Poorten die worden gebruikt in Configuration Manager

Van toepassing op: Configuration Manager (Current Branch)

In dit artikel worden de netwerkpoorten vermeld die Configuration Manager gebruikt. Sommige verbindingen gebruiken poorten die niet kunnen worden geconfigureerd en sommige bieden ondersteuning voor aangepaste poorten die u opgeeft. Als u poortfilteringstechnologie gebruikt, controleert u of de vereiste poorten beschikbaar zijn. Deze poortfiltertechnologieën omvatten firewalls, routers, proxyservers of IPsec.

Poorten die u kunt configureren

Configuration Manager kunt u de poorten configureren voor de volgende communicatietypen:

• Registratie-proxypunt naar registratiepunt

• Client-naar-site-systemen met IIS

• Client naar internet (als proxyserverinstellingen)

• Software-updatepunt naar internet (als proxyserverinstellingen)

• Software-updatepunt naar WSUS-server

• Siteserver met sitedatabaseserver

• Siteserver naar WSUS-databaseserver

• Reporting Services-punten

  Notitie

  U configureert de poorten voor het Reporting Services-punt in SQL Server Reporting Services. Configuration Manager gebruikt deze poorten vervolgens tijdens de communicatie met het Reporting Services-punt. Controleer deze poorten die de IP-filterinformatie voor IPsec-beleidsregels definiëren of voor het configureren van firewalls.

De HTTP-poort die wordt gebruikt voor client-naar-site-systeemcommunicatie is standaard poort 80 en 443 voor HTTPS. U kunt deze poorten wijzigen tijdens de installatie of in de site-eigenschappen.

Niet-configureerbare poorten

Configuration Manager kunt u geen poorten configureren voor de volgende communicatietypen:

• Site-naar-site

• Siteserver-naar-site-systeem

• Configuration Manager-console naar SMS-provider

• Configuration Manager-console op internet

• Verbindingen met cloudservices, zoals Microsoft Azure

Poorten die worden gebruikt door clients en sitesystemen

In de volgende secties worden de poorten beschreven die worden gebruikt voor communicatie in Configuration Manager. De pijlen in de sectietitel geven de richting van de communicatie weer:

• --> Geeft aan dat de ene computer communicatie start en de andere computer altijd reageert

• <--> Geeft aan dat beide computers de communicatie kunnen starten

Asset Intelligence synchronisatiepunt --> microsoft

Asset Intelligence synchronisatiepunt --> SQL Server

-->Clientclient

Wake-up proxy maakt ook gebruik van ICMP-echoaanvraagberichten van de ene client naar een andere client. Clients gebruiken deze communicatie om te bevestigen of de andere client in het netwerk is. ICMP wordt soms ping-opdrachten genoemd. ICMP heeft geen UDP- of TCP-protocolnummer en wordt dus niet vermeld in de onderstaande tabel. Evenwel moet elke host-gebaseerde firewall op deze clientcomputers of tussenliggende netwerkapparaten binnen het subnet ICMP-verkeer toelating geven ​​voor wake-up proxy communicatie om te slagen.

Zie PE-peer-cache Windows meer informatie.

Beleidsmodule --> Configuration Manager Registratieservice voor netwerkapparaten clientbeheer (NDES)

Distributiepunt --> clientcloud

Zie Poorten en gegevensstroom voor meer informatie.

Client --> Cloud Management Gateway (CMG)

Zie CMG-gegevensstroom voor meer informatie.

-->Clientdistributiepunt, zowel standaard als pull

-->Clientdistributiepunt geconfigureerd voor multicast, zowel standaard als pull

-->Clientdistributiepunt geconfigureerd voor PXE, zowel standaard als pull

-->Terugvalstatuspunt van client

Globale --> clientcatalogusdomeincontroller

Een Configuration Manager-client neemt geen contact op met een globale catalogusserver wanneer het een werkgroepcomputer is of wanneer deze is geconfigureerd voor communicatie met alleen internet.

-->Clientbeheerpunt

-->Clientsoftware-updatepunt

Migratiepunt --> clienttoestand

CMG-verbindingspunt --> CMG virtuele-machineschaalset

Configuration Manager gebruikt deze verbindingen om het CMG-kanaal te bouwen. Zie CMG-gegevensstroom voor meer informatie.

CMG-verbindingspunt --> CMG klassieke cloudservice

Configuration Manager gebruikt deze verbindingen om het CMG-kanaal te bouwen. Zie CMG-gegevensstroom voor meer informatie.

Beheerpunt voor --> CMG-verbindingspunt

De specifieke poort die is vereist, is afhankelijk van de configuratie van het beheerpunt. Zie CMG-gegevensstroom voor meer informatie.

CMG-verbindingspunt --> Software-updatepunt

De specifieke poort is afhankelijk van de configuratie van het software-updatepunt.

Zie CMG-gegevensstroom voor meer informatie.

-->Configuration Manager-consoleclient

Configuration Manager-console --> internet

De Configuration Manager-console maakt gebruik van internettoegang voor de volgende acties:

• Software-updates downloaden van Microsoft Update voor implementatiepakketten.
• Het item Feedback op het lint.
• Koppelingen naar documentatie in de -console.

Configuration Manager-console --> Reporting Services-punt

-->Configuration Manager-consolesiteserver

Configuration Manager-console --> SMS-provider

Opmerking voor beheerservice

Elk apparaat dat de beheerservice op de SMS-provider aanroept, gebruikt HTTPS-poort 443. Zie Wat is de beheerservice? voor meer informatie.

Configuration Manager Registratieservice voor netwerkapparaten (NDES)-beleidsmodule --> Certificaatregistratiepunt

Datawarehouse-servicepunt --> SQL Server

Distributiepunt, zowel standaard als --> pull-beheerpunt

Een distributiepunt communiceert met het beheerpunt in de volgende scenario's:

• De status van voorgefaseerd inhoud rapporteren

• Samenvattingsgegevens over gebruik rapporteren

• Inhoudsvalidatie rapporteren

• De status van pakketdownloads rapporteren, alleen voor pull-distributiepunten

Endpoint Protection punt --> internet

Endpoint Protection punt --> SQL Server

Inschrijvingsproxypunt --> Inschrijvingspunt

Inschrijvingspunt --> SQL Server

Exchange Server -->Connector-Exchange Online

Exchange Server -->On-premises connector Exchange Server

Proxypunt voor inschrijving --> op Mac-computer

-->Beheerpuntdomeincontroller

<-->Beheerpuntsiteserver

^{Opmerking 5}

Beheerpunt --> SQL Server

Proxypunt --> voor inschrijving van mobiele apparaten

Reporting --> Services-punt SQL Server

Serviceverbindingspunt --> Azure (CMG)

Zie CMG-gegevensstroom voor meer informatie.

Siteserver <--> Asset Intelligence synchronisatiepunt

-->Siteserverclient

-->Siteserver-clouddistributiepunt

Zie Poorten en gegevensstroom voor meer informatie.

-->Siteserverdistributiepunt, zowel standaard als pull

^{Opmerking 5}

-->Siteserverdomeincontroller

<-->Siteservercertificaatregistratiepunt

<-->CMG-verbindingspunt van siteserver

Siteserver <--> Endpoint Protection punt

<-->Siteserverinschrijvingspunt

Proxypunt <--> voor siteserverinschrijving

Terugvalstatuspunt <--> van siteserver

^{Opmerking 5}

-->Siteserverinternet

Siteserver <--> verlenende certificeringsinstantie (CA)

Deze communicatie wordt gebruikt wanneer u certificaatprofielen implementeert door gebruik te maken van het certificaatregistratiepunt. De communicatie wordt niet gebruikt voor elke siteserver in de hiërarchie. In plaats daarvan wordt deze alleen gebruikt voor de siteserver bovenaan de hiërarchie.

Siteserverserver --> die als host voor een externe inhoudsbibliotheek share host

U kunt de inhoudsbibliotheek verplaatsen naar een andere opslaglocatie om ruimte vrij te maken op uw centrale beheer- of primaire siteservers. Zie Configure a remote content library for the site server (Een externe inhoudsbibliotheek configureren voor de siteserver) voor meer informatie.

<-->Siteserverserviceverbindingspunt

Reporting <--> Services-punt van siteserver

^{Opmerking 5}

<-->Siteserverserver

Siteserver --> SQL Server

Tijdens de installatie van een site die gebruikmaakt van een externe SQL Server voor het hosten van de sitedatabase, opent u de volgende poorten tussen de siteserver en de SQL Server:

Siteserver --> SQL Server voor WSUS

SMS-provider --> van siteserver

<-->Siteserversoftware-updatepunt

^{Opmerking 5}

<-->Statusmigratiepunt van siteserver

^{Opmerking 5}

Sms-provider --> SQL Server

Internet voor --> software-updatepunt

Software-updatepunt --> Upstream WSUS-server

-->SQL Server SQL Server

Voor intersitedatabasereplicatie moeten SQL Server op één site rechtstreeks communiceren met de SQL Server op de bovenliggende of onderliggende site.

Statusmigratiepunt --> SQL Server

Opmerkingen voor poorten die worden gebruikt door clients en sitesystemen

Opmerking 1: Proxyserverpoort

Deze poort kan niet worden geconfigureerd, maar kan worden gerouteerd via een geconfigureerde proxyserver.

Opmerking 2: Alternatieve poort beschikbaar

U kunt een alternatieve poort definiëren in Configuration Manager voor deze waarde. Als u een aangepaste poort definieert, gebruikt u die aangepaste poort in de IP-filtergegevens voor IPsec-beleid of om firewalls te configureren.

Opmerking 3: Windows Server Update Services (WSUS)

Sinds Windows Server 2012 gebruikt WSUS standaard poort 8530 voor HTTP en poort 8531 voor HTTPS.

Na de installatie kunt u de poort te wijzigen. U hoeft niet overal in de sitehiërarchie hetzelfde poortnummer te gebruiken.

• Als de HTTP-poort 80 is, moet de HTTPS-poort 443 zijn.

• Als de HTTP-poort iets anders is, moet de HTTPS-poort 1 of hoger zijn, bijvoorbeeld 8530 en 8531.

  Notitie

  Wanneer u het software-updatepunt voor gebruik van HTTPS configureert, moet de HTTP-poort ook zijn geopend. Niet-versleutelde gegevens, zoals de gebruiksrechtovereenkomst voor specifieke updates, gebruiken de HTTP-poort.

• De siteserver maakt een verbinding met de SQL Server als host voor de SUSDB wanneer u de volgende opties voor WSUS-opschoning inschakelen:

  • Niet-geclusterde indexen toevoegen aan de WSUS-database om de WSUS-opschoonprestaties te verbeteren
  • Verouderde updates verwijderen uit de WSUS-database

Als u de standaardpoort SQL Server een alternatieve poort met SQL Server Configuration Manager, moet u ervoor zorgen dat de siteserver verbinding kan maken met behulp van de gedefinieerde poort. Configuration Manager biedt geen ondersteuning voor dynamische poorten. Standaard gebruiken SQL Server benoemde exemplaren dynamische poorten voor verbindingen met de database-engine. Wanneer u een benoemd exemplaar gebruikt, moet u de statische poort handmatig configureren.

Opmerking 4: Trivial FTP (TFTP) Daemon

De Trivial FTP (TFTP) Daemon systeemservice vereist geen gebruikersnaam of wachtwoord en is een integraal onderdeel van Windows Deployment Services (WDS). De Trivial FTP Daemon-service implementeert ondersteuning voor het TFTP-protocol dat is gedefinieerd door de volgende RPC's:

• RFC 1350: TFTP

• RFC 2347: Optie-extensie

• RFC 2348: optie Blokgrootte

• RFC 2349: Opties voor time-outinterval en overdrachtsgrootte

TFTP is ontworpen ter ondersteuning van schijfloze opstartomgevingen. TFTP Daemons luisteren op UDP-poort 69 maar antwoorden vanaf een dynamisch toegewezen hoge poort. Als u deze poort inschakelen, kan de TFTP-service binnenkomende TFTP-aanvragen ontvangen, maar de geselecteerde server kan niet reageren op deze aanvragen. U kunt de geselecteerde server niet inschakelen om te reageren op inkomende TFTP-aanvragen, tenzij u de TFTP-server configureert om te reageren vanaf poort 69.

Het PXE-distributiepunt en de client in Windows PE selecteren dynamisch toegewezen hoge poorten voor TFTP-overdrachten. Deze poorten zijn gedefinieerd door Microsoft tussen 49152 en 65535. Zie Service overview and network port requirements for Windows (Serviceoverzicht en netwerkpoortvereisten voor Windows).

Tijdens het opstarten van de werkelijke PXE selecteert de netwerkkaart op het apparaat echter de dynamisch toegewezen hoge poort die wordt gebruikt tijdens de TFTP-overdracht. De netwerkkaart op het apparaat is niet gebonden aan de dynamisch toegewezen hoge poorten die door Microsoft zijn gedefinieerd. Deze is alleen gebonden aan de poorten die zijn gedefinieerd in RFC 1350. Deze poort kan tussen 0 en 65535 zijn. Neem contact op met de hardwarefabrikant van het apparaat voor meer informatie over welke dynamisch toegewezen hoge poorten de netwerkkaart gebruikt.

Opmerking 5: Communicatie tussen de siteserver en sitesystemen

Communicatie tussen de siteserver en sitesystemen is standaard bi-directioneel. De siteserver start de communicatie om het sitesysteem te configureren, waarna de meeste sitesystemen weer verbinding maken met de siteserver om statusinformatie te verzenden. Reporting Service-punten en distributiepunten verzenden geen statusinformatie. Als u Vereisen dat de siteserver verbindingen met dit sitesysteem start op de sitesysteemeigenschappen selecteert nadat het sitesysteem is geïnstalleerd, start het sitesysteem de communicatie met de siteserver niet. In plaats daarvan start de siteserver de communicatie. Hierbij wordt het installatieaccount van het sitesysteem gebruikt voor verificatie bij de sitesysteemserver.

Opmerking 6: Dynamische poorten

Dynamische poorten gebruiken een bereik van poortnummers die zijn gedefinieerd door de versie van het besturingssysteem. Deze poorten worden ook wel kortstondige poorten genoemd. Voor meer informatie over de standaardpoortbereiken, zie Service overview and network port requirements for Windows (Service overzicht en netwerk poortvereisten voor Windows).

Andere poorten

De volgende secties bevatten meer informatie over poorten die Configuration Manager gebruikt.

Client naar servershares

Clients gebruiken Server Message Block (SMB) wanneer ze verbinden met UNC shares. Bijvoorbeeld:

• Handmatige clientinstallatie die de CCMSetup.exe /source: opdrachtregel-eigenschap

• Endpoint Protection clients die definitiebestanden downloaden van een UNC-pad

Verbindingen met SQL Server

Voor communicatie met de SQL Server database-engine en voor intersitereplicatie kunt u de standaard SQL Server-poort gebruiken of aangepaste poorten opgeven:

• Gebruik van de communicatie tussen sites:

  • SQL Server Service Broker is standaard poort TCP 4022.

  • SQL Server-service, die standaard wordt ingesteld op poort TCP 1433.

• Intrasitecommunicatie tussen de SQL Server database-engine en verschillende Configuration Manager sitesysteemrollen wordt standaard ingesteld op poort TCP 1433.

• Configuration Manager gebruikt dezelfde poorten en protocollen om te communiceren met elke SQL Server Always On-beschikbaarheidsgroepreplica die als host voor de sitedatabase wordt gebruikt alsof de replica een zelfstandig SQL Server is.

Wanneer u Azure gebruikt en de sitedatabase zich achter een intern of extern load balancer configureert u de volgende onderdelen:

• Firewall-uitzonderingen op elke replica
• Taakverdelingsregels

Configureer de volgende poorten:

• SQL via TCP: TCP 1433
• SQL Server Service Broker: TCP 4022
• Server Message Block (SMB): TCP 445
• RPC Endpoint Mapper: TCP 135

De volgende sitesysteemrollen communiceren direct met de SQL Server database:

• Certificaatregistratiepuntrol

• Servicepunt voor inschrijving

• Beheerpunt

• Siteserver

• Reporting Services-punt

• SMS-provider

• -->SQL Server SQL Server

Wanneer een SQL Server een database van meer dan één site host, moet elke database een afzonderlijk exemplaar van de SQL Server. Configureer elk exemplaar met een unieke set poorten.

Als u een hostgebaseerde firewall op de SQL Server, configureert u deze zo dat de juiste poorten zijn toegestaan. Configureer ook netwerkfirewalls tussen computers die communiceren met de SQL Server.

Zie Configure a server to listen on a specific TCP port (Een server configureren om te luisteren op een specifieke TCP-poort)voor een voorbeeld van het configureren van SQL Server voor het gebruik van een specifieke poort.

Detectie en publicatie

Configuration Manager gebruikt de volgende poorten voor de detectie en publicatie van sitegegevens:

• Lightweight Directory Access Protocol (LDAP): 389
• Secure LDAP (LDAPS, voor ondertekening en binding): 636
• Globale catalogus LDAP: 3268
• RPC Endpoint Mapper: 135
• RPC: dynamisch toegewezen hoge TCP-poorten
• TCP: 1024: 5000
• TCP: 49152: 65535

Externe verbindingen gemaakt door Configuration Manager

On-premises Configuration Manager of sitesystemen kunnen de volgende externe verbindingen maken:

• Asset Intelligence synchronisatiepunt van --> Microsoft

• Endpoint Protection punt --> internet

• Globale --> clientcatalogusdomeincontroller

• Configuration Manager-console --> internet

• -->Beheerpuntdomeincontroller

• -->Siteserverdomeincontroller

• Siteserver <--> verlenende certificeringsinstantie (CA)

• Internet voor --> software-updatepunt

• Software-updatepunt --> Upstream WSUS-server

• Serviceverbindingspunt --> Azure

• CMG-verbindingspunt --> CMG-cloudservice

Installatievereisten voor sitesystemen die clients op internet ondersteunen

Beheerpunten op internet, distributiepunten die clients op internet ondersteunen, het software-updatepunt en het terugvalstatuspunt gebruiken de volgende poorten voor installatie en herstel:

• -->Siteserversitesysteem: RPC-eindpuntmapper met UDP- en TCP-poort 135

• Sitesysteem --> van siteserver: RPC dynamische TCP-poorten

• <-->Siteserversitesysteem: Server Message Blocks (SMB) met behulp van TCP-poort 445

Installaties van toepassingen en pakketten op distributiepunten vereisen de volgende RPC-poorten:

• -->Siteserverdistributiepunt: RPC-eindpunt-mapper met UDP- en TCP-poort 135

• -->Siteserverdistributiepunt: RPC dynamische TCP-poorten

Gebruik IPsec voor verkeer tussen de siteserver en sitesystemen. Als u de dynamische poorten die worden gebruikt met RPC moet beperken, kunt u het Configuratiehulpprogramma voor Microsoft RPC (rpccfg.exe). Gebruik het hulpprogramma om een beperkt bereik van poorten voor deze RPC-pakketten te configureren. Zie RPC configureren voor het gebruik van bepaalde poorten en hoe u deze poorten kunt beveiligen met IPsecvoor meer informatie.

Poorten die worden gebruikt door de Configuration Manager-clientinstallatie

Welke poorten Configuration Manager clientinstallatie gebruikt, is afhankelijk van de implementatiemethode:

• Zie Poorten die worden gebruikt tijdens het implementeren van Configuration Manager client voor een lijst met poorten voor elke clientimplementatiemethode

• Zie Firewall- en poortinstellingen voor clients configureren voor meer informatie over het configureren van Windows Firewall op de Windows client voor clientinstallatie en communicatie na de installatie

Poorten die door de migratie worden gebruikt

De siteserver die de migratie voert, gebruikt verschillende poorten om verbinding te maken met toepasselijke sites in de bronhiërarchie. Zie Vereiste configuraties voor migratie voor meer informatie.

Poorten die door Windows Server worden gebruikt

De volgende tabel bevat enkele van de belangrijkste poorten die worden gebruikt door Windows Server.

Raadpleeg voor meer informatie de volgende artikelen:

• Serviceoverzicht en netwerkpoortvereisten voor Windows

• Een firewall configureren voor domeinen en vertrouwensrelatie

Diagram

In het volgende diagram ziet u de verbindingen tussen de belangrijkste onderdelen in een Configuration Manager site. Deze bevat momenteel niet alle verbindingen.

Volgende stappen

Proxyserverondersteuning

Vereisten voor internettoegang