Management Suite 8.7 端口使用详解

Management Suite 端口使用简介在装防火墙（或过滤通信量的路由器）的环境中使用LANDesk Management Suite 时，需要有关在防火墙中打开的端口的信息。

本节描述了各个Management Suite 组件使用的端口。

此处着重讨论了配置路由器和防火墙时所需的信息，暂不考虑仅在本地使用的端口（在单个子网内）。

也暂不考虑仅用来与运行旧版本Management Suite 的设备进行通信的端口。

一览表下表总结了需要在防火墙中打开以启用特定产品功能的端口。

最右边一列的“入网/出网”关键字基于以下假设，核心服务器/控制台位于防火墙内，受管的设备位于防火墙以外。

“出网”意味着防火墙以外的设备正在监听显示的端口并且核心服务器（如果是远程控制的话则为控制台）将会打开与该端口的连接。

“入网”意味着核心服务器上的服务正在监听显示的端口并且设备将打开与该端口的连接。

功能TCP 端口入网/出网远程控制9535, 9595 出清单5007 入软件分发（推）9594, 9595 出软件分发（策略）12175, 12176 入软件分发（定向多播）33354 出可信访问4444, 7777 入警报管理系统38292 入管理Web 服务80 (HTTP) 入安全清单/Web 控制台443 (HTTPS) 入请勿自动断定需要打开以上列出的所有端口。

请查看Management Suite 的功能，确定要使用的功能，然后打开仅用于那些功能的端口。

上表无法回答有关如何在复杂环境中使用该产品的所有问题。

您需要更多了解单个产品组件是如何运行、彼此交互以及如何使用列表中的端口的。

这在本节的其余部分描述。

注意：核心服务器必须允许在80 端口上进行通信。

防火墙规则的背景信息您需要了解此处的信息主要是为了设置防火墙规则。

如果您不熟悉该主题,则本节提供了一些有关主要的基本概念的一般背景信息。

防火墙规则“打开端口”不是一个精确的术语。

您不能直接打开防火墙软件然后“打开端口x”。

“打开端口”是设置防火墙规则的一种简写。

防火墙规则描述了允许或不允许何种通信量通过防火墙。

防火墙规则并非仅按端口号过滤通信量。

可以根据协议、源端口号和目标端口号、方向（入网/出网）、源IP 地址和目标IP 地址以及其他方面来设置规则。

典型的防火墙规则如下所示：“允许TCP 端口5007 上有入网通信量”。

支持清单时需要该规则。

该规则基于3 个元素：1. 协议（TCP 或UDP）2. 端口号3. 方向（入网或出网）设置防火墙规则始终需要用到这 3 个元素。

源端口和目标端口、动态端口TCP 或UDP 通信中始终包含两个端口。

任何TCP 或UDP 程序包都是从源端口发送到目标端口。

防火墙规则是基于源端口、目标端口或根据这两个端口设置的。

文档中列出的端口（如该端口）始终是目标端口。

在上述的端口5007 示例中，您只能要求目标端口为5007。

熟知的端口（如5007，用于清单服务）指通信的一端。

通信的另一端使用动态端口。

动态端口由操作系统在1024-5000 的范围内自动分配。

防火墙和UDP 通信量要允许TCP 通信量通过防火墙，只设置一个规则即可，例如允许入网TCP 连接到端口5007。

一旦建立了TCP 连接，数据便可通过连接双向流通。

因为UDP 通信量是无连接的，因此有所不同。

例如，默认情况下，核心服务器在开始任务前会在UDP 端口38293 "ping" 设备（请参阅下面的内容，CustJob 脚本）。

允许将UDP 数据包发出到端口38293 的防火墙规则也会允许从核心服务器向防火墙以外的设备发送数据包，但不允许发送设备的响应数据包。

允许将数据包同时发出和接收到端口38293 的规则在单独发出和接收数据包时无效，因为只有通信一端在监听熟知的端口。

另一端正在使用动态端口。

因为核心服务器的外发数据包是从动态端口发送到端口38293，设备的响应数据包是从端口38293 发送到同一动态端口，而非端口38293。

要允许双向通信，则需要允许UDP 数据包的源端口或目标端口= 38293 的规则。

通常在企业内部网中才能接受此类规则，但在外部防火墙上不接受（因为这会允许向所有UDP 端口发送入网数据包）。

因此，通常认为UDP 通信量是“不适用于防火墙”的。

现在回到示例中，有一个UDP 端口38293的备用端口：TCP 端口9595。

当通过防火墙管理设备时，您可能希望对产品进行配置以使用TCP端口。

Management Suite 所用端口远程控制TCP 9535（控制台到设备），9595（控制台到设备）如果使用了基于证书的安全性，同时也会启用TCP 9594（从核心服务器到设备和从控制台到核心服务器）。

如果单击网络视图中的计算机，则会向UDP 端口9595 上的设备发送一个ping 搜索。

如果端口受阻，将不会有响应，并且快捷菜单上的远程控制选项会灰显。

清单TCP 5007（从设备到核心服务器）另外，设备使用HTTP（端口80）使其本地ldappl3.ini 文件与核心服务器同步。

Ldappl3.ini 包含要扫描的应用程序列表和其他控制信息。

如果要计划清单，则应使用以下Custjob 脚本下说明的机制。

端口443 用于发送安全清单信息。

软件授权监视不必打开任何端口（清单使用的那些端口除外）所有通信都在清单框架之内进行。

如果清单开始工作，则软件授权也开始监控。

软件分发结合使用几种方法以支持两个主要的传送方案：“推”分发和基于策略的（或“拉”）分发。

在两种方案中，称为SDCLIENT 的设备端程序将安装该程序包。

在“推”分发中，SDCLIENT 是从核心服务器远程启动的。

在基于策略的分发中，SDCLIENT 是从本地启动的，比如当用户登录时。

“定向多播”是“推”分发的一个功能，通过此功能每个子网仅能传送一个程序包而不是每个设备传送一次程序包。

“对等下载”是一种方法，该方法从分发服务器下载程序包之前，SDCLIENT 首先检查子网内的其他计算机是否已有此程序包。

后面几部分内容详细描述了每种方法。

Custjob 脚本TCP 9594-9595（从核心服务器到设备）Custjob 是核心服务器上一个组件的名称，负责管理正在运行的非分发脚本，如清单扫描器脚本。

软件分发任务由不同组件ScheduledTaskHandler.exe 来处理，它与Custjob 使用相同的端口。

计划Custjob 脚本时，先是搜寻阶段然后是执行阶段。

在搜寻阶段中，在TCP 端口9595 或UDP端口38293 处已"ping" 了一些目标节点。

根据下图所示设置决定是否使用TCP 或UDP。

默认设置为UDP。

目标响应后，Custjob 进入执行阶段。

它将打开TCP 与设备TCP 端口9594 的连接。

Custjob 将向该连接发送各种脚本命令，如您在脚本中看到的REMEXEC 行（即，软件分发作业基本上是SDCLIENT 程序的REMEXEC）。

状态信息通过相同连接从设备返回核心服务器。

要允许通过防火墙管理设备，请选择“TCP”或“二者同时使用”。

如果不要求通过防火墙访问，请保持默认设置(UDP)，因为UDP 发现目标是否能够到达所用的时间更短。

基于策略的分发TCP 12175, 12176（从设备到核心服务器）基于策略的分发总是从设备开始，即“拉”方法。

设备上的amclient 程序在TCP 端口12176 上联系核心服务器以检查可用于计算机/用户的策略。

策略通常是软件分发命令行（SDCLIENT 程序）。

策略状态通过HTTP（端口80）发送到核心服务器在客户端需要策略时，Management Suite 8.5 以前的版本会通过TCP 端口12175 向核心服务器发送反馈。

如果支持旧版设备代理，则需要打开端口12175。

任务完成TCP 12176（从设备到核心服务器）任务完成是设备通过联系核心服务器以查看是否有计划任务无法在该设备上执行的方法，例如，当执行任务时由于设备离线而无法执行。

如果存在任何此类任务，则核心服务器将使用正常“推”机制（请参阅Custjob 脚本）。

定向多播TCP 33354（从核心服务器到设备）其他端口在子网内使用，但需要在路由器/防火墙中打开。

不必在路由器/防火墙中启用IP 多播。

多播域代表当核心服务器在每个多播域中找到一个多播域代表(MDR) 时启动定向多播分发会话。

多播域通常是一个IP 子网，但可以跨多个IP 子网。

MDR 可以通过静态方式分配（“首选MDR”－将设备拖至控制台的多播域代表组中）或通过动态方式挑选。

动态搜寻要使用动态搜寻，请将路由器配置为允许使用UDP 端口33354（从核心到设备）。

如果路由器/防火墙停止使用UDP/33354，请使用首选MDR 来代替。

MDR 动态挑选采用两种方法：广播和轮询。

广播方法是基于核心服务器将子网定向广播数据包发送到UDP 端口33354。

可以禁用广播方法（在控制台中单击配置| 服务| 多播选项卡）。

轮询方法基于核心服务器将单播数据包发送到UDP 端口33354 的每个目标子网内的每个目标设备，直到子网内的某个设备作出响应。

UDP 和子网定向广播不适用于防火墙。

因此，如果您计划通过防火墙部署Management Suite，就不能使用动态搜寻或与首选MDR 一起工作。

首选MDR 仅需要打开TCP 端口33354（从核心服务器到MDR）（无UDP）。

您可以通过在每个子网内设置多个首选MDR 来为您的网络构建复原和自动故障修复。

可以对外部网站使用首选MDR 组合，对内部网站使用动态搜寻。

文件传输搜寻阶段完成后，核心服务器在每个子网都有一个MDR（或称为多播域更准确一些）。

然后核心服务器在端口33354 设置一个到每个MDR 的TCP 连接。

控制信息通过该连接以双向方式进行交换，包括要下载的程序包的URL 或UNC 路径。

多播MDR 开始从核心服务器收到的URL 或UNC 路径下载程序包。

下载程序包时，MDR 会在子网内多播每个收到的数据块。

多播通信量使用UDP 端口33355。

数据包以存活时间= 1 发送，因此不会通过路由器。

目标设备在收到多播数据时将程序包保存在其多播缓存目录下。

对等下载不必打开任何端口。

“对等下载” 是设备通过转至分发服务器（可能通过WAN 查找）之前在子网内查找软件分发程序包的副本的方法。

“对等下载”出现在子网内，使用的端口与“定向多播”使用的相同。

因此不必通过在防火墙/路由器中启用端口的方式启用它。

SDCLIENT（软件分发代理）常规的http 或文件服务器访问；不必打开任何端口。

软件分发作业的最后一个阶段是在设备上实际安装程序包。