 和其他内容)的主机。

主机

端口

协议

OS

描述

支持代理

lcdn-registration.apple.com

443

TCP

macOS

服务器注册

suconfig.apple.com

80

TCP

macOS

配置

xp-cdn.apple.com

443

TCP

macOS

举报

macOS 内容缓存的客户端需要访问以下主机。

主机

端口

协议

OS

描述

支持代理

lcdn-locator.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

内容缓存查找器服务

serverstatus.apple.com

443

TCP

macOS

内容缓存客户端公共 IP 确定

Beta 版更新

Apple 设备需要访问以下主机,才能注册以获取 Beta 版更新,并使用“反馈助理”App 来报告反馈。

主机

端口

协议

OS

描述

支持代理

bpapi.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、watchOS、macOS 和 visionOS

Beta 版更新注册

cssubmissions.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

供“反馈助理”用来上传文件

fba.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

供“反馈助理”用来归档和查看反馈

Apple 诊断

为了运行用于检测潜在硬件问题的诊断程序,Apple 设备可能会访问以下主机。

主机

端口

协议

OS

描述

支持代理

diagassets.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

供 Apple 设备用来协助检测可能的硬件问题

域名系统解析

iOS 14、iPadOS 14、Apple tvOS 14 和 macOS Big Sur 及更高版本中的加密域名系统 (DNS) 解析使用以下主机。

主机

端口

协议

OS

描述

支持代理

doh.dns.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

用于 DNS over HTTPS (DoH)

证书验证

为了验证这篇文章列出的主机所使用的数字证书,Apple 设备必须能够连接到以下主机。

主机

端口

协议

OS

描述

支持代理

certs.apple.com

80、443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

证书验证

crl.apple.com

80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

证书验证

crl3.digicert.com

80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

证书验证

crl4.digicert.com

80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

证书验证

ocsp.apple.com

80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

证书验证

ocsp.digicert.cn

80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

中国大陆的证书验证

ocsp.digicert.com

80

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

证书验证

ocsp2.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

证书验证

valid.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

证书验证

Apple账户

Apple 设备必须能够连接到以下主机才能验证 Apple 账户。所有使用 Apple 账户的服务(如 iCloud、App 安装和 Xcode)都需要满足这个条件。

主机

端口

协议

OS

描述

支持代理

account.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

“设置”和“系统偏好设置”中的 Apple 账户认证

appleid.cdn-apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

“设置”和“系统偏好设置”中的 Apple 账户认证

idmsa.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

Apple 账户认证

gsa.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

Apple 账户认证

iCloud

除了上面列出的 Apple 账户主机外,Apple 设备必须能够连接到以下域的主机才能使用 iCloud 服务。

主机

端口

协议

OS

描述

支持代理

*.apple-cloudkit.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

iCloud 服务

*.apple-livephotoskit.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

iCloud 服务

*.apzones.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

中国大陆的 iCloud 服务

*.cdn-apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

iCloud 服务

*.gc.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

iCloud 服务

*.icloud.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

iCloud 服务

*.icloud.com.cn

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

中国大陆的 iCloud 服务

*.icloud.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

iCloud 服务

*.icloud-content.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

iCloud 服务

*.iwork.apple.com

443

TCP

iOS、iPadOS、Apple tvOS、macOS 和 visionOS

iWork 文稿

mask.icloud.com

443

UDP

iOS、iPadOS、macOS 和 visionOS

iCloud 专用代理

mask-h2.icloud.com

443

TCP

iOS、iPadOS、macOS 和 visionOS

iCloud 专用代理

mask-api.icloud.com

443

TCP

iOS、iPadOS、macOS 和 visionOS

iCloud 专用代理

Apple Intelligence、Siri 和搜索

Apple 设备必须能够连接到以下主机,才能处理使用私有云计算的 Apple Intelligence 请求以及处理 Siri 请求,包括听写和在 Apple App 中搜索。

主机

端口

协议

OS

描述

支持代理

guzzoni.apple.com

443

TCP

iOS、iPadOS、macOS 和 visionOS

Siri 和听写请求

*.smoot.apple.com

443

TCP

iOS、iPadOS、macOS 和 visionOS

搜索服务,包括 Siri、聚焦、查询、Safari 浏览器、新闻、信息和音乐

apple-relay.cloudflare.com

443

TCP、UDP

iOS、iPadOS 和 macOS

私有云计算

apple-relay.fastly-edge.com

443

TCP、UDP

iOS、iPadOS 和 macOS

私有云计算

cp4.cloudflare.com

443

TCP、UDP

iOS、iPadOS 和 macOS

私有云计算

关联域

Apple 设备必须能够连接到以下主机,才能在 iOS 14、iPadOS 14 和 macOS Big Sur 及更高版本中使用关联域。关联域是通用链接的基础,通用链接功能允许在 App 中呈现内容,而不是在 App 的全部或部分网站中呈现内容。接力、轻 App 和单点登录扩展都使用关联域。

主机

端口

协议

OS

描述

支持代理

app-site-association.cdn-apple.com

443

TCP、UDP

iOS、iPadOS、macOS 和 visionOS

通用链接的关联域

app-site-association.networking.apple

443

TCP、UDP

iOS、iPadOS、macOS 和 visionOS

通用链接的关联域

Tap to Pay on iPhone

要通过收款 App 接受免接触式支付,iPhone 必须能够与以下主机通信。

主机

端口

协议

OS

描述

支持代理

pos-device.apple.com

443

TCP、UDP

iOS

Tap to Pay on iPhone

humb.apple.com

443

TCP

iOS

Tap to Pay on iPhone 设置

phonesubmissions.apple.com

443

TCP

iOS

可选的分析共享

iPhone 上的证件校验器

要通过启用了证件校验器的 App 接受移动 ID,iPhone 必须能够与以下主机通信。

主机

端口

协议

OS

描述

支持代理

smp-device-content.apple.com

443

TCP

iOS

iPhone 上的证件校验器

idv.cdn-apple.com

443

TCP

iOS

iPhone 上的证件校验器

idv-prod1.apple.com

443

TCP

iOS

iPhone 上的证件校验器

humb.apple.com

443

TCP

iOS

iPhone 上的证件校验器

防火墙

如果你的防火墙支持使用主机名称,那么通过允许出站连接到 *.apple.com,你或许能够使用以上的大多数 Apple 服务。如果你的防火墙只能使用 IP 地址进行配置,请允许出站连接到 17.0.0.0/8。整个 17.0.0.0/8 地址块都已分配给 Apple。

HTTP 代理

如果你针对列出的主机收到和发出的流量停用数据包检查和认证,则可以通过代理来使用 Apple 服务。例外情况已在上文中注明。尝试对 Apple 设备与服务之间的加密通信执行内容检查会导致连接中断,这是为了保护平台安全和用户隐私。

内容分发网络和 DNS 解析

本文中列出的一些主机可能在 DNS 中拥有 CNAME 记录,而不是 A 或 AAAA 记录。在最终解析为 IP 地址之前,这些 CNAME 记录可能会引用链中的其他 CNAME 记录。通过这种 DNS 解析,Apple 能够向所有地区的用户提供快速可靠的内容分发,并对设备和代理服务器保持透明。Apple 不会发布这些 CNAME 记录的列表,因为这些记录可能会发生变化。只要你不阻止 DNS 查找并允许访问上述主机和域,你就不需要配置防火墙或代理服务器来允许这些请求。

近期修订记录

2024 年 9月:针对 Apple 账户进行了更新,添加了适用于 Claris Connect 的信息,并更新了“证书验证”部分。

2024 年 6 月:添加了有关私有云计算的信息。

2024 年 4 月:添加了有关 visionOS、iPhone 上的证件校验器,以及替代市场的信息。重新整理了“软件更新”表格,并将“App Store”和“App 功能”表格合并为一个新的“App 和附加内容”表格。

2023 年 7 月:移除了 APN 连接对于 macOS 版本的要求

进一步了解

查看 Apple 软件产品所用 TCP 和 UDP 端口的列表

发布日期: