Как открыть порт 1433 sql на брандмауэре сервера

[РЕШЕНО] Внешнее подключение к MSSQL

Собственно не могу подключиться к MSSQL серверу по ODBC через 1с
Может кто знает куда копать ? как починить.

Administrator
Сообщений: 728 Баллов: 8901 Рейтинг: 0 Регистрация: 09.02.2011
20.11.2019 19:44:35

Попробую по пунктам описать куда копать:
1. стандартный порт для подключение по ODBC 1433 проверяем висит ли что то на этом порту:
netstat -an | find»1433″
2. Если да то копаем в сторону фаервола. разрешаем правила — либо целиком отключаем:
Если у вас включен Windows Firewall (или любой другой), необходимо открыть порт 1433
Если нетстат показывает что ничего не висит на 1433 то проверяем по пунктам:
1. Запускаем SQL Server Configuration Manager
В окне конфигурации SQL Server выберите ветку Network Configuration SQL Server -> Протоколы для SQL Server. Затем включите необходимые порты. Обычно достаточно TCP/IP.
— также в этом окошке откройти закладку ip adresses — и там в самом низу порт — он может быть не стандартный. (подключаться надо на него)

После этого перейдите в ветку Настройка собственного клиента SQL Клиентские протоколы. Произведите настройку необходимых протоколов. Обычно достаточно TCP/IP с настройками по умолчанию. Если вы измените номер порта, его нужно будет разблокировать в файрволе, а также указывать при соединении с SQL сервером. Рекомендуется оставить номер порта по умолчанию – 1433

2. После конфигурации протоколов, перейдите в ветку «Службы SQL Server». Перезапустите SQL Server.
3. Запустите Microsoft SQL Server Management Studio (среду управления сервером баз данных) и подключитесь к серверу. Кликните правой кнопкой мышки по серверу. В появившемся меню выберите «Свойства».
— В разделе «Безопасность» поставьте «Проверка подлинности SQL Server и Windows».
— В разделе «Соединения» установите опцию «Разрешить удаленные соединения с этим сервером».

ПЕРЕЗАПУСТИТЕ СЛУЖБУ SQL SERVERA.
ВОЗМОЖНО КОМУ ТО ПОМОЖЕТ: Фактический порт TCP для подключения через ODBC можно найти в реестре по адресу HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft SQL Server\\MSSQLServer\SuperSocketNetLib\Tcp

Услуги Системного Администратора — Работаю только с Юр. Лицами по договору обслуживания.
Administrator
Сообщений: 728 Баллов: 8901 Рейтинг: 0 Регистрация: 09.02.2011
20.11.2019 20:04:49

И еще раз я об этом написал с самого начала, с чего стоит копать, стандартный порт подключения 1433
т.е мы на самом сервере должны понять.

1. Запустите NETSTAT -A чтобы просмотреть список открытых портов (скажем, LISTENING). Если 1433 нет среди них, то SQL-сервер не работает или не прослушивает этот порт.

2. Если в списке указано 1433, проверьте локальный брандмауэр, чтобы узнать, разрешает ли он подключение к/из локального хоста и/или разрешает подключения к 1433.

3. Вы можете попробовать TELNET 1433 (к локал хост и к внешнему ip с другово клиент)

Что делать если вы не видите открытый стандартный порт 1433, способы понять, какой порт использует ваш MSSQL

1. через (SQL Server Configuration Manager) — описал в самом первом посте и в посте ниже — этого.
2. через логи событий
3. SQL Server Error Logs
4. через выполнение SQL запроса.
5. через реестр — описал в первом ответе

—- описание всех способов:

By default SQL Server listens on TCP port number 1433, and for named instances TCP port is dynamically configured. There are several options available to get the listening port for SQL Server Instance.

Here are a few methods which we can use to get this information.

Method 1: SQL Server Configuration Manager

Method 2: Windows Event Viewer

Method 3: SQL Server Error Logs

Method 4: sys.dm_exec_connections DMV

Method 5: Reading registry using xp_instance_regread

Let’s see how you can use each of these methods in detail:

Method 1: SQL Server Configuration Manager:

Step 1. Click Start > All Programs > Microsoft SQL Server 2012 > Configuration Tools > SQL Server Configuration Manager

Step 2. Go to SQL Server Configuration Manager > SQL Server Network Configuration > Protocols for

Step 3. Right Click on TCP/IP and select Properties

Step 4. In TCP/IP Properties dialog box, go to IP Addresses tab and scroll down to IPAll group.

If SQL Server if configured to run on a static port it will be available in TCP Port textbox, and if it is configured on dynamic port then current port will be available in TCP Dynamic Ports textbox. Here my instance is listening on port number 61499.

Method 2: Windows Event Viewer:

When SQL Server is started it logs an event message as ‘Server is listening on [ ‘any’ ‘ in windows event logs. Here will be actual port number on which SQL Server is listening.

To view this using Event Viewer:

Step 1. Click Start > Administrative Tools > Event Viewer.

Note: If Administrative Tools are not available on Start menu, go to Start > Control Panel > System and Maintenance > Administrative Tools > View event logs

Step 2. Navigate to Event Viewer > Windows Logs > Application

Step 3. Since huge amount of event are logged, you need to use filtering to locate the required logs. Right click on Application and select Filter Current Log…

Step 4. You can filter the events by Event ID and Event source. The event we are interested in has Event ID of 26022, and it’s source is SQL Server Instance. You need to filter by both Event ID and SQL Server Instance if you have multiple instances installed, for a single instance you can filter by Event ID only. Click on OK to apply the filter.

Step 5. Once the filter is applied, Locate message ‘Server is listening on [ ‘any’ …’. As we can see from below screenshot that SQL Server Instance is running on TCP Port 61499.

Method 3: SQL Server Error Logs:

When SQL Server is started it also logs an message to SQL Server Error Logs. You can search for port number in SQL Server Error Logs by opening SQL Server Error Log in notepad or via T-SQL using extended stored procedure xp_ReadErrorLog as below:

EXEC xp_ReadErrorLog 0, 1, N’Server is listening on’, N’any’, NULL, NULL, ‘DESC’

LogDate ProcessInfo Text

2013-03-21 13:34:40.610 spid18s Server is listening on [ ‘any’ 61499].

(2 row(s) affected)

As we can see from the output that SQL Server Instance is listening on 61499.

Note: This method does not work if SQL Server Error Logs have been cycled. See sp_Cycle_ErrorLog for more information.

Method 4: sys.dm_exec_connections DMV:

DMVs return server state that can be used to monitor SQL Server Instance. We can use sys.dm_exec_connections DMV to identify the port number SQL Server Instance is listening on using below T-SQL code:

WHERE session_id = @@SPID

(1 row(s) affected)

As we can see from the output… same as above Smile

Method 5: Reading registry using xp_instance_regread:

Port number can also be retrieved from Windows Registry database.

We can use extended stored procedure xp_instance_regread to get port number information using below T-SQL code:

DECLARE @portNumber NVARCHAR(10)

‘Software\Microsoft\Microsoft SQL Server\MSSQLServer\SuperSocketNetLib\Tcp\IpAll’,

@value = @portNumber OUTPUT

SELECT [Port Number] = @portNumber

(1 row(s) affected)

As we can see … same as above Smile Smile

Note: The above code will only work if SQL Server is configured to use dynamic port number. If SQL Server is configured on a static port, we need to use @value_name = ‘TcpPort’ as opposed to @value_name = ‘TcpDynamicPorts’.

Hope This Helps!

Статические и динамические порты SQL Server

Microsoft SQL Server может работать в двух режимах:
Прослушивание одного порта (по-умолчанию это TCP порт 1433). Этот режим будет выбран по-умолчанию, если во время установки SQL Server не использовать именованный экземпляр.
Динамический выбор портов. В этом случае при запуске SQL Server выберет свободный порт. Этот режим будет выбран по-умолчанию, если во время установки SQL Server настроить на использование именованного экземпляра.

Для того чтобы определить и изменить режим работы SQL Server нужно:
Открыть «Диспетчер конфигурации SQL Server»
В левом столбце выбрать «Сетевая конфигурация SQL Server» -> «Протоколы для «
В правом столбце дважды кликнуть по протоколу TCP/IP
В открывшемся окне в разделе IPAll указано два параметра:
«TCP порт» — при помощи этого параметра можно задать статический порт. По-умолчанию значение 1433.
«Динамические TCP порты» — при помощи этого параметра можно задать диапазон, из которых будет выбираться порт для SQL Server

Услуги Системного Администратора — Работаю только с Юр. Лицами по договору обслуживания.
Administrator
Сообщений: 728 Баллов: 8901 Рейтинг: 0 Регистрация: 09.02.2011
02.12.2019 15:33:55

Для своей работы система с сервером 1С использует следующие порты:

1433 (TCP/IP) — сервер SQL;
1434 (UDP) — сервер SQL;
1540 (TCP/IP) — агент сервера (если сервер один, то можно не открывать);
1541 (TCP/IP) — менеджер кластера;
диапазон 1560-1591 (TCP/IP) — процесс 1С;
475 (TCP/IP) — HASP-менеджер;
475 (UDP) — HASP-менеджер;
Пример запуска 1С из командной строки:
«C:\Program Files\1cv8\8.3.12.1529\bin\ragent.exe» -srvc -agent -regport 1541 -port 1540 -range 1560:1591 -debug -d «C:\Program Files\1cv8\srvinfo»

Открытие портов в брандмауэре Windows

открытие портов в Windows

Админ в маленьком городе

Сегодня расскажу как правильно открывать порты при помощи брандмауэра Windows. Такая задача может возникнуть если вы установили какой-то, возможно не стандартный, сервис на своем компьютере и требуется предоставить к нему доступ из сети. В моем случае это была CRM на Windows Server 2012 R2, которая слушала tcp порты 3034 и 3050. Чаще требуется открыть порты к базам данных SQL Server (порты 1433 и 1434) — всё делается аналогично.

Итак, в меню Пуск переходим в Панель управления -> Система и безопасностьи -> Брандмауэр Windows (если на панели управления не включено представление по категориям, сразу выбираем Брандмауэр Windows).

Переходим в Дополнительные настройки. Для примера откроем tcp порт 1433:

Выбираем Правила для входящих подключений.
В окне Действия нажимаем на ссылку Создать правило
Далее выбираем Тип правила в разделе Порт и нажимаем кнопку [Далее]
На странице Протокол и порты указываем тип порта TCP
Выбираем Указанные локальные порты и вводим значение 1433. Снова нажимаем кнопку [Далее]
На странице Действие выбираем Разрешить соединение и жмем кнопку [Далее]
На странице Профиль выбираем необходимые параметры для среды. [Далее]
На странице Имя вводим название правила SQL Server (порт 1433) и нажимаем кнопку [Готово]
Перезагружаем компьютер.

Подписывайтесь на канал
Яндекс.Дзен и узнавайте первыми о новых материалах, опубликованных на сайте.

Если считаете статью полезной,
не ленитесь ставить лайки и делиться с друзьями.

Комментариев: 1

2019-01-03 в 18:17:54 | Вениамин Хозяинов Брандмауер Windows дебилен настолько, что лично мне проще воткнуть маршрутизатор и закрыться NAT-ом, чем его настраивать.

Настройка брандмауэра Windows для разрешения доступа к SQL Server

Системы брандмауэра помогают предотвратить несанкционированный доступ к ресурсам компьютера. Если брандмауэр включен, но неправильно настроен, попытки подключения к SQL Server могут быть заблокированы.

Чтобы получить доступ к экземпляру SQL Server через брандмауэр, необходимо настроить брандмауэр на компьютере под управлением SQL Server. Брандмауэр является компонентом Microsoft Windows. Вы также можете установить брандмауэр от другого поставщика. В этой статье описывается настройка брандмауэра Windows, но основные принципы применяются к другим программам брандмауэра.

В этой статье представлен обзор конфигурации брандмауэра и приведены сведения, интересующие администратора SQL Server. Дополнительные сведения и официальные данные о брандмауэрах см. в документации по брандмауэру, например в разделе Руководство по безопасности для развертывания брандмауэра Windows.

Пользователи, знакомые с управлением брандмауэром Windows и знающие, какие параметры брандмауэра они хотят настроить, могут перейти напрямую к более сложным статьям:

Настройка брандмауэра Windows для доступа к компоненту Database Engine
Настройка брандмауэра Windows на разрешение доступа к службам Analysis Services
настроить брандмауэр для доступа к серверу отчетов

Основные сведения о брандмауэре

Брандмауэр проверяет входящие пакеты на соответствие следующему набору правил:

Если пакет соответствует стандартам, заданным правилами, то брандмауэр передает его протоколу TCP/IP для дальнейшей обработки.

Пакет не соответствует стандартам, заданным в правилах.

В этом случае брандмауэр отклоняет пакет. Если включено ведение журнала, в файле журнала брандмауэра создается соответствующая запись.

Список разрешенного трафика заполняется одним из следующих способов.

Автоматически. Когда защищенный брандмауэром компьютер инициирует соединение, брандмауэр добавляет в список запись, чтобы разрешить ответ. Ответ считается запрашиваемым трафиком, и ничего настраивать не требуется.
Вручную: администратор настраивает исключения для брандмауэра. Это открывает доступ к определенным программам или портам на вашем компьютере. В этом случае компьютер принимает весь входящий трафик, выполняя роль сервера, прослушивателя или однорангового узла. Необходимо выполнить настройку для подключения к SQL Server.

Выбор стратегии брандмауэра является более сложной задачей и не сводится лишь к открытию или закрытию портов. При выборе стратегии брандмауэра для предприятия необходимо обязательно рассмотреть все доступные правила и параметры конфигурации. В этой статье не рассматриваются все возможные параметры брандмауэра. Рекомендуем ознакомиться со следующими документами:

Руководство по развертыванию брандмауэра Windows
Руководство по проектированию для брандмауэра Windows
Основные сведения об изоляции серверов и доменов

Параметры брандмауэра по умолчанию

Первым шагом при планировании конфигурации брандмауэра является определение его текущего состояния в операционной системе. Если операционная система была обновлена с предыдущей версии, возможно, были сохранены предыдущие параметры брандмауэра. Изменять параметры брандмауэра в домене может групповая политика или администратор.

Включение брандмауэра может повлиять на общий доступ к файлам и принтерам, подключения к удаленному рабочему столу и работу других программ, которым необходим доступ к компьютеру. Администратор должен просмотреть все приложения, которые работают на компьютере, прежде чем приступать к настройке параметров брандмауэра.

Программы для настройки брандмауэра

Настройте параметры брандмауэра Windows с помощью консоли управления (MMC) или netsh.

Консоль управления (MMC) Оснастка «Брандмауэр Windows в режиме повышенной безопасности» позволяет настраивать дополнительные параметры брандмауэра. Эта оснастка представляет большинство параметров брандмауэра и в удобной форме, а также все профили брандмауэра. Дополнительные сведения см. в разделе Использование оснастки «Брандмауэр Windows в режиме повышенной безопасности» далее в этой статье.
netshNetsh.exe — это средство Администратор istrator для настройки и мониторинга компьютеров под управлением Windows в командной строке или с помощью пакетного файла. При использовании средства netsh вводимые контекстные команды направляются соответствующим вспомогательным приложениям, которые их выполняют. Вспомогательное приложение — это файл библиотеки динамической компоновки (DLL) для расширения функциональных возможностей. Вспомогательное приложение обеспечивает настройку, мониторинг и поддержку различных служб, служебных программ и протоколов для средства netsh. Все операционные системы, поддерживающие SQL Server, имеют вспомогательный сервер брандмауэра. Windows Server 2008 также имеет расширенный вспомогательный сервер брандмауэра с именем advfirewall. Многие из описанных параметров конфигурации можно настроить с помощью средства netsh. Например, выполните в командной строке следующий скрипт, чтобы открыть TCP-порт 1433:

netsh firewall set portopening protocol = TCP port = 1433 name = SQLPort mode = ENABLE scope = SUBNET profile = CURRENT

Аналогичный пример, использующий брандмауэр Windows для модуля поддержки повышенной безопасности:

netsh advfirewall firewall add rule name = SQLPort dir = in protocol = tcp action = allow localport = 1433 remoteip = localsubnet profile = DOMAIN

Синтаксис, контексты и форматирование команд Netsh
Использование контекста netsh advfirewall firewall вместо контекста netsh firewall для управления работой брандмауэра Windows в операционной системе Windows Server 2008 или Windows Vista

New-NetFirewallRule -DisplayName "SQLServer default instance" -Direction Inbound -LocalPort 1433 -Protocol TCP -Action Allow New-NetFirewallRule -DisplayName "SQLServer Browser service" -Direction Inbound -LocalPort 1434 -Protocol UDP -Action Allow

Порты, используемые SQL Server

В следующих таблицах можно определить порты, используемые SQL Server.

Порты, используемые ядро СУБД

По умолчанию типичные порты, используемые SQL Server и связанными службами ядра СУБД: TCP 1433, 4022, 135, 1434, UDP 1434. В таблице ниже эти порты описаны подробно. Именованный экземпляр использует динамические порты.

В следующей таблице перечислены порты, которые часто используются ядро СУБД.

Сценарий	Порт	Комментарии
Экземпляр по умолчанию, работающий по протоколу TCP	TCP-порт 1433	Этот порт открывают в брандмауэре чаще всего. Он применяется к стандартным подключениям к установке ядро СУБД по умолчанию или именованным экземпляром, который является единственным экземпляром, запущенным на компьютере. (Именованные экземпляры имеют особые рекомендации. См . динамические порты далее в этой статье.)
Именованные экземпляры с портом по умолчанию	TCP-порт — это динамический порт, определенный во время запуска ядро СУБД.	См. обсуждение ниже в разделе «Динамические порты». Порт UDP 1434 может потребоваться для службы браузера SQL Server при использовании именованных экземпляров.
Именованные экземпляры с фиксированным портом	Номер порта настраивается администратором.	См. обсуждение ниже в разделе «Динамические порты».
Выделенное административное соединение	TCP-порт 1434 предназначен для экземпляра по умолчанию. Другие порты используются для именованных экземпляров. Номер порта проверьте по журналу ошибок.	По умолчанию удаленные подключения по выделенному административному соединению (DAC) не активированы. Разрешить удаленное выделенное административное соединение можно при помощи средства настройки контактной зоны. Дополнительные сведения см. в разделе Surface Area Configuration.
служба «SQL Server, браузер»	UDP-порт 1434	Служба браузера SQL Server прослушивает входящие соединения с именованным экземпляром.

SELECT name, protocol_desc, port, state_desc

SELECT name, protocol_desc, port, state_desc FROM sys.tcp_endpoints

Пошаговые инструкции по настройке брандмауэра Windows для ядро СУБД см. в разделе «Настройка брандмауэра Windows для ядро СУБД Access».

Динамические порты

По умолчанию именованные экземпляры (включая SQL Server Express) используют динамические порты. При каждом запуске ядро СУБД он определяет доступный порт и использует этот номер порта. Если именованный экземпляр является единственным экземпляром установленного ядро СУБД, он, вероятно, будет использовать TCP-порт 1433. Если установлены другие экземпляры ядро СУБД, он, вероятно, будет использовать другой TCP-порт. Так как выбранный порт может изменяться при каждом запуске ядро СУБД, сложно настроить брандмауэр для включения доступа к правильному номеру порта. Если используется брандмауэр, мы рекомендуем перенастроить ядро СУБД для использования одного и того же номера порта каждый раз. Рекомендуется использовать фиксированный или статический порт. Дополнительные сведения см. в разделе Настройка сервера для прослушивания указанного TCP-порта (диспетчер конфигурации SQL Server).

Альтернативой настройке именованного экземпляра для прослушивания фиксированного порта является создание исключения в брандмауэре для программы SQL Server, например sqlservr.exe (для ядро СУБД). Номер порта не будет отображаться в столбце Локальный порт на странице Правила для входящего трафика при использовании оснастки MMC «Брандмауэр Windows в режиме повышенной безопасности». Аудит открытых портов может быть сложной задачей. Еще одно соображение заключается в том, что пакет обновления или накопительное обновление может изменить путь к исполняемому файлу SQL Server и сделать правило брандмауэра недействительным.

Чтобы добавить исключение для SQL Server с помощью брандмауэра Windows с расширенной безопасностью, см . статью «Использование брандмауэра Windows с оснасткой расширенной безопасности» далее в этой статье.

Порты, используемые службами Analysis Services

По умолчанию типичные порты, используемые службами SQL Server Analysis Services и связанными службами: TCP 2382, 2383, 80, 443. В таблице ниже эти порты описаны подробно.

В следующей таблице перечислены порты, которые часто используются службами Analysis Services.

Компонент	Порт	Комментарии
Службы Analysis Services	TCP-порт 2383 для экземпляра по умолчанию	Стандартный порт для экземпляра служб Analysis Services по умолчанию.
служба «SQL Server, браузер»	TCP-порт 2382, необходимый только для именованного экземпляра служб Analysis Services	Запросы на подключение клиента для именованного экземпляра служб Analysis Services, которые не указывают номер порта, направляются в порт 2382, порт, на котором прослушивается браузер SQL Server. Затем браузер SQL Server перенаправляет запрос на порт, используемый именованным экземпляром.
Службы Analysis Services, настроенные для использования с помощью IIS/HTTP

Если пользователи получают доступ к службам Analysis Services через IIS и Интернет, необходимо открыть порт, на котором выполняется прослушивание СЛУЖБ IIS. Затем нужно указать порт в строке подключения клиента. В этом случае для прямого доступа к службам Analysis Services не нужно открывать порты. Необходимо ограничить доступ к порту по умолчанию 2389, порту 2382 и другим портам, доступ к которым не требуется.

Пошаговые инструкции по настройке брандмауэра Windows для служб Analysis Services см. в разделе «Настройка брандмауэра Windows для разрешения доступа к службам Analysis Services».

Порты, используемые службами Reporting Services

По умолчанию SQL Server Reporting Services и связанные службы обычно используют порты TCP 80 и 443. В таблице ниже эти порты описаны подробно.

В следующей таблице перечислены порты, которые часто используются службами Reporting Services.

Компонент	Порт	Комментарии
Веб-службы Reporting Services	TCP-порт 80	Используется для HTTP-подключения к службам Reporting Services по URL-адресу. Не рекомендуется использовать предварительно настроенное правило Службы Интернета (HTTP). Дополнительные сведения см. в разделе Взаимодействие с другими правилами брандмауэра ниже.
Службы Reporting Services, настроенные для использования через HTTPS	TCP-порт 443	Используется для HTTPS-соединения по URL-адресу. HTTPS представляет собой HTTP-соединение, защищенное по протоколу TSL. Не рекомендуется использовать предварительно настроенное правило Защищенные службы Интернета (HTTP). Дополнительные сведения см. в разделе Взаимодействие с другими правилами брандмауэра ниже.

При подключении служб Reporting Services к экземпляру ядро СУБД или служб Analysis Services необходимо также открыть соответствующие порты для этих служб. Пошаговые инструкции по настройке брандмауэра Windows для служб Reporting Services позволяют настроить брандмауэр для доступа к серверу отчетов.

Порты, используемые службами Integration Services

В следующей таблице перечислены порты, используемые службой Integration Services.

Пошаговые инструкции по настройке брандмауэра Windows для службы Integration Services см. в статье Служба Integration Services (служба SSIS).

Другие порты и службы

В следующей таблице перечислены порты и службы, от которые может зависеть SQL Server.

Свойство UnicastResponsesToMulticastBroadcastDisabled интерфейса INetFwProfile управляет работой брандмауэра и одноадресными ответами на широковещательные (или многоадресные) UDP-запросы. Возможны два варианта.

Если этот параметр имеет значение TRUE, то одноадресные ответы на широковещательные запросы запрещены. Перечисление служб завершится ошибкой.

Особые вопросы для порта 135

При использовании RPC с транспортным протоколом TCP/IP или UDP/IP входящие порты динамически назначаются системным службам по мере надобности. Используются порты TCP/IP и UDP/IP с номерами выше 1024. Эти порты называются «случайными RPC-портами». В этом случае RPC-клиент определяет порт, назначенный серверу, через сопоставитель конечных точек RPC. Для некоторых служб, работающих через протокол RPC, можно настроить использование определенного фиксированного порта. Можно также ограничить диапазон портов, динамически назначаемых RPC и не зависящих от службы. Поскольку порт 135 используется для многих служб, он часто подвергается атакам злоумышленников. В случае открытия порта 135 рекомендуется ограничить область действия правила брандмауэра.

Дополнительные сведения о порте 135 см. в следующих ресурсах.

Общие сведения о службе и требования к сетевым портам в системе Windows Server
Удаленный вызов процедур (RPC)
Настройка динамического выделения портов RPC для работы с брандмауэром

Взаимодействие с другими правилами брандмауэра

Настройка брандмауэра Windows производится на основе правил и групп правил. Каждое правило или группа правил связывается с определенной программой или службой, которая может изменять или удалять это правило без вашего ведома. Например, группы правил Службы Интернета (HTTP) и Защищенные службы Интернета (HTTPS) связаны со службами IIS. Включение этих правил открывает порты 80 и 443, а функции SQL Server, зависящие от портов 80 и 443, будут работать, если эти правила включены. Однако администратор в процессе настройки служб IIS может изменить или отключить эти правила. Если вы используете порт 80 или порт 443 для SQL Server, необходимо создать собственное правило или группу правил, которая поддерживает предпочитаемую конфигурацию порта независимо от других правил IIS.

Брандмауэр Windows с оснасткой MMC расширенной безопасности разрешает любой трафик, соответствующий любому применимому правилу разрешения. Таким образом, если существуют два правила для порта 80 (с разными параметрами), то будет пропускаться трафик, соответствующий любому из них. Например, если одно правило разрешает трафик по порту 80 из локальной подсети, а другое разрешает трафик с любого адреса, то в итоге на порту 80 будет разрешен любой трафик независимо от источника. Чтобы эффективно управлять доступом к SQL Server, администраторы должны периодически проверять все правила брандмауэра, включенные на сервере.

Обзор профилей брандмауэра

В соответствии с профилями брандмауэра операционная система определяет и запоминает каждую из сетей по следующим параметрам: возможность подключения, имеющиеся подключения и категория.

Брандмауэр Windows в режиме повышенной безопасности делит сети на три типа.

Домен: Windows может пройти проверку подлинности доступа к контроллеру домена для домена, к которому присоединен компьютер.
Общедоступный: кроме доменных сетей все сети изначально классифицируются как общедоступные. Сети, которые представляют прямые соединения с Интернетом, являются открытыми (аэропорты, кафе и другие места открытого доступа).
Частный: сеть, определяемая пользователем или приложением как частная. Только доверенные сети могут быть определены как частные. Обычно в качестве частной сети определяется сеть малого предприятия, домашняя сеть и т. п.

Администратор может создать профиль для каждого типа сети и задать для этих профилей разные политики брандмауэра. Одномоментно применим только один профиль. Профили применяются в следующем порядке.

Профиль домена применяется, когда все интерфейсы проходят проверку подлинности на контроллере домена, членом которого является компьютер.
Если все интерфейсы либо прошли проверку подлинности к контроллеру домена, либо соединены с сетями, которые определены как частные, применяется частный профиль.
В противном случае применяется открытый профиль.

Просмотреть и настроить профили брандмауэра можно с помощью оснастки «Брандмауэр Windows в режиме повышенной безопасности». Элемент Брандмауэр Windows на панели управления позволяет настраивать только текущий профиль.

Дополнительные параметры брандмауэра с помощью элемента брандмауэра Windows в панель управления

Добавление брандмауэра позволяет ограничить открытие порта для входящих подключений с определенных компьютеров или из локальной подсети. Ограничьте область открытия портов, чтобы сделать компьютер менее уязвимым для злоумышленников.

Элемент Брандмауэр Windows на панели управления позволяет настроить только текущий профиль.

Изменение область исключения брандмауэра с помощью элемента брандмауэра Windows в панель управления

В панели управления в элементе Брандмауэр Windows выберите на вкладке Исключения программу или порт, а затем нажмите Свойства или Изменить.
В диалоговом окне Изменение программы или Изменение порта нажмите Изменить область.
Выберите один из следующих параметров:
- Любой компьютер (включая компьютеры в Интернете): не рекомендуется. В этом случае любой компьютер, способный обращаться к вашему, сможет подключаться к указанной программе или порту. Этот параметр может пригодиться для передачи данных анонимным пользователям Интернета, однако он повышает уязвимость компьютера. Включение этого параметра позволяет переходить по сетевым адресам (NAT), например параметр обхода пограничных адресов, увеличивает экспозицию.
- Только моя сеть (подсеть): это более безопасный вариант по сравнению с режимом Любой компьютер. Только компьютеры локальной подсети могут производить соединение с программой или портом.
- Пользовательский список: только компьютеры с IP-адресами, которые указаны, могут подключаться. Этот режим может быть более безопасным по сравнению с вариантом Только моя сеть (подсеть), однако клиентские компьютеры, использующие протокол DHCP, могут иногда менять IP-адреса, что приводит к невозможности подключения. При этом другой компьютер, которому не предоставлялся доступ, может принять указанный в списке IP-адрес и подключиться к нему. Вариант Настраиваемый список подходит для получения списков других серверов, для которых настроены фиксированные IP-адреса. IP-адреса могут быть подделаны злоумышленником. Эффект ограничения правил брандмауэра напрямую зависит от уровня защиты сетевой инфраструктуры.

Использование брандмауэра Windows с оснасткой «Расширенная безопасность»

Оснастка MMC «Брандмауэр Windows в режиме повышенной безопасности» позволяет настроить расширенные параметры брандмауэра. Эта оснастка включает мастер настройки правил и позволяет изменять параметры, недоступные в элементе Брандмауэр Windows из панели управления. К этим параметрам относятся:

Параметры шифрования
Ограничения служб.
Ограничение соединений для компьютеров по именам.
Ограничение соединений для определенных пользователей или профилей.
Разрешение просмотра узлов для исключения маршрутизаторов NAT.
Настройка правил исходящих соединений.
Настройка правил безопасности.
Требование протокола IPsec для входящих соединений.

Создание правила брандмауэра с помощью мастера создания правил

В меню нажмите кнопку «Выполнить«, введите WF.msc и нажмите кнопку «ОК«.
В левой части панели Брандмауэр Windows в режиме повышенной безопасностищелкните правой кнопкой мыши элемент Правила для входящих подключенийи выберите пункт Создать правило.
Завершите мастер создания правила для нового входящего подключения , задав все необходимые параметры.

Добавление исключения программы для исполняемого файла SQL Server

В меню «Пуск» наберите wf.msc. Нажмите клавишу ВВОД или выберите результат поиска «wf.msc», чтобы открыть Брандмауэр Защитника Windows в режиме повышенной безопасности.
В левой панели щелкните Правила для входящих подключений.
В области справа в разделе «Действия» выберите «Создать правило. «. Откроется мастер нового правила для входящего трафика.
В разделе Тип правилавыберите Программа. Выберите Далее.
В разделе Программа выберите Путь к программе. Нажмите кнопку Обзор и найдите файл программы SQL Server. Программа называется sqlservr.exe . Обычно он находится здесь: C:\Program Files\Microsoft SQL Server\MSSQL.\MSSQL\Binn\sqlservr.exe Выберите Далее.
В разделе Действие выберите вариант Разрешить подключение. Выберите Далее.
В разделе Профиль включите все три профиля. Выберите Далее.
В поле Имявведите имя правила. Выберите Готово.

Дополнительные сведения о конечных точках см. в следующем разделе:

Настройка компонента Database Engine на прослушивание нескольких портов TCP
Представления каталога конечных точек (Transact-SQL)

Устранение неполадок параметров брандмауэра

Следующие средства и методы могут оказаться полезными при устранении неполадок брандмауэра.

Действующее состояние порта является объединением всех правил, связанных с этим портом. Чтобы заблокировать доступ к порту, бывает полезно просмотреть все правила, в которых он упоминается. Просмотрите правила с помощью оснастки MMC «Брандмауэр Windows в режиме повышенной безопасности» и отсортируйте правила для входящего и исходящего трафика по номеру порта.
Просмотрите порты, активные на компьютере, на котором работает SQL Server. Процесс проверки включает проверку того, какие порты TCP/IP прослушивают , а также проверяют состояние портов.
Служебную программу PortQry можно использовать для вывода состояния портов TCP/IP (прослушивается, не прослушивается, фильтруется). (Программа может не получать ответ от порта, если она имеет отфильтрованное состояние.) Программа PortQry доступна для скачивания из Центра загрузки Майкрософт.

Список прослушивающих портов TCP/IP

Для определения, на каких портах ожидается передача данных, отобразите активные TCP-подключения и статистику IP-адресов, используя программу командной строки netstat.

Откройте окно командной строки.
В командной строке введите netstat -n -a . Элемент -n служебная программа netstat выводит адреса и номера портов активных подключений TCP в числовом виде. Коммутатор -a указывает netstat отображать порты TCP и UDP, на которых компьютер прослушивает.

Связанный контент

Общие сведения о службе и требования к сетевым портам в системе Windows Server
Руководство. Настройка параметров брандмауэра (база данных SQL Microsoft Azure)

Настройка брандмауэра Windows для доступа к компоненту Database Engine

В этой статье описывается настройка брандмауэра Windows для ядро СУБД доступа в SQL Server с помощью диспетчер конфигурации SQL Server. Системы брандмауэра помогают предотвратить несанкционированный доступ к ресурсам компьютера. Чтобы получить доступ к экземпляру SQL Server ядро СУБД через брандмауэр, необходимо настроить брандмауэр на компьютере под управлением SQL Server, чтобы разрешить доступ.

Дополнительные сведения о параметрах брандмауэра Windows по умолчанию и описании TCP-портов, влияющих на ядро СУБД, Службы Analysis Services, Службы Reporting Services и службы Integration Services, см. в разделе «Настройка брандмауэра Windows для разрешения доступа к SQL Server». Существует множество систем брандмауэров. За сведениями о конкретном брандмауэре следует обратиться к документации по этому брандмауэру.

Основные шаги для разрешения доступа.

Настройте ядро СУБД для использования определенного порта TCP/IP. Экземпляр ядро СУБД по умолчанию использует порт 1433, но его можно изменить. Порт, используемый ядро СУБД, указан в журнале ошибок SQL Server. Экземпляры SQL Server Express, SQL Server Compact и именованные экземпляры ядро СУБД используют динамические порты. Сведения по настройке этих экземпляров для использования конкретного порта см. в разделе Настройка сервера для прослушивания указанного TCP-порта (диспетчер конфигурации SQL Server).
Настройка брандмауэра, чтобы разрешить доступ к порту для авторизованных пользователей или компьютеров.

Служба браузера SQL Server позволяет пользователям подключаться к экземплярам ядро СУБД, которые не прослушиваются через порт 1433, не зная номер порта. Чтобы использовать браузер SQL Server, необходимо открыть порт UDP 1434. Чтобы повысить безопасность среды, оставьте службу браузера SQL Server остановленной и настройте клиенты для подключения с помощью номера порта.

По умолчанию Microsoft Windows включает брандмауэр Windows, который закрывает порт 1433, чтобы предотвратить подключение интернет-компьютеров к экземпляру SQL Server по умолчанию на компьютере. Подключение для экземпляра по умолчанию с помощью TCP/IP невозможно, если не открыть порт 1433. Основные шаги настройки брандмауэра Windows приведены в следующих процедурах. Дополнительные сведения см. в документации по Windows.

В качестве альтернативы настройке SQL Server для прослушивания фиксированного порта и открытия порта можно перечислить исполняемый файл SQL Server (Sqlservr.exe) в качестве исключения для заблокированных программ. Используйте этот метод, чтобы продолжить использовать динамические порты. Таким образом можно получить доступ только к одному экземпляру SQL Server.

Безопасность

Открытие портов на брандмауэре может привести к незащищенности сервера от вредоносных атак. Перед открытием портов убедитесь в том, что знаете принципы работы брандмауэров. Дополнительные сведения см. в разделе Security Considerations for a SQL Server Installation.

Использование брандмауэра Защитника Windows с расширенной безопасностью

В следующих процедурах выполняется настройка брандмауэра Windows с помощью оснастки «Брандмауэр Защитника Windows с расширенными функциями безопасности» консоли управления (MMC). В оснастке «Брандмауэр Защитника Windows с расширенными функциями безопасности» выполняется настройка только текущего профиля. Дополнительные сведения о брандмауэре Защитника Windows с расширенной безопасностью см. в разделе «Настройка брандмауэра Windows для разрешения доступа к SQL Server».

Открытие порта в брандмауэре Windows для доступа к TCP

В меню Пуск выберите Выполнить, введите WF.msc и щелкните ОК.
В брандмауэре Windows с приложением «Расширенная безопасность » в левой области щелкните правой кнопкой мыши правила входящего трафика и выберите «Создать правило » в области действий.
В диалоговом окне Тип правила выберите Порт и щелкните Далее.
В диалоговом окне Протокол и порты выберите протокол TCP. Выберите определенные локальные порты и введите номер порта экземпляра ядро СУБД, например 1433 для экземпляра по умолчанию. Выберите Далее.
В диалоговом окне Действие выберите Разрешить соединение и щелкните Далее.
В диалоговом окне «Профиль» выберите все профили, описывающие среду подключения к компьютеру, когда требуется подключиться к ядро СУБД, а затем нажмите кнопку «Далее«.
В диалоговом окне Имя введите имя и описание правила и щелкните Готово.

Открытие доступа к SQL Server при использовании динамических портов

В меню Пуск выберите Выполнить, введите WF.msc и щелкните ОК.
Слева в области окна Брандмауэр Windows в режиме повышенной безопасности щелкните правой кнопкой мыши Правила для входящих подключений и выберите Создать правило на панели действий.
В диалоговом окне Тип правила выберите Программа и щелкните Далее.
В диалоговом окне Программа выберите пункт Путь программы. Выберите «Обзор» и перейдите к экземпляру SQL Server, к которому требуется получить доступ через брандмауэр, и нажмите кнопку «Открыть«. По умолчанию SQL Server находится в C:\Program Files\Microsoft SQL Server\MSSQLXX. MSSQLSERVER\MSSQL\Binn\Sqlservr.exe. Выберите Далее. Версия MSSQLXX будет соответствовать версии SQL Server.
В диалоговом окне Действие выберите Разрешить соединение и щелкните Далее.
В диалоговом окне «Профиль» выберите все профили, описывающие среду подключения к компьютеру, когда требуется подключиться к ядро СУБД, а затем нажмите кнопку «Далее«.
В диалоговом окне Имя введите имя и описание правила и щелкните Готово.

См. также

Обратная связь

Были ли сведения на этой странице полезными?