Какие порты нужно открыть на брандмауэре для работы в 1С ?
Какие порты нужно открыть на брандмауэре Windows для работы в клиент-серверной 1С, используя MS SQL 2017 на отдельном сервере.
Конечно, данная тема также подымается и на курсе: Администратор 1С!
Бывают случаи когда «Сервер 1С» как и сервер MS SQL находятся не за «сетевыми экранами» в локальной сети и защитить их от внешних угроз может только обычный брандмауэр Windows.
(К слову брандмауэр Windows в локальной сети в большинстве не нужен, конечно при правильной организации работы). Но если он включен, и MS SQL на другом «хосте» (сервере) проблемы с подключением в клиент-серверной 1С — гарантированны!
Как исправить ситуацию?
- Включить брандмауэр («сетевой экран») на «роутере», на Kerio, pfSense, iptables, одним словом там, где используется программный «сетевой экран». Задача — закрыть порты извне, чтоб защитить всю локальную сеть от внешних угроз! Затем уже можно отключить и брандмауэр Windows! Так как MS SQL и Сервер 1С уже будет защищен!
- Если брандмауэр Windows единственный «сетевой экран» который защищает «Сервер 1С» и MS SQL, тогда остается только открыть порты, чтоб Сервер 1С видел MS SQL и наоборот.
Сперва откроем порт 1433 на том сервере, где работает MS SQL 2017.
Запускаем брандмауэр Windows
Затем на вкладке слева ищем «Дополнительные параметры».
Затем слева «Правила для входящих подключений» и «Создать правило».
Правило «Для порта»
Затем клик по кнопке «Далее>»
Укажем протокол к которому будет применяться правило «Протокол TCP».
И сам порт 1433 укажем выбрав «Определенные локальные порты:»
TCP 1433 — порт, выбираемый для SQL Server по умолчанию. Это официальный номер сокета IANA (агентство по выделению имен и уникальных параметров протоколов Интернета) для SQL Server. Клиентские системы используют порт TCP 1433 для подключения к системе управления базами данных; в среде SQL Server Management Studio (SSMS) порт служит для управления экземплярами SQL Server через сеть. Можно настроить SQL Server для прослушивания другого порта, но в большинстве случаев используется порт 1433.
Еще раз «Далее» и «Разрешить подключение».
Клик «Далее» обычно для всех профилей применяется правило «Доменный» — «Частный» — «Публичный».
После того как мы кликнем по кнопке «Далее», нам нужно задать имя для правила
На этом, та часть работы, которую нужно делать на сервере «MS SQL» завершена!
Идем на сервер, где работает «Сервер 1С» он же «Кластер серверов»:
Аналогично открываем порт 1541, для нашего «Менеджера кластера серверов».
Затем откроем диапазон портов: 1560-1591 (просто указав через тире) для наших «Рабочих процессов».
Если к примеру Вы используете утилиту администрирование серверов («Рис. ниже») на другом ПК или сервере, но подключится Вам нужно используя ее к «Серверу 1С» (что за брандмауэром Windows), тогда нужно еще дополнительно открыть порт TCP 1540.
Еще может понадобится и открытие TCP 1434 на сервере где работает MS SQL.
TCP 1434 — порт, выбираемый по умолчанию для выделенного административного соединения. Вы можете запустить выделенное административное соединение с помощью командной строки sqlcmd или введя «ADMIN:» с последующим именем сервера в диалоговом окне SSMS Connect to Database Engine.
Собственно это и вся работа которую нужно выполнить, чтоб пользователи смогли работать в клиент-серверной 1С, и благополучно администрировать сам сервер 1С и наш «Сиквел» )
Если Вы хотите больше узнать о технической стороне 1С, тогда регистрируйтесь на первый бесплатный модуль курса: Администратор 1С >>>
Настройка Брандмауэра Windows для MS SQL Server 2012 / 2008 (R2)
Если к службе Microsoft SQL Server должны подключаться программы с других компьютеров в сети, то необходимо чтобы правильным образом был настроен Брандмауэр Windows на сервере, где запущена служба. А именно разрешены входящие подключения по определенному порту, используемому компонентой Database Engine SQL Server. О том как узнать, какой порт использует SQL Server, изменить этот порт, а также настроить Брандмауэр Windows читайте в данной статье.
0. Оглавление
1. Что понадобится
- Статья будет актуальна для Microsoft SQL Server 2012 и для Microsoft SQL Server 2008 (R2).
- В качестве операционной системы сервера рассматриваются Microsoft Windows Server 2012 (R2) или Microsoft Windows Server 2008 (R2)
2. Определение / изменения порта для «экземпляра по умолчанию»
По умолчанию SQL Server использует для соединения порт 1433. Чтобы проверить это, запустим оснастку «Диспетчер конфигурации SQL Server» (SQL Server Configuration Manager). В Microsoft Windows Server 2012 (R2) ее можно найти в списке всех программ.
В Microsoft Windows Server 2008 (R2) в меню «Пуск» (Start) — «Microsoft SQL Server 2012» — «Средства настройки» ( Configuration Tools ) — «Диспетчер конфигурации SQL Server» (SQL Server Configuration Manager)
В запустившейся оснастке раскроем вкладку «Сетевая конфигурация SQL Server» (SQL Server Network Configuration), затем выделим вкладку «Протоколы для MSSQLSERVER» (Protocols for MSSQLSERVER). В окне слева в таблице найдем протокол TCP/IP, кликнем по нему правой кнопкой мыши и в контекстном меню выберем «Свойства» (Properties).
В открывшемся окне свойств перейдем на вкладку «IP-адреса» (IP Addresses), затем найдем и раскроем в дереве настроек ветку «IPAll». Здесь мы видим, что выбранный экземпляр SQL Server использует TCP-порт по умолчанию, а именно порт 1433. Если по каким то причинам требуется использовать другой номер порта, необходимо просто поменять текущее значение, нажать «Применить» (Apply) и перезапустить службу SQL Server.
3. Определение / изменения порта для именованного экземпляра SQL Server
В случае использования именованного экземпляра SQL Server ситуация аналогичная, за тем лишь исключением, что используются динамические TCP-порты. Это значит, что для каждого отдельного экземпляра будет назначен свой номер порта.
Для определения / изменения текущего порта, найдем в оснастке «Диспетчер конфигурации SQL Server» (SQL Server Configuration Manager) вкладку с сетевой конфигурацией необходимого нам экземпляра SQL Server и перейдем в свойства протокола TCP/IP для данного экземпляра. Здесь, как и в предыдущем случае, на вкладке «IP-адреса» (IP Addresses) в ветке «IPAll» можно узнать, а также изменить динамический TCP-порт для текущего экземпляра SQL Server.
4. Добавление правила в Брандмауэр Windows
Теперь, когда мы определились с номером порта, который будет использоваться для подключения к службе SQL Server, создадим разрешающее правило в Брандмауэре Windows на сервере, где запущена служба.
О том, как добавить разрешающее правило для определенного порта в Microsoft Windows Server 2008 (R2) я уже писал здесь. В Windows Server 2012 (R2) действия аналогичны.
Запускаем брандмауэр Windows (Windows Firewall). Сделать это можно кликнув правой кнопкой мыши по « Пуск » ( Start ), затем « Панель управления » ( Control Panel ) — « Система и безопасность » ( System and Security ) — « Брандмауэр Windows » ( Windows Firewall ). Или же выполнив команду firewall.cpl (для этого необходимо нажать комбинацию клавиш Win + R, в окне « Отрыть » ( Open ) ввести имя команды и нажать « ОК » ) .
Далее нажимаем на « Дополнительные параметры » ( Advanced Settings ) в меню слева.
В открывшемся окне, в дереве слева откроем вкладку « Правила для входящих подключений » ( Inbound Rules ), а затем в меню « Действия » ( Actions ) выберем пункт « Создать правило… » ( New Rule… ).
Запустится «Мастер создания правила для нового входящего подключения» (New Inbound Rule Wizard). На первой странице выберем тип правила (Rule Type) «Для порта» (Port) и нажмем «Далее» (Next).
Затем необходимо указать протокол (в нашем примере это TCP) и, непосредственно, номер порта (Specific local ports), который открываем. После чего жмем « Далее » ( Next ).
Теперь укажем действие связанное с добавляемым правилом. Выберем « Разрешить подключение » ( Allow the connection ) и нажмем « Далее » ( Next ).
На следующей странице нужно указать, для каких профилей брандмауэра будет действовать правило. Отмечаем нужные профили галочками и жмем « Далее » ( Next ).
Ну и наконец, вводим имя и описание для нового правила и нажимаем « Готово » ( Finish ) для завершения работы мастера.
А в оснастке « Брандмауэр Windows в режиме повышенной безопасности » ( Windows Firewall with Advanced Security ) в таблице « Правила для входящих подключений » ( Inbound Rules ) мы увидим только что созданное правило.
На этом настройка Брандмауэра завершена. Клиентские программы должны без препятствий подключиться к службе SQL Server.
5. Порт для администрирования MS SQL Server
Для того, чтобы к MS SQL Server можно было подключиться с помощью программы SQL Management Studio, необходимо также добавить правило для протокола UDP и порта 1434.
Подробнее о используемых SQL Server портах здесь.
Смотрите также:
Здесь будет рассказано как изменить политику паролей в Windows Server 2008. По умолчанию все пароли в Windows должны отвечать политике безопасности, а именно: Не содержать имени учетной записи пользователя…
Ниже будет рассказано о том, как добавить новое правило в Брандмауэр Windows Server 2008 R2. А конкретнее, будем добавлять разрешающее правило для порта 1433, который использует Microsoft SQL Server 2008 R2 или, как…
Ниже приведена небольшая инструкция об изменении политики паролей в Microsoft Windows Server 2012 R2. По умолчанию политика паролей определена таким образом, что все пароли учетных записей пользователей должны удовлетворять следующим…
Порт 1433 для чего используется
A new service, SQL Server Browser, was introduced with SQL Server 2005 and is also used with SQL Server 2008. In this tip I will cover what this is and how to use this service to improve your SQL Server environment.
Solution
The SQL Server Browser service introduced in SQL Server 2005, runs as a Windows service and it is an extension of SQL Server Resolution Protocol (SSRP) of SQL Server 2000. Like SSRP it plays an important role while working with more than one SQL Server instance installed on the same machine. The basic purpose of the SQL Server Browser service is to provide instance and port information to incoming connection requests.
To configure a better and safe access mechanism for SQL Server, a DBA should have proper understanding of the SQL Server Browser service.
Below I will discuss the access mechanism with reference to the TCP/IP protocol.
How to access SQL Server Browser service
SQL Server Browser service can be configured during installation or after installation it can be accessed in number of ways. Here are couple of common ways to access the SQL Server Browser service.
- Through Windows Services MMC. Access Windows services through the control panel or enter services.msc in the run box.
- Through a command prompt
- Through SQL Server Configuration Manager (SQL Server 2005/2008)
- Through Surface Area configuration (SAC, SQL Server 2005 only)
It should be noted that SAC just provides access to start/stop or to change the startup type for the SQL Server Browser service. For management of all other parameters like ports, paths you have to use SQL Server Configuration Manager. Also SQL Server Browser service can be started by using command prompt.
What if SQL Server Browser service is stopped?
The SQL Server Browser service is installed with installation of SQL Server 2005/2008. It also serves earlier versions installed on the same machine if there any. The SQL Server Browser service has different impact in different situations, such as:
- If you have just one instance installed on machine and it is running on default port 1433, then status of SQL Server Browser service does not make any difference in your connection parameters.
- If there are more than one instances running on the same machine, in that case either you have to start SQL Server Browser service or provide the port number along with IP (or server name) and instance name, to access any other instance than default.
- If SQL Server Browser service is stopped and IP along with port number is not provided then connection will be refused.
- If SQL Server instance is configured using dynamic ports then browser service is required to connect to correct port number.
- Also your named instances will not be published in the list of SQL Server instances on the network (which could be a good thing)
Best practices for using SQL Server browser service
The way you use SQL Server Browser service affects the access to your SQL Server instances, hence the security of installed instances. At one end, the most security conscious approach may be to use customized static ports for your instances and access SQL Server with fully qualified connection parameters. It would include IP + InstanceName + Port. In this configuration your instance would not be exposed to the network also more parameters are required in the connection string.
It would be a secure configuration compared to having the SQL Server Browser service running and serving the incoming connection requests with instance and port information. If you have no problem in using fully customized connection strings (IP + Name + Port), then you can stop the browser service permanently and access the instance through a fully qualified connection string.
In another type of configuration, if the instance is configured to use dynamic ports each time, then SQL Server Browser service should be running, otherwise there would be no way to keep track of the dynamic ports that are assigned.
If you have just a default instance installed (with default port) on your machine then SQL Server Browser service may be stopped to avoid overhead.
As part of best practices, always run SQL Server Browser service with a minimum privileged account. According to BOL any Windows user having the following rights would be capable to run the SQL Server Browser service.
- Deny access to this computer from the network
- Deny logon locally
- Deny logon as a batch job
- Deny logon through Terminal Services
- Log on as a service
- Read and write the SQL Server registry keys related to network communication (ports and pipes)
You can change the default account of the browser service (local system), to any other user having the above mentioned rights on the machine.
Limitations and further considerations
- SQL Server Browser service operates at the OS level. You can not have the browser service started for one instance and stopped for others on the same machine. If SQL Server Browser service is started, it would be serving all incoming connection requests.
- Same concept may be applied in case of clustering. You have to separately install and start the browser service on each node of the cluster.
- If you are using any type of firewall then do not forget to include UDP port 1434 in the exception list. UDP port 1434 is a port used by the SQL Server Browser service.
- If you are running SQL Server 2000 instance side by side along with SQL Server 2005/2008, then make sure to apply service pack 3 for the SQL Server 2000 instance. SP3 is required to work correctly with the SQL Server Browser service.
- It would be better if you have SQL Server Browser service with same settings on both development and production servers. It would prevent any problems due to differences of connection string information.
Testing the configurations
I have a named instance with the following customized static port as shown in TCP/IP properties of instance in SQL Server Configuration Manager.
If SQL Server Browser service is not running then start it through the command prompt or any of the other ways mentioned above.
When the browser service is running, I can access the instance without a specifying the port. I can successfully login with the following connection parameters (IP + InstanceName).
Now stop the SQL Server Browser service with net stop sqlbrowser command in the command prompt or one of the other ways that were mentioned above. Also exit SSMS and reopen it. Try to login again with the same parameters as before. This time you will get a message like the following.
The reason is that the browser service is not running and the customized static port is also missing in the connection parameters. To login successfully we have to provide the customized port number in the following way. The server name field would need IP\InstanceName,PortNumber.
Hopefully this has given you enough information to understand how the browser service runs and when and when you do not need to have this service running.
Next Steps
Before making any changes to the SQL Server Browser service make sure that connection strings in existing code are changed to meet the changed configurations, otherwise you may have some connection issues.
Русские Блоги
После установки SQL Server на сервере из-за необходимости обеспечения безопасности сервера все неиспользуемые порты необходимо заблокировать, и открываются только те порты, которые необходимо использовать. Вот введение в порты, используемые в SQL Server 2008:
Прежде всего, наиболее часто используемый и распространенный — это порт 1433. Это порт ядра базы данных. Если мы хотим подключиться к ядру базы данных удаленно, нам нужно открыть этот порт. Этот порт можно изменить. В «Диспетчере конфигурации SQL Server» переключитесь на «Протокол XXX» и выберите его. Порт TCP можно установить в свойствах протокола TCP / IP. как показано на картинке:
SSIS должен вызывать протокол DCOM, поэтому вам нужно открыть порт 135 при использовании SSIS, и этот порт нельзя изменить. Открывайте TCP-порт 135 только для доступа к диспетчеру управления службами (SCM). SCM выполняет следующие задачи: запускает и останавливает службу Integration Services и передает запросы управления работающей службе.
Теперь позвольте мне поговорить о SSAS. Экземпляр SSAS по умолчанию использует порт 2383. Если это именованный экземпляр, то каждый экземпляр будет иметь порт, назначенный администратором. Этот порт также может быть динамически выделен. Из соображений безопасности сети это настоятельно рекомендуется Не используйте схему, которая динамически выделяет порты. Если это динамически назначаемый порт, когда клиент подключается к серверу, он будет подключаться к порту сервера 2382, который является портом, используемым браузером SQL Server. Затем браузер SQL Server сообщает клиенту через порт 2382, что ему необходимо подключиться к фактическому номеру порта указанного экземпляра. (Это официальное заявление, но я не уверен, что здесь требуется порт 2382, но упомянутый ниже UDP-порт 1434 определенно полезен.) Кроме того, браузеру SQL Server необходимо использовать порт 1434 UDP, поэтому, если вам нужно использовать эту службу Если это так, необходимо открыть UDP1434. Чтобы изменить порт SSAS, вам нужно сначала открыть службу SSAS, затем использовать SSMS для подключения к SSAS, щелкнуть правой кнопкой мыши экземпляр в обозревателе объектов, выбрать свойства, и откроется окно свойств службы анализа. Установите для свойства Port требуемый порт. Значение по умолчанию — 0 , Это означает, что настройки отсутствуют, а затем перезапустите службу SSAS.
После перезапуска, если SSMS заставляет других клиентов подключаться к SSAS, тогда ему необходимо использовать метод «имя хоста: порт» в качестве хоста подключения, а если это механизм базы данных, он использует формат «имя хоста, порт», эти два Есть разница.
Служба отчетов предоставляется через Интернет, поэтому служба отчетов по умолчанию использует порт 80. Конечно, пользователи также могут изменить порт службы отчетов. Измените порт веб-службы и диспетчера отчетов в диспетчере конфигурации службы отчетов. как показано на картинке:
Конфигурация порта SSB. Если SSB предполагает связь между компьютерами через сеть, то вам необходимо установить конечную точку (EndPoint). При настройке конечной точки SSB необходимо указать порт прослушивания. Например, мы создаем такую конечную точку:
Затем нам нужно разработать порт 4037.
Таким же образом, если мы хотим настроить зеркальное отображение базы данных, доступ по протоколу SOAP и т. Д., Нам также необходимо создать конечную точку и открыть порт в конечной точке.
В дополнение к портам, представленным выше, если вы хотите выполнить репликацию базы данных и т.п., вам необходимо настроить общую папку на сервере базы данных, чтобы облегчить передачу данных между несколькими серверами, тогда вам также необходимо открыть общие порты Windows, такие как 137, 138, 139, 445 и др.
Выше было представлено так много служб и портов, которые необходимо настроить в соответствии с реальными потребностями. По соображениям безопасности вы можете установить порт по умолчанию как свой собственный порт и не открывать службу браузера SQL Server.