AI 助理
备案控制台
开发者社区 数据库 文章 正文

Windows服务器防火墙配置规范

2019-06-01 1647
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
RDS SQL Server Serverless，2-4RCU 50GB 3个月
推荐场景：
云数据库 RDS SQL Server，基础系列 2核4GB
推荐场景：
SQL Server性能诊断案例分析
云防火墙，500元 1000GB
简介： 本文属于一篇内部规范文档，整理的初衷是为了规范、统一集团的Windows服务器（仅仅SQL Server数据库服务器）防火墙设置，仅仅供内部其它同事设置Windows防火墙时作为参考的文档资料。如有不足，敬请指正。

本文属于一篇内部规范文档，整理的初衷是为了规范、统一集团的Windows服务器（仅仅SQL Server数据库服务器）防火墙设置，仅仅供内部其它同事设置Windows防火墙时作为参考的文档资料。如有不足，敬请指正。后续将不断完善、整理该文档。文档里面部分内容直接摘抄自MSDN，敬请知晓！

 

 

 

文档类型

Windows服务器防火墙配置规范

创建日期

2017-02-06

版本变化

V1.0

 

 

 

 

修改记录

 

修改人

修改日期

版本

修改描述

孔令波

2017-02-06

V1.0

创建制定文档

 

 

注意事项：Windows服务器防火墙必须开启，不能因为繁琐或图省事直接关闭防火墙。

 

 

 

 

 

、

SQL Server组件使用的端口

 

 

 

数据库引擎使用的端口

 

 

应用场景

端口

注释

SQL Server 默认实例

TCP端口 1433

这是允许通过防火墙的最常用端口。 它适用于与默认数据库引擎安装或作为计算机上唯一运行实例的命名实例之间的例行连接。 （命名实例具有特殊的注意事项。 请参阅本主题后面的动态端口。）

SQL Server 命名实例

此TCP端口是在启动数据库引擎时确定的动态端口。

请参阅下面 动态端口部分中的描述。 当使用命名实例时， SQL Server Browser 服务可能需要 UDP 端口 1434。

SQL Server 命名实例

由管理员配置的端口号。

请参阅下面 动态端口部分中的描述。

专用管理连接

对于默认实例，为 TCP 端口 1434。 其他端口用于命名实例。 有关端口号，请查看错误日志。

默认情况下，不会启用与专用管理员连接 (DAC) 的远程连接。 若要启用远程 DAC，请使用外围应用配置器方面。 有关详细信息，请参阅 Surface Area Configuration。

SQL Server Browser 服务

UDP 端口 1434

SQL Server Browser 服务用于侦听指向命名实例的传入连接，并为客户端提供与此命名实例对应的 TCP 端口号。 通常，只要使用 SQL Server 的命名实例，就会启动数据库引擎Browser服务。 如果客户端配置为连接到命名实例的特定端口，则不必启动 SQL Server Browser 服务。

SQL Server 实例。

可以在创建 HTTP 端点时指定。 对于 CLEAR_PORT 通信，默认端口为 TCP 端口 80，对于 SSL_PORT 通信，默认端口为 443。

用于通过 URL 实现的 HTTP 连接。

SQL Server 默认实例。

TCP 端口 443

用于通过 URL 实现的 HTTPS 连接。 HTTPS 是使用安全套接字层 (SSL) 的 HTTP 连接。

Service Broker

TCP 端口 4022。 若要验证使用的端口，请执行下面的查询：

SELECT name, protocol_desc, port, state_desc

FROM sys.tcp_endpoints

WHERE type_desc = 'SERVICE_BROKER'

对于 SQL ServerService Broker，没有默认端口，不过这是联机丛书示例中使用的常规配置。

数据库镜像

管理员选择的端口。 若要确定此端口，请执行以下查询：
SELECT name, protocol_desc, port, state_desc
FROM sys.tcp_endpoints
WHERE type_desc = 'DATABASE_MIRRORING'

对于数据库镜像，没有默认端口，不过联机丛书示例使用 TCP 端口 7022。 务必避免中断正在使用的镜像端点，尤其是处于带有自动故障转移功能的高安全模式下时。 防火墙配置必须避免破坏仲裁。 有关详细信息，请参阅指定服务器网络地址（数据库镜像）。

复制

与 SQL Server 的复制连接使用典型的常规数据库引擎端口（供默认实例使用的 TCP 端口 1433 等）

复制快照的 Web 同步和 FTP/UNC 访问要求在防火墙上打开其他端口。 为了将初始数据和架构从一个位置传输到另一个位置，复制可以使用 FTP（TCP 端口 21）或者通过 HTTP（TCP 端口 80）或文件共享进行的同步。 文件共享使用 UDP 端口 137 和 138，如果使用 NetBIOS，则还有 TCP 端口 139。 文件共享使用 TCP 端口 445。

对于通过 HTTP 进行的同步，复制使用 IIS 端点（其端口可配置，但默认情况下为端口 80），不过 IIS 进程通过标准端口（对于默认实例为 1433）连接到后端 SQL Server。

在使用 FTP 进行 Web 同步期间，FTP 传输是在 IIS 和 SQL Server 发布服务器之间进行，而非在订阅服务器和 IIS 之间进行。

Transact-SQL 调试器

TCP 端口 135

请参阅 端口 135 的特殊注意事项

可能还需要 IPsec 例外。

如果使用 Visual Studio，则在 Visual Studio 主机计算机上，还必须将 Devenv.exe 添加到“例外”列表中并打开 TCP 端口 135。

如果使用 Management Studio，则在 Management Studio 主机计算机上，还必须将 ssms.exe 添加到“例外”列表中并打开 TCP 端口 135。 有关详细信息，请参阅运行 TSQL 调试器之前配置防火墙规则。

 

 

 

 

 

 

 

Analysis Services 使用的端口

 

下表列出了 Analysis Services经常使用的端口。

 

功能

端口

注释

Analysis Services

对于默认实例，为 TCP 端口 2383。

默认 Analysis Services实例的标准端口。

SQL Server Browser 服务

仅 Analysis Services 命名实例需要的 TCP 端口 2382

客户端向 Analysis Services 命名实例发出不指定端口号的连接请求时，该连接请求将被转到端口 2382，即 SQL Server Browser 侦听的端口。 SQL Server Browser 将此请求重定向到该命名实例所使用的端口。

Analysis Services 配置为通过 IIS/HTTP 使用

（PivotTable® Service 使用 HTTP 或 HTTPS）

TCP 端口 80

用于通过 URL 实现的 HTTP 连接。

Analysis Services 配置为通过 IIS/HTTPS 使用

（PivotTable® Service 使用 HTTP 或 HTTPS）

TCP 端口 443

用于通过 URL 实现的 HTTPS 连接。 HTTPS 是使用安全套接字层 (SSL) 的 HTTP 连接。

 

 

 

 

Reporting Services 使用的端口

 

下表列出了 Reporting Services经常使用的端口。

 

 

功能

端口

注释

Reporting Services Web 服务

TCP 端口 80

用于通过 URL 实现的与 Reporting Services 之间的 HTTP 连接。 建议不要使用预配置规则万维网服务(HTTP)。 有关详细信息，请参阅下面的 与其他防火墙规则的交互 部分。

Reporting Services 配置为通过 HTTPS 使用

TCP 端口 443

用于通过 URL 实现的 HTTPS 连接。 HTTPS 是使用安全套接字层 (SSL) 的 HTTP 连接。 建议不要使用预配置规则“安全万维网服务(HTTPS)”。 有关详细信息，请参阅下面的 与其他防火墙规则的交互 部分。

 

 

 

 

 

Integration Services 使用的端口

 

下表列出了 Integration Services 服务经常使用的端口。

 

功能

端口

注释

Microsoft 远程过程调用 (MS RPC)

由 Integration Services 运行时使用。

TCP 端口 135

请参阅 端口 135 的特殊注意事项

Integration Services 服务在端口 135 上使用 DCOM。 服务控制管理器使用端口 135 执行诸如启动和停止 Integration Services 服务以及将控制请求传送到正在运行的服务等任务。 此端口号无法更改。

仅当从 Integration Services 或自定义应用程序连接到远程 Management Studio 服务实例时，才需要打开此端口。

 

 

如何配置Windows Firewall

 

 

 

Windows Server 2003服务器

 

 

 

Windows Server 2003的防火墙设置比较简单，下面简要列一下配置步骤：

 

 

1：在“开始菜单”上，选择“控制面板”，打开Windows防火墙（或者在运行窗口使用firewall.cpl命令打开Windows防火墙）。

 

 

clip_image001

 

 

2：在Exception下，选择添加端口（Add Port）

 

clip_image002

 

 

在Add a Port里面，添加对应的TCP端口号，如下所示,如果你需要限制某些IP段才能访问数据库，可以在“Chnage scope"里面根据实际需要进行配置。

 

clip_image003

 

clip_image004

 

 

另外，如果需要开放UDP端口，可以新建一个命名为Customer Defined Port--SQL Server Udp Port的规则（Exception）。步骤基本上一致，在此略过。

 

 

 

 

Windows Server 2008/2012服务器

 

 

 

注意：Windows Server 2008R2 与2012服务器的防火墙设置基本上一致，在此不做重复介绍。只介绍Windows Server 2012，请知晓！

 

1:在“开始”菜单上，单击“运行”，键入 WF.msc，然后单击“确定”，打开“高级安全Windows防火墙”，当然你可以从“控制面板”，打开Windows防火墙（运行里面使用firewall.cpl命令打开Windows防火墙），然后从菜单进入“高级安全Windows防火墙”

 

 

2：在入站规则右键点击“新建规则”，然后安装下面步骤逐一操作即可，当然有些地方根据实际需求配置

 

3：在"规则类型(Rule Type)"下，选择“端口（Port）”选项。

 

 

 

clip_image005

 

 

 

4：在“协议和端口(Protocol and Ports)",选择 TCP。 选择“特定本地端口”，然后键入数据库引擎实例的端口号，例如默认实例的端口号 1433或1434。 这里具体根据实际需要定制，如上所示，有可能还需要开通其它TCP端口号或UDP端口号（UDP端口，一般新建一个命名为Customer Defined Port--SQL Server Udp Port的规则）。 单击“下一步”。

 

 

clip_image006

 

 

5：在“操作（Action）”对话框中，选择“允许连接”，然后单击“下一步”。

 

clip_image007

 

 

6：在“配置文件”里面选择在什么时候应用该规则，例如域（Domain）、专用（Private）、公用（Public）。 全部勾选。

 

 

clip_image008

 

 

7：在名称（Name）里面填入Customer Defined Port--SQL Server Tcp Port ， 这个名称Customer Defined Port表示自定义端口，SQL Server Tcp Port表示与SQL Server相关的Tcp 端口号。

 

 

clip_image009

 

 

8：完成后，如果你要限制某些IP才能访问这些端口，可以找到新建的规则“Customer Defined Port--SQL Server Tcp Port”，右键单击属性，在Scop里面设置。如下所示

 

 

clip_image010

 

 

当然也可以在“Rule Type”里面选择定制，左边菜单就会出现“Scope”选项。

 

 

clip_image011

 

 

方式2：使用Powshell来配置防火墙.

 

 

注意： Windows Server 2008 R2下如果Powshell是2.0版本，是无法使用Powshell来配置防火墙的。 我没有测试升级Powshell版本是否支持。下面实验环境为Windows Server 2012。 使用Powshell配置防火墙的效率是远远高于使用图形界面的。

 

 

1:开启1433端口

 

New-NetFirewallRule -DisplayName "Customer Defined Port--SQL Server Tcp Port" -Direction Inbound -LocalPort 1433 -Protocol TCP -Action Allow -Description "This Inbound rule is special for SQL Server"

 

 

2：开启1433,1434端口

 

New-NetFirewallRule -DisplayName "Customer Defined Port--SQL Server Tcp Port" -Direction Inbound -LocalPort 1433,1434 -Protocol TCP -Action Allow -Description "This Inbound rule is special for SQL Server"

 

 

 

当然可以根据实际情况开启相关端口，严禁开启其它不相关端口号，所需端口才开启，另外，使用powshell可以非常方便的管理防火墙，如果你需要查找帮助命令，可以使用下面命令，此处从略。

 

Get-Command -Noun "*Firewall*" | Select -ExpandProperty Name

 

PS C:\Users> Get-Command -Noun "*Firewall*" | Select -ExpandProperty Name

Copy-NetFirewallRule

Disable-NetFirewallRule

Enable-NetFirewallRule

Get-NetFirewallAddressFilter

Get-NetFirewallApplicationFilter

Get-NetFirewallInterfaceFilter

Get-NetFirewallInterfaceTypeFilter

Get-NetFirewallPortFilter

Get-NetFirewallProfile

Get-NetFirewallRule

Get-NetFirewallSecurityFilter

Get-NetFirewallServiceFilter

Get-NetFirewallSetting

New-NetFirewallRule

Remove-NetFirewallRule

Rename-NetFirewallRule

Set-NetFirewallAddressFilter

Set-NetFirewallApplicationFilter

Set-NetFirewallInterfaceFilter

Set-NetFirewallInterfaceTypeFilter

Set-NetFirewallPortFilter

Set-NetFirewallProfile

Set-NetFirewallRule

Set-NetFirewallSecurityFilter

Set-NetFirewallServiceFilter

Set-NetFirewallSetting

Show-NetFirewallRule

Add-SqlFirewallRule

Remove-SqlFirewallRule

 

 

 

查看某个命令的具体帮助信息，如下所示：

 

PS C:\Users> get-help New-NetFirewallRule

 

NAME

New-NetFirewallRule

 

SYNTAX

New-NetFirewallRule -DisplayName <string> [-PolicyStore <string>] [-GPOSession <string>] [-Name <string>]

[-Description <string>] [-Group <string>] [-Enabled <Enabled> {True | False}] [-Profile <Profile> {Any | Domain |

Private | Public | NotApplicable}] [-Platform <string[]>] [-Direction <Direction> {Inbound | Outbound}] [-Action

<Action> {NotConfigured | Allow | Block}] [-EdgeTraversalPolicy <EdgeTraversal> {Block | Allow | DeferToUser |

DeferToApp}] [-LooseSourceMapping <bool>] [-LocalOnlyMapping <bool>] [-Owner <string>] [-LocalAddress <string[]>]

[-RemoteAddress <string[]>] [-Protocol <string>] [-LocalPort <string[]>] [-RemotePort <string[]>] [-IcmpType

<string[]>] [-DynamicTarget <DynamicTransport> {Any | ProximityApps | ProximitySharing | WifiDirectPrinting |

WifiDirectDisplay | WifiDirectDevices}] [-Program <string>] [-Package <string>] [-Service <string>]

[-InterfaceAlias <WildcardPattern[]>] [-InterfaceType <InterfaceType> {Any | Wired | Wireless | RemoteAccess}]

[-LocalUser <string>] [-RemoteUser <string>] [-RemoteMachine <string>] [-Authentication <Authentication>

{NotRequired | Required | NoEncap}] [-Encryption <Encryption> {NotRequired | Required | Dynamic}]

[-OverrideBlockRules <bool>] [-CimSession <CimSession[]>] [-ThrottleLimit <int>] [-AsJob] [-WhatIf] [-Confirm]

[<CommonParameters>]

 

 

ALIASES

None

 

 

REMARKS

Get-Help cannot find the Help files for this cmdlet on this computer. It is displaying only partial help.

-- To download and install Help files for the module that includes this cmdlet, use Update-Help.

 

 

 

方式3：使用netsh来配置防火墙.

 

 

 

netsh 命令也配置防火墙，在此从略。

 

 

netsh firewall set portopening protocol = TCP port = 1433 name ='Customer Defined Port--SQL Server Tcp Port' mode = ENABLE scope = SUBNET profile = CURRENT

 

IMPORTANT: Command executed successfully.

However, "netsh firewall" is deprecated;

use "netsh advfirewall firewall" instead.

For more information on using "netsh advfirewall firewall" commands

instead of "netsh firewall", see KB article 947709

at http://go.microsoft.com/fwlink/?linkid=121488 .

文章标签：
云防火墙
云数据库 RDS SQL Server 版
网络协议
SQL
Windows
安全
数据库
关键词：
云服务器 ECS配置
云防火墙配置
云服务器 ECS防火墙配置
云服务器 ECS防火墙
服务器云防火墙
潇湘隐者
目录
相关文章
XiXu
|
22天前
|
安全 Linux 应用服务中间件
从零开始启动、配置、保护你的云服务器并搭建一个简单的网站
本文详细介绍了如何准备原料、搭建基础环境、进行安全防护、建设网站、管理证书以及开启BBR优化网络性能。主要内容包括获取健康云服务器、配置SSH登录、创建非root用户、启用密钥认证、安装Nginx、申请TLS证书、配置HTTPS自动跳转及优化网络性能等步骤。通过本文，读者可以掌握从零开始搭建个人网站的全过程。
XiXu
33 1
从零开始启动、配置、保护你的云服务器并搭建一个简单的网站
弹性计算小冉
|
14天前
|
开发框架 .NET PHP
网站应用项目如何选择阿里云服务器实例规格+内存+CPU+带宽+操作系统等配置
对于使用阿里云服务器的搭建网站的用户来说，面对众多可选的实例规格和配置选项，我们应该如何做出最佳选择，以最大化业务效益并控制成本，成为大家比较关注的问题，如果实例、内存、CPU、带宽等配置选择不合适，可能会影响到自己业务在云服务器上的计算性能及后期运营状况，本文将详细解析企业在搭建网站应用项目时选购阿里云服务器应考虑的一些因素，以供参考。
弹性计算小冉
34 2
Echo_Wish
|
24天前
|
运维 安全 Linux
全面提升系统安全：禁用不必要服务、更新安全补丁、配置防火墙规则的实战指南
全面提升系统安全：禁用不必要服务、更新安全补丁、配置防火墙规则的实战指南
Echo_Wish
46 12
东方睿赢
|
22天前
|
存储 人工智能 弹性计算
阿里云弹性计算（ECS）提供强大的AI工作负载平台，支持灵活的资源配置与高性能计算，适用于AI训练与推理
阿里云弹性计算（ECS）提供强大的AI工作负载平台，支持灵活的资源配置与高性能计算，适用于AI训练与推理。通过合理优化资源分配、利用自动伸缩及高效数据管理，ECS能显著提升AI系统的性能与效率，降低运营成本，助力科研与企业用户在AI领域取得突破。
东方睿赢
39 6
dufadayang
|
25天前
|
负载均衡 监控 应用服务中间件
配置Nginx反向代理时如何指定后端服务器的权重？
配置Nginx反向代理时如何指定后端服务器的权重？
dufadayang
46 4
jianz123
|
26天前
|
Android开发 数据安全/隐私保护 虚拟化
安卓手机远程连接登录Windows服务器教程
安卓手机远程连接登录Windows服务器教程
jianz123
55 4
龙大吉
|
27天前
|
NoSQL Linux PHP
如何在不同操作系统上安装 Redis 服务器，包括 Linux 和 Windows 的具体步骤
本文介绍了如何在不同操作系统上安装 Redis 服务器，包括 Linux 和 Windows 的具体步骤。接着，对比了两种常用的 PHP Redis 客户端扩展：PhpRedis 和 Predis，详细说明了它们的安装方法及优缺点。最后，提供了使用 PhpRedis 和 Predis 在 PHP 中连接 Redis 服务器及进行字符串、列表、集合和哈希等数据类型的基本操作示例。
龙大吉
52 4
1697942877320985
|
28天前
|
Dart 搜索推荐 IDE
Windows下Zed编辑器配置Dart环境
本文介绍了Dart编程语言及其主要框架Flutter的优势，并推荐使用轻量级编辑器Zed进行Dart开发。详细步骤包括Dart环境的安装与配置，Zed编辑器的安装与个性化设置，以及如何在Zed中编写并运行Dart的HelloWorld程序。通过自定义任务实现Dart文件的快速运行，提高了开发效率。
1697942877320985
52 2
Echo_Wish
|
1月前
|
监控 安全 网络安全
Windows Server管理：配置与管理技巧
Windows Server管理：配置与管理技巧
Echo_Wish
71 3
蓝易云
|
1月前
|
监控 PHP Apache
优化 PHP-FPM 参数配置：实现服务器性能提升
优化PHP-FPM的参数配置可以显著提高服务器的性能和稳定性。通过合理设置 `pm.max_children`、`pm.start_servers`、`pm.min_spare_servers`、`pm.max_spare_servers`和 `pm.max_requests`等参数，并结合监控和调优措施，可以有效应对高并发和负载波动，确保Web应用程序的高效运行。希望本文提供的优化建议和配置示例能够帮助您实现服务器性能的提升。
蓝易云
57 3

热门文章

最新文章

  • 1
    【Linux网络服务】Centos7搭建nfs文件共享服务器
  • 2
    阿里云服务器CPU内存几核几G配置可选ECS实例规格对照表
  • 3
    MySQL服务器 IO 100%的案例分析
  • 4
    FBI又想查看苹果服务器了: 这一次是iCloud
  • 5
    在注册表中找到你的dns服务器
  • 6
    阿里云ECS云服务器安全组配置开放端口方法教程
  • 7
    如何选择阿里云服务器固定带宽更加节省费用，个人小经验分享
  • 8
    dhcp服务器
  • 9
    Inotify自动监控并且同步到服务器的脚本
  • 10
    [转]关于HTTP服务器每个客户端2个连接的限制
  • 1
    CentOS 7 防火墙指令
    98
  • 2
    Windows操作系统中：共享文件夹以及防火墙介绍
    394
  • 3
    有状态防火墙和无状态防火墙到底有啥区别？
    202
  • 4
    【亮剑】当设备IP能ping通但无法上网时，可能是DNS解析、网关/路由设置、防火墙限制、网络配置错误或ISP问题
    1361
  • 5
    自动添加防火墙规则
    59
  • 6
    自动添加防火墙规则,开启某些服务或端口(适用于 RHEL7)
    98
  • 7
    【Linux】深入探究CentOS防火墙（Firewalld）：基础概念、常用命令及实例操作
    777
  • 8
    网络守护进化论：传统防火墙与下一代防火墙的深度剖析
    660
  • 9
    firewall防火墙详解
    94
  • 10
    Linux 如何关闭防火墙（开启管理员权限）
    103

    • 相关课程

    更多
  • ECS上云入门三部曲
  • 服务器硬件基础
  • Linux Web服务器Nginx搭建与配置
  • 7天玩转云服务器
  • 云服务器选型、迁云最佳实践
  • 云服务器ECS基本操作

    • 相关电子书

    更多
  • TAKING WINDOWS 10 KERNEL
  • 《云防火墙实现多账号统一管控》
  • ECS运维指南之Windows系统诊断

    • 相关实验场景

    更多
  • 使用ECS和RDS搭建个人博客
  • 利用云备份Cloud Backup实现ECS文件备份
  • 基于ECS搭建FTP服务
  • 基于ECS和NAS搭建个人网盘
  • 使用ECS和OSS搭建个人网盘
  • 基于ECS搭建云上博客
    • 下一篇
    fs.oss.accessKeyId和fs.oss.accessKeySecret。