Порты, используемые системой
XProtect Компоненты обмениваются данными по сети с помощью портов и протоколов, описанных в этом разделе. Используйте эту информацию при настройке брандмауэров и сетевого доступа между XProtect компоненты, клиенты, интеграции, аппаратные устройства и внешние службы.
Включайте только ту связь, которая необходима компонентам, функциям и модулям интеграции в вашем развертывании. Таблицы также содержат сведения о локальном обмене данными между процессами на одном компьютере. Для локальной связи правило межсетевого экрана обычно не требуется.
Если не указано иное, номера портов задаются по умолчанию. Некоторые порты можно изменить в конфигурации продукта.
Обмен данными можно найти двумя способами:
Обмен данными между прослушивателями позволяет идентифицировать службу, которая принимает подключение, системы, инициирующие подключение, а также используемые транспортные протоколы и протоколы приложений.
Представление по компоненту компьютера суммирует входящие, исходящие и локальные подключения, связанные с конкретным объектом XProtect Компонентный компьютер.
Связь, необходимая при развертывании, зависит от установленных компонентов, включенных функций, настроенных интеграций и развернутых аппаратных устройств.
Как читать таблицы
Использование брандмауэра определяет, когда требуется связь и применимо ли правило межхостового брандмауэра.
Только локальное означает, что подключение ограничено процессами на одном компьютере и не требует межхостового правила брандмауэра.
Предназначенный для обмена данными с одним компьютером означает, что продукт использует соединение между службами на одном компьютере, но прослушиватель не может быть ограничен интерфейсом обратной связи. Не разрешайте межхостовый доступ, когда таблица дает команду заблокировать его.
Настройка означает, что фактическая схема, адрес или порт определяются конфигурацией развертывания.
Установка сертификатов не приводит к автоматическому изменению каждого канала связи на HTTPS или TLS. Следуйте протоколу поведения, указанному для каждого прослушивателя.
Представление прослушивателя организовано по компьютеру, на котором служба принимает подключения. Чтобы определить, какие правила входящего брандмауэра требуются на компьютере, рассмотрите все XProtect служб, установленных на этом компьютере.
Не открывайте все порты, перечисленные в этом разделе. Открывайте порт только тогда, когда соответствующий компонент или функция установлены, включены и требуются в рамках развертывания.
Столбцы таблицы прослушивателя
Инициатор ― это клиент, компонент, процесс, интеграция или внешняя система, которая устанавливает соединение.
Прослушиватель ― это служба, которая принимает подключение.
Без сертификатов описывает протокол приложения, используемый, когда для этого интерфейса не включена транспортная безопасность на основе сертификатов.
В разделе "С сертификатами" описывается протокол приложения, используемый, когда для этого интерфейса включена транспортная безопасность на основе сертификатов.
Цель описывает функцию, предоставляемую слушателем.
На компьютере сервера управления размещается Management Server веб-службы, Identity Provider, OpenTelemetry Collector, VictoriaLogs и дополнительные службы, размещенные в IIS, такие как XProtect Incident Manager . По умолчанию на компьютере также размещается шлюз API.
Порт | Транспорт | Инициатор | Слушатель | Без сертификатов | С сертификатами | Использование брандмауэра | Цель |
|---|---|---|---|---|---|---|---|
80, по умолчанию | TCP | XProtect клиенты, XProtect серверные компоненты и интеграции | Management Server веб-службы, Identity Provider, шлюз API и дополнительные службы IIS | HTTP | HTTP остается доступным для поддерживаемых конечных точек HTTP | Кросс-хостинг. Разрешить доступ из клиентов, компонентов и интеграций, которым требуется доступ на основе HTTP, к Management Server службы или службы Identity Provider. Ограничьте доступ к доверенным сетям управления. | Предоставляет функции обнаружения, аутентификации, регистрации, конфигурации, данных мониторинга, обновлений состояния, API сервера управления и дополнительные службы IIS, в том числе XProtect Incident Manager . |
443, по умолчанию | TCP | XProtect клиенты, XProtect серверные компоненты и интеграции | Management Server веб-службы, Identity Provider, шлюз API и дополнительные службы IIS | Неприменимо | HTTPS | Кросс-хостинг. Разрешить доступ из клиентов, компонентов и интеграций, для которых требуется доступ к Management Server службы или службы Identity Provider по протоколу HTTPS. | Предоставляет аутентификацию, регистрацию, конфигурацию, данные мониторинга, обновления состояния, API сервера управления и дополнительные службы IIS, в том числе XProtect Incident Manager . |
4318 | TCP | XProtect серверные компоненты и шлюз API, установленные на компьютере сервера управления | OpenTelemetry Collector | OTLP/HTTP | OTLP/HTTP | Предназначен для связи с одним компьютером. Не разрешайте межхостовый доступ через брандмауэр. | Получает журналы от XProtect серверные компоненты и шлюз API, установленные на компьютере сервера управления. |
6473 | TCP | Процесс на панели задач Management Server Manager | Management Server | Петля gRPC | Петля gRPC | Только локальный. Межсетевой экран не требует правил. | Предоставляет локальные Management Server управление статусом и услугами. |
8080 | TCP | Процесс локального сервера управления | Management Server внутренняя служба | Петля HTTP/WCF | Петля HTTP/WCF | Только локальный. Межсетевой экран не требует правил. | Поддерживает связь между внутренними процессами сервера управления. |
9000 | TCP | Сервер записи, включая активный сервер записи обработки отказа | Management Server ’н Recording Server Веб-API | HTTP | HTTPS | Кросс-хостинг. Требуется для связи между серверами записи и сервером управления. Разрешить доступ с компьютеров сервера записи. | Регистрация сервера записи, передача статуса и журналов, обмен конфигурациями и ответы на команды. |
9428 | TCP | На компьютере сервера управления установлены OpenTelemetry Collector и шлюз API | Служба системного журнала VictoriaLogs | Получение HTTP OTLP и доступ к запросу HTTP | Получение HTTP OTLP и доступ к запросу HTTP | Предназначен для связи с одним компьютером. Не разрешайте межхостовый доступ через брандмауэр. | Хранит системные журналы и предоставляет доступ к ним по запросу. |
9429 | TCP | На компьютере сервера управления установлены OpenTelemetry Collector и шлюз API | Служба контрольного журнала VictoriaLogs | Получение HTTP OTLP и доступ к запросу HTTP | Получение HTTP OTLP и доступ к запросу HTTP | Предназначен для связи с одним компьютером. Не разрешайте межхостовый доступ через брандмауэр. | Хранит данные контрольных журналов и предоставляет доступ к ним по запросу. |
9430 | TCP | На компьютере сервера управления установлены OpenTelemetry Collector и шлюз API | Служба журнала правил VictoriaLogs | Получение HTTP OTLP и доступ к запросу HTTP | Получение HTTP OTLP и доступ к запросу HTTP | Предназначен для связи с одним компьютером. Не разрешайте межхостовый доступ через брандмауэр. | Хранит журналы правил и предоставляет доступ к ним с помощью запросов. |
12974 | TCP | Локальный мост расширения SNMP для Windows | Management Server | Loopback .NET Remote | Loopback .NET Remote | Только локальный. Используется, когда включено расширение SNMP. Межсетевой экран не требует правил. | Подключает локальный модуль расширения SNMP для Windows к серверу управления. |
Management Server порты веб-службы
Настроенный Management Server URI определяет схему, хост и порт, используемые XProtect клиенты, серверные компоненты и интеграции. По умолчанию используются порты 80 и 443.
В таблице перечислены не все системы, которые могут использовать Management Server веб-службы. Установленные компоненты, включенные функции и настроенные интеграции определяют, к каким системам требуется доступ.
Установка сертификатов не ограничивает порт 80 только обнаружением или другими известными конечными точками. Поддерживаемые конечные точки HTTP остаются доступными в соответствии с их конфигурацией. Конечные точки, настроенные для обеспечения безопасности транспорта, используют HTTPS.
Внимание
Ограничить доступ к Management Server порт 80 для доверенных сетей управления.
Журналы
OpenTelemetry Collector и VictoriaLogs используются для обработки и хранения журналов на компьютере сервера управления.
Порты 4318 и 9428–9430 используются для обмена данными между службами регистрации на компьютере сервера управления. Не разрешайте межхостовый доступ к этим локальным прослушивателям через брандмауэр.
XProtect компоненты на других компьютерах передают и получают журналы через шлюз API, установленный на компьютере сервера управления.
XProtect Кроме того, с помощью OTLP можно передавать журналы в настроенное внешнее решение для мониторинга или ведения журналов. Стандартный конечный порт — 4317 для OTLP через gRPC или 4318 для OTLP через HTTP. Разрешать исходящий трафик только к конечной точке и порту, необходимым для настроенного решения для мониторинга.
Сервер записи принимает подключения от XProtect клиенты, серверные компоненты, интеграции и Failover Server услуги. Некоторые прослушиватели необязательны или используются только при включении соответствующей функции, драйвера устройства или функции отработки отказа.
Порт | Транспорт | Инициатор | Слушатель | Без сертификатов | С сертификатами | Использование брандмауэра | Цель |
|---|---|---|---|---|---|---|---|
5210 | TCP | Сервер записи | Recording Server служба мультимедийной базы данных | Собственный протокол TCP с аутентификацией | Собственный протокол TCP с аутентификацией по TLS | Кросс-хостинг. Разрешить переключение между соответствующим сервером записи и резервным сервером записи, когда требуется доступ к записанным данным на другом сервере. | Предоставляет доступ к записанным медиаданным, которые остаются на Recording Server после переноса устройства в другое Recording Server . |
5432, настраиваемый | TCP | Настроенный драйвер или устройство | Recording Server Driver-alert Listener | Простой TCP без авторизации | Простой TCP без авторизации | Отключено по умолчанию. Разрешать только с устройств или драйверов, для которых требуется этот прослушиватель. Ограничьте разрешенные исходные хосты. | Получает оповещения и события для старых драйверов. |
7563 | TCP | XProtect клиенты, XProtect серверные компоненты, взаимосвязанные объекты и интеграции, получающие данные с сервера записи | Recording Server мультимедийные и командные службы | Пользовательский сервер HTTP/изображений и SOAP через TCP | Те же службы через TLS | Кросс-хостинг. Разрешить доступ из клиентов, компонентов, объектов и интеграций, которые получают данные или используют Recording Server услуги. | Предоставляет видео, аудио, метаданные, получение JPEG, PTZ, звук динамика, события и состояние, выводы и команды записи. |
8966 | TCP | Процесс на панели задач Recording Server Manager | Recording Server | Петля gRPC | Петля gRPC | Только локальный. Межсетевой экран не требует правил. | Предоставляет локальные Recording Server управление статусом и услугами. |
9001 | TCP | Сервер управления | Recording Server Веб-API | HTTP | HTTPS | Кросс-хостинг. Разрешить с компьютера сервера управления. | Предоставляет команды, конфигурацию и обмен данными о состоянии между сервером управления и сервером записи. |
11000 | TCP | Failover ServerСлужба | Recording Server служба отработки отказа | Пользовательский кадр TCP | TLS | Кросс-хостинг. Разрешить доступ с соответствующих компьютеров сервера отказоустойчивости при настройке отработки отказа. | Поддержка сообщений опроса состояния и управления обработкой отказа. |
12975 | TCP | Локальный мост расширения SNMP для Windows | Recording Server | Loopback .NET Remote | Loopback .NET Remote | Только локальный. Используется, когда включено расширение SNMP. Межсетевой экран не требует правил. | Подключает локальный модуль расширения SNMP для Windows к серверу записи. |
65101, увеличенное, если занято | UDP | Процесс локального драйвера | Recording Server Driver-Event Listener | UDP | UDP | Только локальный. Межсетевой экран не требует правил. | Получает локальные уведомления о событиях от драйверов устройств. |
На компьютере сервера записи обработки отказа установлены две службы:
Самая Failover Server сервис, который осуществляет мониторинг соответствующих серверов записи и управляет обработкой отказа.
Самая Failover Recording Server сервис, который позволяет компьютеру взять на себя функции сервера записи.
Таблица прослушивателя включает обмен данными для обеих служб.
Порт | Транспорт | Инициатор | Слушатель | Без сертификатов | С сертификатами | Использование брандмауэра | Цель |
|---|---|---|---|---|---|---|---|
5210 | TCP | Сервер записи | Failover Recording Server служба мультимедийной базы данных | Собственный протокол TCP с аутентификацией | Собственный протокол TCP с аутентификацией по TLS | Кросс-хостинг. Разрешить доступ с соответствующего сервера записи, когда требуется доступ к записанным медиаданным, хранящимся на сервере записи обработки отказа. | Предоставляет доступ к записанным медиаданным, которые хранились на сервере записи обработки отказа во время события отработки отказа. |
7563 | TCP | XProtect клиенты, XProtect серверные компоненты, взаимосвязанные объекты и интеграции, получающие данные с активного сервера записи обработки отказа | Активный Failover Recording Server мультимедийные и командные службы | Пользовательский сервер HTTP/изображений и SOAP через TCP | Те же службы через TLS | Кросс-хостинг. Используется, когда активен сервер записи обработки отказа. Разрешить из систем, которые получают медиаданные или используют Recording Server услуги. | Предоставляет видео, аудио, метаданные, получение JPEG, PTZ, звук динамика, события и состояние, выводы и команды записи. |
8844 | UDP | Узел Failover Server Службы | Failover ServerСлужба | Обычный UDP | Обычный UDP | Кросс-хостинг. Разрешить обмен данными между компьютерами резервного сервера в одной группе отказоустойчивых серверов. Каждое Failover Server служба выполняет как отправку, так и прослушивание по этому порту. | Обменивается информацией о статусе узла и группы между Failover Server услуги. |
8966 | TCP | Процесс на панели задач Failover Recording Server Manager | Failover Recording ServerСлужба | Петля gRPC | Петля gRPC | Только локальный. Межсетевой экран не требует правил. | Предоставляет локальные Failover Recording Server управление статусом и услугами. |
8967 | TCP | Процесс на панели задач Failover Server Manager | Failover ServerСлужба | Петля gRPC | Петля gRPC | Только локальный. Межсетевой экран не требует правил. | Предоставляет локальные Failover Server управление статусом и обслуживанием. |
8990 | TCP | Сервер управления | Failover Server API статуса службы | HTTP | HTTPS | Кросс-хостинг. Разрешить с компьютера сервера управления. | Предоставляет Failover Server передача информации о состоянии службы на сервер управления. |
9001 | TCP | Сервер управления | Активный Failover Recording Server Веб-API | HTTP | HTTPS | Кросс-хостинг. Используется, когда активен сервер записи обработки отказа. Разрешить с компьютера сервера управления. | Предоставляет команды, конфигурацию и обмен данными о состоянии между сервером управления и сервером записи. |
11000 | TCP | Failover ServerСлужба | Failover Recording Server служба отработки отказа | Пользовательский кадр TCP | TLS | Только локальный. Самая Failover Server обслуживание и Failover Recording Server службы устанавливаются на одном компьютере сервера записи обработки отказа. Межсетевой экран не требует правил. | Поддержка сообщений опроса состояния и управления обработкой отказа. |
Сервер событий обеспечивает обслуживание событий, сигналов тревоги, карт, обмена сообщениями и поддерживаемых интеграций.
Обработчики типичных событий и событий аналитики отключены по умолчанию. Включайте только те прослушиватели и источники данных, которые требуются для развертывания. Эти интерфейсы не шифруются автоматически при установке сертификатов.
Порт | Транспорт | Инициатор | Слушатель | Без сертификатов | С сертификатами | Использование брандмауэра | Цель |
|---|---|---|---|---|---|---|---|
1234, настраиваемый | TCP и UDP | Внешний отправитель типичных событий | Event Server Обработчик типичных событий | TCP и UDP | TCP и UDP | Отключено по умолчанию. Разрешать только из систем, которые отправляют типичные события. Прослушиватель не использует HTTPS, аутентификацию или авторизацию. | Получает совместимые типичные события от внешних систем или устройств. |
1235, настраиваемый | TCP | Внешний отправитель типичных событий | Event Server Обработчик типичных событий | TCP | TCP | Отключено по умолчанию. Разрешать только из систем, которые отправляют типичные события. Прослушиватель не использует HTTPS, аутентификацию или авторизацию. | Получает международные типичные события от внешних систем или устройств. |
9090, настраиваемый | TCP | Отправитель событий внешней аналитики | Event Server Слушатель событий аналитики | TCP с использованием необработанного XML или HTTP-подобного POST | TCP с использованием необработанного XML или HTTP-подобного POST | Отключено по умолчанию. Разрешать только из настроенных источников событий аналитики. Параметр безопасности ― это список разрешений источника и хоста, а не TLS. | Получает события аналитики от внешних систем или устройств. |
22331 | TCP | XProtect клиенты и интеграции | Event Server Службы WCF | HTTP WCF/SOAP | HTTPS WCF/SOAP | Кросс-хостинг. Разрешить из клиентов и интеграций, которые требуют Event Server Службы WCF. | Конфигурация, сигналы тревоги, карты, состояние, действия и прочие сведения Event Server услуги. |
22332 | TCP | Шлюз API, Management Client , и поддерживаемые прямые клиенты API | Event Server Службы REST и WebSocket | HTTP и WS | HTTPS и WSS | Кросс-хостинг. Разрешить из шлюза API и клиентов, которые используют поддерживаемые интерфейсы REST или WebSocket. | Предоставляет API подписок на события и состояния, событий REST, сигналов тревоги REST и обмена сообщениями WebSocket. |
22333 | TCP | Встраиваемые расширения и приложения MIP | Event Server устаревшая служба сообщений MIP | Net.TCP с | Прослушиватель не используется; для безопасного обмена данными MIP используется HTTPS на 22331 портов | Используется только без шифрования. Разрешить из соответствующих приложений MIP. | Предоставляет функции фильтрации, регистрации, передачи, приема и обмена сообщениями для старых версий MIP. |
Дополнительные порты типичных событий, настроенные администратором, не перечислены в этом обзоре. При настройке дополнительного источника данных для типичных событий настройте соответствующий доступ к брандмауэру, как описано в документации по типичным событиям.
Шлюз API устанавливается на компьютер сервера управления по умолчанию, а также может быть установлен на отдельных компьютерах. Развертывание может содержать несколько экземпляров шлюза API.
Отправку и получение журналов обеспечивает только шлюз API, установленный на компьютере сервера управления.
Порт | Транспорт | Инициатор | Слушатель | Без сертификатов | С сертификатами | Использование брандмауэра | Цель |
|---|---|---|---|---|---|---|---|
Настроенный порт IIS HTTP, обычно 80 | TCP | Клиенты API, XProtect клиенты, XProtect серверные компоненты и интеграции | Шлюз API через IIS | HTTP и WS | Неприменимо | Кросс-хостинг. Разрешить из систем, которым требуется шлюз API через HTTP. Ограничьте доступ в соответствии с политикой безопасности развертывания. | Предоставляет службы REST Gateway, WebSocket, WebRTC, Management proxy и Event proxy. Шлюз API, установленный на компьютере сервера управления, также обеспечивает отправку и получение журналов. |
Настроенный порт IIS HTTPS, обычно 443 | TCP | Клиенты API, XProtect клиенты, XProtect серверные компоненты и интеграции | Шлюз API через IIS | Неприменимо | HTTPS и WSS | Кросс-хостинг. Разрешить из систем, которым требуется шлюз API через HTTPS. | Предоставляет транспортно-защищенные службы REST Gateway, WebSocket, WebRTC, Management proxy и Event proxy. Шлюз API, установленный на компьютере сервера управления, также обеспечивает отправку и получение журналов. |
Настроенные привязки IIS определяют фактические порты HTTP и HTTPS, используемые шлюзом API. Открывайте только ту привязку, которая требуется для развертывания, и ограничивайте доступ только к доверенным клиентам, компонентам и интеграциям.
Сервер управления инициирует подключения к Data Collector на каждом контролируемом компьютере. Data Collector отдельно инициирует связь с настроенным Management Server конечная точка веб-службы, как показано в представлении "компонент-компьютер".
Порт | Транспорт | Инициатор | Слушатель | Без сертификатов | С сертификатами | Использование брандмауэра | Цель |
|---|---|---|---|---|---|---|---|
7609 | TCP | Сервер управления | Data Collector на каждом контролируемом компьютере | gRPC через HTTP | gRPC через HTTPS | Кросс-хостинг. Разрешить доступ с компьютера сервера управления на каждый контролируемый компьютер. | Счетчики производительности в реальном времени и информация мониторинга для системного монитора. |
Мобильный сервер предоставляет отдельные, независимо настраиваемые слушатели HTTP и HTTPS для XProtect Mobile client, XProtect Web Clientи поддерживаемые функции администрирования мобильного сервера.
Video Push использует отдельный настраиваемый прослушиватель для связи с сервером записи. По умолчанию прослушиватель Video Push отключен.
Порт | Транспорт | Инициатор | Слушатель | Без сертификатов | С сертификатами | Использование брандмауэра | Цель |
|---|---|---|---|---|---|---|---|
8081, настраиваемый | TCP | XProtect Mobile client, XProtect Web Client, Management Client | Мобильный сервер | HTTP | Остается HTTP, если включен слушатель | Кросс-хостинг. Разрешить доступ из клиентов, использующих незащищенный интерфейс мобильного сервера. | Обеспечивает выполнение команд клиента и доставку видео и звука. |
8082, настраиваемый | TCP | XProtect Mobile client, XProtect Web Client, Management Client | Мобильный сервер | Неприменимо | HTTPS | Кросс-хостинг. Разрешить доступ из клиентов, использующих защищенный интерфейс мобильного сервера. | Обеспечивает транспортно-защищенные команды клиента и доставку видео и аудио. |
40001 + индекс канала, настраиваемый | TCP | Сервер записи | Средство прослушивания поставщиков мультимедийных данных Video Push мобильного сервера | TCP с HTTP-подобным фреймингом MIP Media-Provider | TCP с HTTP-подобным фреймингом MIP Media-Provider | Отключено по умолчанию. Разрешить доступ с соответствующих компьютеров сервера записи, когда включена функция Video Push. | Предоставляет серверу записи доступ к потоку данных с виртуальных камер Video Push. |
XProtect Сервер LPR устанавливается как часть XProtect Развертывание LPR. Серверу событий требуется XProtect LPR встраиваемое расширение для связи с сервером распознавания номерных знаков.
Порт прослушивателя сервера распознавания номерных знаков настраивается. Если подключение к серверу событий на основе сертификатов включено, настройте компоненты распознавания номерных знаков для использования защищенного интерфейса.
Порт | Транспорт | Инициатор | Слушатель | Без сертификатов | С сертификатами | Использование брандмауэра | Цель |
|---|---|---|---|---|---|---|---|
22334, настраиваемый | TCP | Встраиваемое расширение LPR сервера событий, поддерживаемые клиенты администрирования и локальный значок LPR Server Manager на панели задач | Служба WCF сервера LPR | HTTP WCF | HTTPS WCF | Кросс-хостинг. Разрешить доступ с компьютера сервера событий и поддерживаемых компьютеров администрирования, когда XProtect LPR Установлено. | Предоставляет информацию о статусе сервера распознавания номерных знаков, результаты распознавания номерных знаков, команды, конфигурацию и запросы анализа JPEG. |
Milestone Open Network Bridge предоставляет интерфейсы ONVIF и RTSP для поддерживаемых клиентов сторонних производителей.
WS-Discovery необязателен и отключен по умолчанию. Мультимедиа можно транспортировать по протоколу RTSP или TCP с помощью согласованных портов RTP и RTCP или UDP, как показано в представлении "компьютер-компонент".
Порт | Транспорт | Инициатор | Слушатель | Без сертификатов | С сертификатами | Использование брандмауэра | Цель |
|---|---|---|---|---|---|---|---|
554, настраиваемый | TCP | Клиенты ONVIF и RTSP | Milestone Open Network Bridge Служба RTSP | RTSP через TCP | RTSP через TCP | Кросс-хостинг. Разрешить доступ из клиентов ONVIF или RTSP, которые получают мультимедиа через Bridge. | Обеспечивает управление сеансами RTSP. RTP и RTCP могут чередоваться по протоколу RTSP TCP. |
580, настраиваемый | TCP | Клиенты ONVIF | Milestone Open Network Bridge Служба ONVIF | HTTP/SOAP | HTTPS/SOAP | Кросс-хостинг. Разрешить доступ из клиентов ONVIF, которым требуется доступ к Bridge. | Обеспечивает аутентификацию ONVIF, службы устройств и мультимедиа, операции PTZ, события, поиск, управление воспроизведением и конфигурацию видеопотока. |
3702 | UDP | Клиент WS-Discovery | Milestone Open Network Bridge служба обнаружения | WS-Discovery | WS-Discovery | Кросс-хост, опционально и отключено по умолчанию. Разрешать, только если включено обнаружение ONVIF WS. | Позволяет клиентам ONVIF обнаруживать Milestone Open Network Bridge . |
XProtect Smart Client обычно инициирует подключения к XProtect серверные компоненты. Когда XProtect Smart Client настроен как получатель Matrix, XProtect Smart Client Этот компьютер также принимает входящие команды Matrix с сервера управления.
По умолчанию прослушиватель получателей Matrix отключен и использует настраиваемый порт TCP.
Порт | Транспорт | Инициатор | Слушатель | Без сертификатов | С сертификатами | Использование брандмауэра | Цель |
|---|---|---|---|---|---|---|---|
12345 по умолчанию, настраивается | TCP | Сервер управления | XProtect Smart Client Получатель Matrix | Простой TCP | Простой TCP | Отключено по умолчанию. Разрешить с компьютера сервера управления, когда XProtect Smart Client Этот компьютер настроен как получатель Matrix. | Получает команды Matrix connect, disconnect и view. |
Представление "компонент-компьютер" суммирует входящие, исходящие и локальные подключения, связанные с каждым из них XProtect компьютер или клиент.
Используйте это представление при настройке правил брандмауэра для определенного компьютера. Компонент сервера может как принимать подключения, так и инициировать подключения к другим серверам XProtect компоненты, внешние службы, интеграции или аппаратные устройства.
Для получения сведений о протоколе приложения и поведении сертификата перейдите по ссылке в столбце Сведения к соответствующей записи в разделе Обмен данными прослушивателем. Тире в столбце Подробности указывает, что одноранговый узел является внешним или зависящим от конфигурации назначением, для которого в этом разделе не определен прослушиватель.
Открывайте только те каналы связи, которые необходимы для установленных компонентов, включенных функций, настроенных интеграций и адресатов, специфичных для развертывания.
Столбцы таблицы "Компонент-компьютер"
Направление определяет, является ли подключение входящим, исходящим или локальным по отношению к компьютеру компонента.
Одноранговый компонент или система идентифицирует компьютер, клиент, интеграцию, аппаратное устройство или внешнюю систему на другом конце соединения.
Одноранговая служба определяет службу или интерфейс на другом конце соединения.
Сведения о ссылках на соответствующую запись прослушивателя, когда этот прослушиватель описан в этом разделе. Тире указывает внешнее или зависящее от конфигурации назначение, для которого в этом разделе не определен прослушиватель.
Назначение описывает, почему компьютер, входящий в компонент, использует подключение.
На компьютере сервера управления размещается Management Server служб, Identity Provider, OpenTelemetry Collector, VictoriaLogs и дополнительных служб IIS, таких как XProtect Incident Manager . По умолчанию на компьютере также размещен шлюз API.
Шлюз API документирован в отдельном представлении компонента, поскольку его также можно установить на другой компьютер. Представление компьютера сервера управления включает OpenTelemetry Collector и прослушиватели VictoriaLogs, размещенные на компьютере сервера управления. Представление компонента шлюза API показывает соответствующий локальный обмен данными, инициированный шлюзом API, установленным на этом компьютере.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Входящее | 80/TCP, по умолчанию | XProtect клиенты, XProtect серверные компоненты и интеграции | Management Server веб-службы, Identity Provider, шлюз API и дополнительные службы IIS | Разрешить из систем, для которых требуется поддержка HTTP Management Server услуги. Ограничьте доступ к доверенным сетям управления. | Предоставляет функции обнаружения, аутентификации, регистрации, конфигурации, данных мониторинга, обновлений состояния, API сервера управления и дополнительные службы IIS, в том числе XProtect Incident Manager . | |
Входящее | 443/TCP, по умолчанию | XProtect клиенты, XProtect серверные компоненты и интеграции | Management Server веб-службы, Identity Provider, шлюз API и дополнительные службы IIS | Разрешить из систем, которые требуют Management Server или службы Identity Provider по протоколу HTTPS. | Предоставляет аутентификацию, регистрацию, конфигурацию, данные мониторинга, обновления состояния, API сервера управления и дополнительные службы IIS, в том числе XProtect Incident Manager . | |
Входящее | 9000/TCP | Серверы записи, включая активные серверы записи обработки отказа | Веб-API сервера записи сервера управления | Разрешить доступ с компьютеров сервера записи. | Регистрация сервера записи, передача статуса и журналов, обмен конфигурациями и ответы на команды. | |
Исходящее | 25/TCP по умолчанию, настраивается | Настроенный сервер SMTP | Сервер SMTP | Разрешить передачу данных с компьютера сервера управления на настроенный сервер SMTP при настройке уведомлений по электронной почте. | Отправляет уведомления по электронной почте. Использование TLS зависит от конфигурации SMTP. | — |
Исходящее | 443/TCP |
| Служба управления лицензиями в | Включать при использовании интерактивной или автоматической активации лицензии. | Активация лицензий. | — |
Исходящее | Настроенная конечная точка SQL/TCP, стандартная версия 1433 | Настроенный SQL Server | SQL Server | Разрешить доступ с компьютера сервера управления к настроенной конечной точке SQL Server. | Хранит и извлекает конфигурацию продукта и другую информацию базы данных сервера управления. Настроенный экземпляр SQL и строка подключения определяют фактическое назначение и порт. | — |
Исходящее | 4317/TCP или настроенный конечный порт | Настраиваемое администратором внешнее решение для мониторинга или ведения журналов | OTLP через конечную точку gRPC | Требуется только в том случае, если администратор настраивает OpenTelemetry Collector на пересылку журналов во внешний OTLP через конечную точку gRPC. Разрешать доступ только к настроенному целевому адресу и порту. | OpenTelemetry Collector пересылает журналы в настроенное внешнее решение для мониторинга или ведения журналов с помощью OTLP через gRPC. | — |
Исходящее | 4318/TCP или настроенный конечный порт | Настраиваемое администратором внешнее решение для мониторинга или ведения журналов | OTLP через конечную точку HTTP | Требуется только в том случае, если администратор настраивает OpenTelemetry Collector на пересылку журналов во внешний OTLP через конечную точку HTTP. Разрешать доступ только к настроенному целевому адресу и порту. | OpenTelemetry Collector пересылает журналы в настроенное внешнее решение для мониторинга или ведения журналов с помощью OTLP по HTTP. | — |
Исходящее | 7609/TCP | Каждый контролируемый компьютер | Data Collector | Разрешить доступ с компьютера сервера управления на каждый контролируемый компьютер. Требуется для сбора данных системного монитора. | Запрашивает счетчики производительности в реальном времени и информацию о мониторинге. | |
Исходящее | 8990/TCP | Компьютер резервного сервера | Failover Server API статуса службы | Разрешить доступ с компьютера сервера управления на каждый компьютер резервного сервера при установке резервного сервера. | Отслеживает состояние Failover Server услуга. | |
Исходящее | 9001/TCP | Компьютер сервера записи | Веб-API сервера записи | Разрешить доступ с компьютера сервера управления на каждый управляемый сервер записи. | Отправляет команды и обменивается информацией о конфигурации и статусе. | |
Исходящее | 12345/TCP по умолчанию, настраивается | Настроенный получатель Matrix | Как правило, получатель Matrix XProtect Smart Client | Разрешить доступ с компьютера сервера управления к настроенным получателям Matrix при использовании Matrix. | Отправляет команды Matrix connect, disconnect и view с использованием простого TCP. | |
Локальные | 4318/TCP | XProtect серверные компоненты и шлюз API, установленные на компьютере сервера управления | OpenTelemetry Collector | Предназначен для связи с одним компьютером. Не разрешайте межхостовый доступ через брандмауэр. | Получает журналы через OTLP/HTTP. | |
Локальные | 6473/TCP | Процесс на панели задач Management Server Manager | Management Server | Только локальный. Межсетевой экран не требует правил. | Предоставляет сведения о состоянии локального сервера управления и управления службами. | |
Локальные | 8080/TCP | Процесс локального сервера управления | Management Server внутренняя служба | Только локальный. Межсетевой экран не требует правил. | Поддерживает связь между внутренними процессами сервера управления. | |
Локальные | 9428/TCP | На компьютере сервера управления установлены OpenTelemetry Collector и шлюз API | Служба системного журнала VictoriaLogs | Предназначен для связи с одним компьютером. Не разрешайте межхостовый доступ через брандмауэр. | Хранит системные журналы и предоставляет доступ к ним по запросу. | |
Локальные | 9429/TCP | На компьютере сервера управления установлены OpenTelemetry Collector и шлюз API | Служба контрольного журнала VictoriaLogs | Предназначен для связи с одним компьютером. Не разрешайте межхостовый доступ через брандмауэр. | Хранит данные контрольных журналов и предоставляет доступ к ним по запросу. | |
Локальные | 9430/TCP | На компьютере сервера управления установлены OpenTelemetry Collector и шлюз API | Служба журнала правил VictoriaLogs | Предназначен для связи с одним компьютером. Не разрешайте межхостовый доступ через брандмауэр. | Хранит журналы правил и предоставляет доступ к ним с помощью запросов. | |
Локальные | 12974/TCP | Локальный мост расширения SNMP для Windows | Management Server | Только локальный. Используется, когда включено расширение SNMP. Межсетевой экран не требует правил. | Подключает локальный модуль расширения SNMP для Windows к серверу управления. |
Сервер записи взаимодействует с сервером управления, клиентами, Failover Server службы, взаимосвязанные объекты, мобильный сервер и развернутые аппаратные устройства.
Взаимодействие с камерами, сетевыми видеорегистраторами, кодерами, устройствами ввода-вывода и другими аппаратными устройствами зависит от устройства, драйвера, включенных функций, выбранного транспорта мультимедиа и конфигурации устройства. Разрешать только порты и протоколы, необходимые для развернутого оборудования. Требования к сети для конкретного устройства приведены в документации производителя устройства.
Сведения о поддерживаемых устройствах, драйверах, прошивке и возможностях см. в Supported devices.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Входящее | 5210/TCP | Сервер записи, которому требуется доступ к записанным данным | Recording Server служба мультимедийной базы данных | Разрешить обмен данными между соответствующими компьютерами сервера записи, если требуется доступ к записанным данным на другом сервере записи. | Предоставляет доступ к записанным медиаданным, которые остаются на сервере записи после переноса устройства на другой сервер записи. | |
Входящее | 5432/TCP, настраиваемый | Настроенный драйвер или устройство | Recording Server Driver-alert Listener | Отключено по умолчанию. Разрешать только с обязательных и доверенных хостов-источников. | Получает оповещения и события для старых драйверов. | |
Входящее | 7563/TCP | XProtect клиенты, XProtect серверные компоненты, взаимосвязанные объекты и интеграции | Recording Server мультимедийные и командные службы | Разрешить из систем, которые получают мультимедийные данные или используют поддерживаемые Recording Server услуги. | Предоставляет видео, аудио, метаданные, команды, состояние, выводы и операции записи. | |
Входящее | 9001/TCP | Компьютер сервера управления | Recording Server Веб-API | Разрешить с компьютера сервера управления. | Получает команды сервера управления и обменивается информацией о конфигурации и состоянии. | |
Входящее | 11000/TCP | Компьютер резервного сервера | Recording Server служба отработки отказа | Разрешить доступ с соответствующих компьютеров сервера отказоустойчивости при настройке отработки отказа. | Поддержка сообщений опроса состояния и управления обработкой отказа. | |
Исходящее | URI сервера управления, настроенный в соответствии с протоколами 80 или 443/TCP | Компьютер сервера управления | Management Server веб-службы и Identity Provider | Разрешить доступ к настроенному URI сервера управления. | Поддержка аутентификации, обнаружения, регистрации и настройки Management Server услуги. | |
Исходящее | 5210/TCP | Сервер записи или компьютер сервера записи обработки отказа, на котором размещены необходимые медиаданные | Recording Server служба мультимедийной базы данных | Включает, когда серверу записи требуется доступ к записанным данным, хранящимся на другом сервере записи или сервере записи обработки отказа. | Доступ к записанным медиаданным, хранящимся на другом сервере записи или сервере записи обработки отказа. | Прослушиватели компьютера сервера записи / Прослушиватели компьютера сервера записи обработки отказа |
Исходящее | 7563/TCP, настроенное назначение | Удаленный взаимосвязанный объект | Дистанционный Recording Server мультимедийные данные и служба команд | Разрешить, когда XProtect Interconnect Настроен. | Передача поддерживаемых мультимедийных данных, событий, статуса и команд между подключенными объектами. | |
Исходящее | 9000/TCP | Компьютер сервера управления | Веб-API сервера записи сервера управления | Разрешить передачу данных с компьютера сервера записи на компьютер сервера управления. | Отправляет сведения о регистрации, статусе, журналы, ответы о конфигурации и команды. | |
Исходящее | 40001 + индекс канала/TCP, настраиваемый | Компьютер мобильного сервера | Средство прослушивания поставщиков мультимедийных данных Video Push мобильного сервера | Отключено по умолчанию. Включать, когда включена функция Video Push. | Подключается к мобильному серверу для передачи данных с виртуальных камер Video Push. | |
Исходящее | Настроенное устройство | Камеры, сетевые видеорегистраторы, кодеры, устройства ввода-вывода и другие аппаратные устройства | Службы устройств | Разрешать только порты и протоколы, необходимые для развернутых устройств, драйверов и включенных функций устройств. | Поддерживает аутентификацию устройств, конфигурацию, мультимедиа, метаданные, события, аудио, PTZ, ввод-вывод и другие функции устройств. | Ознакомьтесь с документацией производителя устройства. |
Локальные | 8966/TCP | Процесс на панели задач Recording Server Manager | Recording Server | Только локальный. Межсетевой экран не требует правил. | Обеспечивает локальное управление состоянием и службами. | |
Локальные | 12975/TCP | Локальный мост расширения SNMP для Windows | Recording Server | Только локальный. Используется, когда включено расширение SNMP. | Подключает локальный модуль расширения SNMP для Windows к серверу записи. | |
Локальные | 65101/UDP, с шагом больше, если занято | Процесс локального драйвера | Recording Server Driver-Event Listener | Только локальный. Межсетевой экран не требует правил. | Получает уведомления о событиях от драйверов устройств. |
Компьютер сервера записи обработки отказа имеет Failover Server сервис и Failover Recording Server служба установлена.
Самая Failover Server Служба осуществляет мониторинг соответствующих серверов записи и управляет обработкой отказа. Самая Failover Recording Server Эта служба позволяет компьютеру взять на себя функции сервера записи.
В таблицу включены данные для связи обеих служб. Обмен данными с устройствами и мультимедийными данными осуществляется в то время, когда сервер записи обработки отказа берет на себя функции сервера записи. Мониторинг и координация обмена данными могут оставаться активными независимо от отработки отказа.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Входящее | 5210/TCP | Сервер записи, которому требуется доступ к записанным данным | Failover Recording Server служба мультимедийной базы данных | Разрешить, когда требуется доступ к записанным данным, хранящимся на сервере записи обработки отказа. | Предоставляет доступ к записанным медиаданным, которые хранились на сервере записи обработки отказа во время события отработки отказа. | |
Входящее | 7563/TCP | XProtect клиенты, XProtect серверные компоненты, взаимосвязанные объекты и интеграции | Активный Failover Recording Server мультимедийные и командные службы | Разрешить, пока активен сервер записи обработки отказа из систем, которые получают мультимедиа или используют Recording Server услуги. | Предоставляет видео, аудио, метаданные, команды, состояние, выводы и операции записи. | |
Входящее | 8844/UDP | Компьютеры однорангового резервного сервера | Failover ServerСлужба | Разрешить обмен данными между компьютерами резервного сервера в одной группе отказоустойчивых серверов. | Получает информацию о статусе узла и группы. | |
Входящее | 8990/TCP | Компьютер сервера управления | Failover Server API статуса службы | Разрешить с компьютера сервера управления. | Предоставляет Failover Server информация о статусе службы | |
Входящее | 9001/TCP | Компьютер сервера управления | Активный Failover Recording Server Веб-API | Разрешить доступ с компьютера сервера управления, пока активен сервер записи обработки отказа. | Получает команды и обменивается информацией о конфигурации и состоянии. | |
Исходящее | Настроенный URI/TCP сервера управления, обычно 80 или 443 | Компьютер сервера управления | Management Server веб-службы и Identity Provider | Разрешить доступ к настроенному URI сервера управления. | Поддержка аутентификации, обнаружения, регистрации и настройки Management Server услуги. | |
Исходящее | 8844/UDP | Компьютеры однорангового резервного сервера | Узел Failover Server Службы | Разрешить обмен данными между компьютерами резервного сервера в одной группе отказоустойчивых серверов. | Отправляет информацию о статусе узла и группы. | |
Исходящее | 9000/TCP | Компьютер сервера управления | Веб-API сервера записи сервера управления | Разрешить передачу данных с активного сервера записи обработки отказа на компьютер сервера управления. | Отправляет сведения о регистрации, статусе, журналы, ответы о конфигурации и ответы на команды, пока они активны. | |
Исходящее | 11000/TCP | Компьютеры сервера записи | Recording Server служба отработки отказа | Разрешить доступ к каждому серверу записи, отслеживаемому Failover Server услуга. | Опрашивает состояние сервера записи и отправляет сообщения для управления обработкой отказа. | |
Исходящее | Настроенное устройство | Камеры, сетевые видеорегистраторы, кодеры, устройства ввода-вывода и другие аппаратные устройства | Службы устройств | Разрешать только порты и протоколы, необходимые для развернутых устройств, драйверов и включенных функций устройств. | Поддерживает аутентификацию устройств, конфигурацию, мультимедиа, метаданные, события, аудио, PTZ, ввод-вывод и другие функции устройств. | Ознакомьтесь с документацией производителя устройства. |
Локальные | 8966/TCP | Процесс на панели задач Failover Recording Server Manager | Failover Recording Server | Только локальный. Межсетевой экран не требует правил. | Предоставляет локальные Failover Recording Server управление статусом и обслуживанием. | |
Локальные | 8967/TCP | Процесс на панели задач Failover Server Manager | Failover ServerСлужба | Только локальный. Межсетевой экран не требует правил. | Предоставляет локальные Failover Server управление статусом и обслуживанием. | |
Локальные | 11000/TCP | Failover ServerСлужба | Failover Recording Server служба отработки отказа | Только локальный. Межсетевой экран не требует правил. | Поддерживает опрос состояния и сообщения управления обработкой отказа между локальными Failover Server обслуживание и Failover Recording Server услуга. |
Сервер событий взаимодействует с XProtect клиенты, шлюз API, поддерживаемые интеграции, сервер управления, SQL Server,необязательно XProtect LPR Сервер и дополнительно Milestone Customer Dashboard услуги.
Подключения к типичным событиям и событиям аналитики требуются только в том случае, если включены и настроены соответствующие входные сигналы.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Входящее | 1234/TCP и/или UDP, настраиваемый | Внешние отправители типичных событий | Совместимый прослушиватель типичных событий | Отключено по умолчанию. Разрешать только из настроенных источников типичных событий. | Получает совместимые типичные события от внешних систем или устройств. | |
Входящее | 1235/TCP, настраиваемый | Внешние отправители типичных событий | Прослушиватель международных типичных событий | Отключено по умолчанию. Разрешать только из настроенных источников типичных событий. | Получает международные типичные события от внешних систем или устройств. | |
Входящее | 9090/TCP, настраиваемый | Отправители событий внешней аналитики | Слушатель событий аналитики | Отключено по умолчанию. Разрешать только из настроенных источников событий аналитики. | Получает События Аналитики. | |
Входящее | 22331/TCP | XProtect клиенты и интеграции | Event Server Службы WCF | Разрешить из клиентов и интеграций, которые требуют Event Server услуги. | Конфигурация, сигналы тревоги, карты, состояние, действия и сопутствующие службы. | |
Входящее | 22332/TCP | Шлюз API, Management Client , и поддерживаемые прямые клиенты API | Event Server Службы REST и WebSocket | Разрешить из шлюза API и поддерживаемых клиентов API. | Предоставляет события, сигналы тревоги, подписки и API обмена сообщениями WebSocket. | |
Входящее | 22333/TCP | Встраиваемые расширения и приложения MIP | Старая служба сообщений MIP | Используется только без шифрования сертификата сервера событий. | Предоставляет устаревшие службы обмена сообщениями MIP. | |
Исходящее | URI сервера управления, настроенный в соответствии с протоколами 80 или 443/TCP | Компьютер сервера управления | Management Server веб-службы и Identity Provider | Разрешить доступ к настроенному URI сервера управления. | Поддерживает конфигурацию, обнаружение служб, состояние, обнаружение, связанное с аутентификацией, и регистрацию. | |
Исходящее | 443/TCP |
| Milestone Customer Dashboard Служба HTTPS | Разрешить, когда Milestone Customer Dashboard связь включена и лицензирована. | Отправки Milestone Customer Dashboard ключ, уведомление, статус, информация об ошибках и пульсе. | — |
Исходящее | Настроенная конечная точка SQL/TCP, стандартная версия 1433 | Настроенный SQL Server | SQL Server | Разрешить доступ к конечной точке SQL, указанной в конфигурации подключения. | Хранение и получение данных о событиях, сигналах тревоги и конфигурации сервера событий. | — |
Исходящее | 22334/TCP, настраиваемый | Компьютер сервера LPR | Служба WCF сервера LPR | Разрешить, когда XProtect Установлены распознавание номерных знаков и встраиваемое расширение LPR сервера событий. | Получает распознанные номерные знаки и информацию о статусе, а также отправляет поддерживаемые команды LPR и запросы конфигурации. |
Шлюз API можно установить на компьютер сервера управления или на отдельный компьютер. Развертывание может содержать несколько экземпляров шлюза API.
Отправку и получение журналов обеспечивает только шлюз API, установленный на компьютере сервера управления. Локальные записи OpenTelemetry Collector и VictoriaLogs в этой таблице применимы только к этому шлюзу API.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Входящее | Настроенный IIS HTTP-порт/TCP, обычно 80 | Клиенты API, XProtect клиенты, XProtect серверные компоненты и интеграции | Шлюз API через IIS | Разрешить доступ к шлюзу API из систем, которым требуется доступ по HTTP. | Предоставляет службы REST Gateway, WebSocket, WebRTC, Management proxy и Event proxy. Шлюз API, установленный на компьютере сервера управления, также обеспечивает отправку и получение журналов. | |
Входящее | Настроенный порт IIS HTTPS/TCP, обычно 443 | Клиенты API, XProtect клиенты, XProtect серверные компоненты и интеграции | Шлюз API через IIS | Разрешить доступ к шлюзу API из систем, которым требуется доступ по HTTPS. | Предоставляет транспортно-защищенные службы REST Gateway, WebSocket, WebRTC, Management proxy и Event proxy. Шлюз API, установленный на компьютере сервера управления, также обеспечивает отправку и получение журналов. | |
Исходящее | Настроенный URI/TCP сервера управления, обычно 80 или 443 | Компьютер сервера управления | Management Server веб-службы и Identity Provider | Разрешить доступ к настроенному URI сервера управления. | Поддерживает управление REST, обнаружение, Identity Provider, регистрацию, разрешения и связанные запросы прокси. | |
Исходящее | 22332/TCP | Компьютер сервера событий | Event Server Службы REST и WebSocket | Разрешить доступ к каждому серверу событий, используемому шлюзом API. | Проксирует события, сигналы тревоги, подписки и запросы обмена сообщениями WebSocket. | |
Локальные | 4318/TCP | OpenTelemetry Collector на компьютере сервера управления | OpenTelemetry Collector | Внутренний на компьютере сервера управления. Не разрешайте межхостовый доступ через брандмауэр. | Отправляет журналы шлюза API в OpenTelemetry Collector с использованием OTLP/HTTP. | |
Локальные | 9428/TCP | VictoriaLogs на компьютере сервера управления | Служба системного журнала VictoriaLogs | Внутренний на компьютере сервера управления. Не разрешайте межхостовый доступ через брандмауэр. | Запрашивает системные журналы. | |
Локальные | 9429/TCP | VictoriaLogs на компьютере сервера управления | Служба контрольного журнала VictoriaLogs | Внутренний на компьютере сервера управления. Не разрешайте межхостовый доступ через брандмауэр. | Запрашивает контрольные журналы. | |
Локальные | 9430/TCP | VictoriaLogs на компьютере сервера управления | Служба журнала правил VictoriaLogs | Внутренний на компьютере сервера управления. Не разрешайте межхостовый доступ через брандмауэр. | Запрашивает журналы правил. |
Data Collector принимает запросы системного монитора от сервера управления и независимо подключается к настроенному Management Server конечная точка веб-службы для регистрации и отправки информации мониторинга.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Входящее | 7609/TCP | Компьютер сервера управления | Data Collector | Разрешить с компьютера сервера управления. | Счетчики производительности в реальном времени и информация мониторинга для системного монитора. | |
Исходящее | Настроенный URI/TCP сервера управления, обычно 80 или 443 | Компьютер сервера управления | Management Server веб-службы | Разрешить доступ к настроенному URI сервера управления. | Поддерживает регистрацию служб, свойства машин, пакеты данных мониторинга, изменения состояния и взаимодействие с сервером управления. |
Мобильный сервер выступает в качестве системного шлюза для XProtect Mobile client и XProtect Web Client. Он получает мультимедийные данные с серверов записи и взаимодействует с необязательными Milestone-размещенные службы, когда включены соответствующие функции.
Администратор настраивает доступность прослушивателя HTTP мобильного сервера, прослушивателя HTTPS или обоих прослушивателей.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Входящее | 8081/TCP, настраиваемый | XProtect Mobile client, XProtect Web Client, Management Client | Служба HTTP мобильного сервера | Разрешить доступ из клиентов, использующих незащищенный интерфейс мобильного сервера. | Обеспечивает выполнение команд клиента и доставку видео и звука. | |
Входящее | 8082/TCP, настраиваемый | XProtect Mobile client, XProtect Web Client, Management Client | Служба HTTPS мобильного сервера | Разрешить доступ из клиентов, использующих защищенный интерфейс мобильного сервера. | Обеспечивает транспортно-защищенные команды клиента и доставку видео и аудио. | |
Входящее | 40001 + индекс канала/TCP, настраиваемый | Компьютер сервера записи | Средство прослушивания поставщиков мультимедийных данных Video Push мобильного сервера | Отключено по умолчанию. Разрешить доступ с соответствующих компьютеров сервера записи, когда включена функция Video Push. | Предоставляет серверу записи доступ к потоку данных с виртуальных камер Video Push. | |
Исходящее | 443/TCP |
| Адресная книга Milestone или служба Smart Connect | Включать, когда включена функция адресной книги или интеллектуального соединения. | Обеспечивает связь с адресной книгой или Smart Connect. | — |
Исходящее | 443/TCP |
| Служба push-уведомлений Milestone | Включать, когда включены мобильные push-уведомления. | Отправляет запросы push-уведомлений на мобильные устройства. | — |
Исходящее | Настроенный URI/TCP сервера управления, обычно 80 или 443 | Компьютер сервера управления | Management Server веб-службы и Identity Provider | Разрешить доступ к настроенному URI сервера управления. | Поддерживает аутентификацию, настройку, регистрацию служб и обнаружение зарегистрированных конечных точек служб. | |
Исходящее | Настроенный сервер записи URI/TCP, обычно 7563 | Компьютер сервера Active Management | Recording Server мультимедийные и командные службы | Разрешить доступ к зарегистрированным адресам сервера записи, возвращаемым сервером управления. | Получает видео и звуковую информацию и выполняет поддерживаемые операции с устройствами и мультимедиа. | |
Локальные | Неприменимо | Процесс на панели задач Mobile Server Manager | Служба Mobile Server | Использует именованный канал. Правило брандмауэра TCP не требуется. | Обеспечивает локальное управление состоянием мобильного сервера и службами. |
XProtect Сервер LPR взаимодействует с сервером управления и сервером записи и принимает запросы от встраиваемого расширения сервера событий LPR и поддерживаемых клиентов администрирования.
Включать эти подключения только в следующих случаях XProtect LPR Установлено.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Входящее | 22334/TCP, настраиваемый | Встраиваемое расширение LPR сервера событий, поддерживаемые клиенты администрирования и локальный значок LPR Server Manager на панели задач | Служба WCF сервера LPR | Разрешить доступ с компьютера сервера событий и поддерживаемых компьютеров администрирования, когда XProtect LPR Установлено. | Предоставляет информацию о статусе сервера распознавания номерных знаков, результаты распознавания номерных знаков, команды, конфигурацию и запросы анализа JPEG. | |
Исходящее | Настроенный URI/TCP сервера управления, обычно 80 или 443 | Компьютер сервера управления | Management Server веб-службы и Identity Provider | Разрешить доступ к настроенному URI сервера управления. | Поддерживает аутентификацию, настройку, регистрацию служб и обнаружение адресов серверов записи. | |
Исходящее | Настроенный сервер записи URI/TCP, обычно 7563 | Активный компьютер сервера записи | Recording Server мультимедийные и командные службы | Разрешить доступ к настроенному URI сервера записи. | Получает видео для обработки распознавания номерных знаков. |
XProtect Smart Client инициирует подключения к серверу управления, шлюзу API, серверу записи и серверу событий в соответствии с функциями, используемыми клиентом.
При настройке в качестве получателя Matrix XProtect Smart Client Этот компьютер также принимает входящие команды Matrix с сервера управления. Milestone Map Service требует исходящего доступа по HTTPS, если он включен для Smart Mapс.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Входящее | 12345/TCP по умолчанию, настраивается | Компьютер сервера управления | XProtect Smart Client Получатель Matrix | Отключено по умолчанию. Разрешить с компьютера сервера управления, когда XProtect Smart Client Этот компьютер настроен как получатель Matrix. | Получает команды Matrix connect, disconnect и view. | |
Исходящее | Настроенный порт HTTP или HTTPS/TCP, обычно 80 или 443 | Компьютер сервера управления, компьютер шлюза API | Management Server веб-службы, Identity Provider и шлюз API | Разрешить доступ к настроенным адресам сервера управления и шлюза API. | Поддерживает аутентификацию, обнаружение служб, конфигурацию, API-интерфейсы сервера управления, дополнительно XProtect Incident Manager функциональность и службы шлюза API. | Компьютерные прослушиватели сервера управления / Компьютерные прослушиватели шлюза API |
Исходящее | 443/TCP |
| Milestone Map Service | Разрешить, когда Milestone Map Service включено и используется для Smart Mapс. | Получает данные географической карты для Smart Mapс. | — |
Исходящее | Настроенный сервер записи URI/TCP, обычно 7563 | Активный компьютер сервера записи | Recording Server мультимедийные и командные службы | Разрешить доступ к адресам сервера записи, возвращаемым системой. | Получает видео, аудио и метаданные в режиме реального времени и в записи, а также выполняет поддерживаемые PTZ-операции и другие мультимедийные операции. | |
Исходящее | 22331/TCP | Компьютер сервера событий | Event Server Службы WCF | Разрешить доступ к настроенному серверу событий. | Предоставляет доступ к сигналам тревоги, картам, конфигурации, состоянию, действиям и другим данным Event Server услуги. | |
Исходящее | 22332/TCP | Компьютер сервера событий | Event Server Службы REST и WebSocket | Разрешить, когда XProtect Smart Client напрямую использует интерфейсы REST или WebSocket сервера событий. | Предоставляет подписки на события и состояния, события, сигналы тревоги и обмен сообщениями WebSocket. |
Management Client подключается к серверу управления, шлюзу API, серверу записи, серверу событий и мобильному серверу для выполнения поддерживаемых функций настройки и администрирования.
Необходимые подключения зависят от компонентов и функций, администрируемых клиентом.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Исходящее | Настроенный порт HTTP или HTTPS/TCP, обычно 80 или 443 | Компьютер сервера управления, компьютер шлюза API | Management Server веб-службы, Identity Provider и шлюз API | Разрешить доступ к настроенным адресам сервера управления и шлюза API. | Поддерживает аутентификацию, обнаружение служб, конфигурацию, API-интерфейсы сервера управления, дополнительно XProtect Incident Manager функциональность и службы шлюза API. | Компьютерные прослушиватели сервера управления / Компьютерные прослушиватели шлюза API |
Исходящее | 7563/TCP или настроенный URI сервера записи | Активный компьютер сервера записи | Recording Server мультимедийные и командные службы | Разрешить доступ к адресам сервера записи, возвращаемым системой. | Получает видео, аудио, метаданные, изображения JPEG, информацию о состоянии и поддерживаемые данные устройств, используемые во время администрирования. | |
Исходящее | 8081/TCP, настраиваемый | Компьютер мобильного сервера | Служба HTTP мобильного сервера | Включает, когда администрация мобильного сервера использует прослушиватель HTTP. | Поддержка соответствующих функций администрирования мобильного сервера. | |
Исходящее | 8082/TCP, настраиваемый | Компьютер мобильного сервера | Служба HTTPS мобильного сервера | Включает, когда администрация мобильного сервера использует прослушиватель HTTPS. | Поддержка соответствующих функций администрирования мобильного сервера. | |
Исходящее | 22331/TCP | Компьютер сервера событий | Event Server Службы WCF | Разрешить доступ к настроенному серверу событий. | Предоставляет доступ к конфигурации сервера событий, сигналам тревоги, картам, состоянию, действиям и связанным службам. | |
Исходящее | 22332/TCP | Компьютер сервера событий | Event Server Службы REST и WebSocket | Разрешить, когда Management Client использует интерфейсы REST или WebSocket сервера событий. | Предоставляет подписки на события и состояния, события, сигналы тревоги и обмен сообщениями WebSocket. |
XProtect Mobile client подключается к мобильному серверу с помощью настроенного прослушивателя HTTP или HTTPS. Клиент не подключается непосредственно к серверу записи.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Исходящее | 8081/TCP, настраиваемый | Компьютер мобильного сервера | Служба HTTP мобильного сервера | Включать, когда включен и используется незащищенный прослушиватель мобильного сервера. | Поддерживает вход в систему, команды клиента, а также доставку видео и аудио. | |
Исходящее | 8082/TCP, настраиваемый | Компьютер мобильного сервера | Служба HTTPS мобильного сервера | Включать при использовании защищенного прослушивателя мобильного сервера. | Поддержка входа в систему с транспортной защитой, команд клиента, а также доставки видео и аудио. |
XProtect Web Client подключается к мобильному серверу с помощью настроенного прослушивателя HTTP или HTTPS. Браузер не подключается напрямую к серверу записи.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Исходящее | 8081/TCP, настраиваемый | Компьютер мобильного сервера | Служба HTTP мобильного сервера | Включать, когда включен и используется незащищенный прослушиватель мобильного сервера. | Поддерживает вход в систему, команды клиента, а также доставку видео и аудио. | |
Исходящее | 8082/TCP, настраиваемый | Компьютер мобильного сервера | Служба HTTPS мобильного сервера | Включать при использовании защищенного прослушивателя мобильного сервера. | Поддержка входа в систему с транспортной защитой, команд клиента, а также доставки видео и аудио. |
Milestone Open Network Bridge аутентификация через Management Server и получает запрошенные медиаданные в режиме реального времени и в записи от Recording Server .
Клиенты ONVIF или RTSP инициируют управляющие подключения к мосту. Если транспорт мультимедиа UDP согласован, мост инициирует трафик RTP и RTCP к выбранным клиентом портам UDP.
Направление | Порт/транспорт | Одноранговый компонент или система | Одноранговая служба | Использование брандмауэра | Цель | Подробно |
|---|---|---|---|---|---|---|
Входящее | 554/TCP, настраиваемый | Клиенты ONVIF и RTSP | Milestone Open Network Bridge Служба RTSP | Разрешить доступ из клиентов ONVIF или RTSP, которые получают мультимедиа через Bridge. | Обеспечивает управление сеансами RTSP и, при необходимости, передает чередующиеся медиаданные RTP и RTCP. | |
Входящее | 580/TCP, настраиваемый | Клиенты ONVIF | Milestone Open Network Bridge Служба ONVIF | Разрешить доступ из клиентов ONVIF, которым требуется мостовой доступ. | Обеспечивает аутентификацию, управление, конфигурацию ONVIF, PTZ, события, поиск и запросы URI потока. | |
Входящее | 3702/UDP | Клиенты WS-Discovery | Milestone Open Network Bridge служба обнаружения | Необязательно и отключено по умолчанию. Включать, когда включено обнаружение WS. | Включает обнаружение ONVIF. | |
Исходящее | Настроенный Management Server URI/TCP, обычно 80 или 443 | Компьютер сервера управления | Management Server веб-службы и Identity Provider | Разрешить доступ к настроенным Management Server URI. | Поддерживает аутентификацию, регистрацию служб, настройку и обнаружение служб. | |
Исходящее | Настроенный Recording Server URI/TCP, обычно 7563 | Активный компьютер сервера записи | Recording Server мультимедийные и командные службы | Разрешить доступ к адресам сервера записи, зарегистрированным на сайте. | Получает видео в режиме реального времени и в записи, а также поддерживаемую звуковую информацию для клиентов ONVIF или RTSP. | |
Исходящее | Согласованные пары портов UDP | Клиент ONVIF или RTSP | Клиент RTP и приемники RTCP | Включать при согласовании транспорта мультимедиа UDP. | Отправляет видео и поддерживаемую звуковую информацию запрашивающему клиенту. | — |
Вопросы настройки брандмауэра
Настройте доступ к брандмауэру в соответствии с установленными компонентами и включенными функциями в развертывании:
Разрешать входящий доступ только необходимым прослушивателям.
Ограничьте доступ к исходным адресам только для компьютеров, клиентов, интеграций или внешних систем, которым требуется доступ.
Не предоставляйте другим компьютерам доступ к локальным или служебным портам того же компьютера.
Для настраиваемых портов и адресатов используйте значения, заданные в конфигурации развертывания.
Применительно к аппаратным устройствам сторонних производителей разрешайте использовать только те порты и протоколы, которые требуются для устройства, и ознакомьтесь с документацией производителя устройства.
Исходящие подключения обычно разрешены по умолчанию в брандмауэре Windows, но для сетевых брандмауэров и политик безопасности организации могут требоваться явные правила для исходящих подключений.