Configurando o Firewall do Windows para permitir acesso ao SQL Server

Neste tópico

Este tópico tem as seguintes seções:

Informações básicas sobre o firewall

Configurações padrão do firewall

Programas para configurar o firewall

Portas usadas pelo Mecanismo de Banco de Dados

Portas usadas pelo Analysis Services

Portas usadas pelo Reporting Services

Portas usadas pelo Integration Services

Portas e serviços adicionais

Interação com outras regras do firewall

Visão geral de perfis do firewall

Configurações adicionais do firewall usando o item Firewall do Windows no Painel de Controle

Usando o snap-in Firewall do Windows com Segurança Avançada

Solucionando problemas de configurações do firewall

Informações básicas sobre o firewall

Os firewalls inspecionam pacotes recebidos e os comparam a um conjunto de regras. Se as regras autorizarem o pacote, o firewall o transmitirá ao protocolo TCP/IP para processamento adicional. Se as regras não autorizarem o pacote, o firewall o descartará e, se o log estiver habilitado, criará uma entrada em seu arquivo de log.

A lista de tráfego permitido é preenchida de uma das seguintes maneiras:

• Quando o computador que tem o firewall habilitado inicia a comunicação, o firewall cria uma entrada na lista de forma que a resposta seja permitida. A resposta recebida é considerada tráfego solicitado, e você não precisa configurá-la.

• Um administrador configura as exceções do firewall. Isto permite acesso a determinados programas executados em seu computador ou acesso a portas de conexão especificadas do computador. Nesse caso, o computador aceita tráfego de entrada não solicitado quando funciona como servidor, ouvinte ou item de mesmo nível. Esse é o tipo de configuração que deve ser concluída para que se possa estabelecer conexão com o SQL Server.

Escolher a estratégia de firewall é uma tarefa mais complexa do que simplesmente decidir se uma dada porta deve ficar aberta ou fechada. Ao elaborar uma estratégia de firewall para sua empresa, é importante que você considere todas as regras e opções de configuração disponíveis. Este tópico não examina todas as opções de firewall possíveis. É recomendável consultar os seguintes documentos (em inglês):

Getting Started with Windows Firewall with Advanced Security in Windows Vista and Windows Server 2008

Windows Firewall with Advanced Security Design Guide

Introduction to Server and Domain Isolation

Configurações padrão do firewall

A primeira etapa do planejamento da configuração do firewall é determinar o status atual do firewall do sistema operacional. Se o sistema operacional foi atualizado de uma versão anterior, as configurações de firewall anteriores podem ter sido preservadas. Além disso, as configurações de firewall podem ter sido alteradas por outro administrador ou por uma Diretiva de Grupo do seu domínio. No entanto, as configurações padrão são estas:

• Windows Server 2008

  O firewall está ativo e bloqueando conexões remotas.

• Windows Server 2003

  O firewall está desativado. Os administradores devem considerar a possibilidade de ativar o firewall.

• Windows Vista

  O firewall está ativo e bloqueando conexões remotas.

• Windows XP, Service Pack 2 ou mais recente

  O firewall está ativo e bloqueando conexões remotas.

• Windows XP, Service Pack 1 ou anterior

  O firewall está desativado e deve ser ativado.

Observação
A ativação do firewall afetará outros programas que acessam este computador, como o compartilhamento de arquivos e impressoras, e conexões de área de trabalho remota. Os administradores devem considerar todos os aplicativos que estão em execução no computador antes de ajustar as configurações do firewall.

Programas para configurar o firewall

Há três maneiras de configurar o Firewall do Windows.

• Item Firewall do Windows no Painel de Controle

  O item Firewall do Windows pode ser aberto do Painel de Controle.

  Importante

  Alterações feitas no item Firewall do Windows do Painel de Controle afetam somente o perfil atual. Dispositivos móveis, como laptops, não devem usar o item Firewall do Windows do Painel de Controle, uma vez que o perfil pode mudar quando conectado em uma configuração diferente. Por isso o perfil anteriormente configurado não terá efeito. Para obter mais informações sobre perfis, consulte Getting Started with Windows Firewall with Advanced Security in Windows Vista and Windows Server 2008.

  O item Firewall do Windows no Painel de Controle permite configurar opções básicas. Entre elas estão as seguintes:

  • Ativar ou desativar o item Firewall do Windows no Painel de Controle

  • Habilitar e desabilitar regras

  • Conceder exceções para portas e programas

  • Definir algumas restrições de escopo

  O item Firewall do Windows no Painel de Controle é mais apropriado para usuários que não têm experiência em configuração de firewall e que estão configurando opções básicas do firewall para computadores que não são móveis. Você também pode abrir o item Firewall do Windows no Painel de Controle através do comando run executando o seguinte procedimento:

  Para abrir o item Firewall do Windows

  1. No menu Iniciar, clique em Executar e digite firewall.cpl.

  2. Clique em OK.

• Console de Gerenciamento Microsoft (MMC)

  O snap-in Firewall do Windows com Segurança Avançada do MMC permite definir configurações de firewall mais avançadas. Este snap-in só está disponível para o Microsoft Vista e o Windows Server 2008, mas apresenta a maioria das opções de firewall de um jeito fácil de usar, além de todos os perfis de firewall. Para obter mais informações, consulte Usando o snap-in Firewall do Windows com Segurança Avançada, mais adiante neste tópico.

• netsh

  A ferramenta netsh.exe pode ser usada por um administrador para configurar e monitorar computadores baseados no Windows em um prompt de comando ou através de um arquivo em lotes**.** Com a ferramenta netsh, você pode direcionar para o auxiliar apropriado os comandos de contexto inseridos e, depois, o auxiliar executará o comando. Um auxiliar é um arquivo .dll que estende a funcionalidade da ferramenta netsh oferecendo configuração, monitoramento e suporte para um ou mais serviços, utilitários ou protocolos. Todos os sistemas operacionais que dão suporte ao SQL Server têm um auxiliar de firewall. O MicrosoftWindows Vista e o Windows Server 2008 também têm um auxiliar de firewall avançado, chamado advfirewall. Os detalhes sobre como usar o netsh não são abordados neste tópico. Todavia, muitas das opções de configuração descritas podem ser configuradas usando o netsh. Por exemplo, execute o seguinte script em um prompt de comando para abrir a porta TCP 1433:

  netsh firewall set portopening protocol = TCP port = 1433 name = SQLPort mode = ENABLE scope = SUBNET profile = CURRENT
  

  Um exemplo semelhante usando o auxiliar do Firewall do Windows para Segurança Avançada:

  netsh advfirewall firewall add rule name = SQLPort dir = in protocol = tcp action = allow localport = 1433 remoteip = localsubnet profile = DOMAIN
  

  Para obter informações sobre scripts para configurar o SQL Server usando netsh, consulte How to use a script to programmatically open ports for SQL Server to use on systems that are running Windows XP Service Pack. Para obter mais informações sobre o netsh, consulte os seguintes links:

  • Como usar a ferramenta Netsh.exe e as opções de linha de comando

  • Como usar o contexto de "netsh advfirewall firewall" em vez do contexto "netsh firewall" para controlar o comportamento do Firewall do Windows no Windows Server 2008 e no Windows Vista

  • O comando "netsh firewall" junto com o parâmetro "profile=all" não configura o perfil público em um computador baseado no Windows Vista

  • Solução de problemas da configuração do Firewall do Windows no Windows XP Service Pack 2

Portas usadas pelo SQL Server

As tabelas a seguir podem ajudá-lo a identificar as portas que são usadas pelo SQL Server.

Portas usadas pelo Mecanismo de Banco de Dados

A tabela a seguir lista as portas que são mais usadas pelo Mecanismo de Banco de Dados.

Cenário	Porta	Comentários
Instância padrão do SQL Server executando sobre TCP	Porta TCP 1433	Esta é a porta mais comum permitida pelo firewall. Ela se aplica a conexões de rotina com a instalação padrão do Mecanismo de Banco de Dados ou com uma instância nomeada, que é a única em execução no computador. (Existem considerações especiais para instâncias nomeadas. Consulte Portas dinâmicas, mais adiante neste tópico.)
Instâncias nomeadas do SQL Server na configuração padrão	A porta TCP é uma porta dinâmica determinada no momento em que o Mecanismo de Banco de Dados é iniciado.	Consulte a discussão abaixo, na seção Portas dinâmicas. A porta UDP 1434 pode ser necessária para o Serviço Navegador do SQL Server quando você usa instâncias nomeadas.
Instâncias nomeadas do SQL Server quando configuradas para usar uma porta fixa	O número de porta configurado pelo administrador.	Consulte a discussão abaixo, na seção Portas dinâmicas.
Conexão de Administrador Dedicada	Porta TCP 1434 para a instância padrão. Outras portas são usadas para instâncias nomeadas. Verifique o número da porta no log de erros.	Por padrão, as conexões remotas com a Conexão de Administrador Dedicada (DAC) não são habilitadas. Para habilitar a DAC remota, use a faceta Configuração da Área da Superfície. Para obter mais informações, consulte Compreendendo a Configuração da Área da Superfície.
Serviço Navegador do SQL Server	Porta UDP 1434	O serviço Navegador do SQL Server verifica se há conexões de entrada com uma instância nomeada e informa para o cliente o número da porta TCP que corresponde a essa instância nomeada. Normalmente o serviço Navegador do SQL Server é iniciado sempre que são usadas instâncias nomeadas do Mecanismo de Banco de Dados. O serviço Navegador do SQL Server não precisa ser iniciado se o cliente está configurado para se conectar à porta específica da instância nomeada.
Instância do SQL Server executando em um ponto de extremidade HTTP.	Pode ser especificada quando um ponto de extremidade HTTP é criado. O padrão é a porta TCP 80 para tráfego CLEAR_PORT e 443 para tráfego SSL_PORT.	Usada para uma conexão HTTP por meio de uma URL.
Instância padrão do SQL Server executando sobre um ponto de extremidade HTTPS	Porta TCP 443	Usada para uma conexão HTTPS por meio de uma URL. HTTPS é uma conexão HTTP que usa o protocolo SSL.
Service Broker	Porta TCP 4022. Para verificar a porta usada, execute a seguinte consulta: SELECT name, protocol_desc, port, state_desc FROM sys.tcp_endpoints WHERE type_desc = 'SERVICE_BROKER'	Não existe uma porta padrão para o SQL ServerService Broker, mas esta é a configuração convencional usada nos exemplos dos Manuais Online.
Espelhamento de Banco de Dados	Porta escolhida pelo administrador. Para determinar a porta, execute a seguinte consulta: SELECT name, protocol_desc, port, state_desc FROM sys.tcp_endpoints WHERE type_desc = 'DATABASE_MIRRORING'	Não existe uma porta padrão para o Espelhamento de Banco de dados, mas os exemplos dos Manuais Online usam a porta TCP 7022. É muito importante evitar interromper um ponto de extremidade de espelhamento em uso, principalmente no modo de alta segurança com failover automático. Sua configuração de firewall deve evitar dividir o quorum. Para obter mais informações, consulte Especificando um endereço de rede do servidor (Espelhamento de banco de dados).
Replicação	As conexões de replicação com o SQL Server usam as portas normais típicas do Mecanismo de Banco de Dados (porta TCP 1433 para a instância padrão etc.) A sincronização da Web e o acesso FTP/UNC para instantâneo de replicação exigem a abertura de portas adicionais no firewall. Para transferir o esquema e os dados iniciais de um local para outro, a replicação pode usar o protocolo FTP (porta TCP 21) ou sincronizar via HTTP (porta TCP 80) ou Compartilhamento de Arquivos e Impressoras (porta TCP 137,138 ou 139).	Para sincronização por HTTP, a replicação usa o ponto de extremidade do IIS (portas que podem ser configuradas, mas o padrão é a porta 80); no entanto, o processo do IIS se conecta ao SQL Server back-end através das portas padrão (1433 para a instância padrão). Durante a sincronização da Web usando FTP, a transferência por FTP ocorre entre o IIS e o publicador do SQL Server, não entre o assinante e o IIS. Para obter mais informações, consulte Configuring Microsoft Internet Security and Acceleration Server for Microsoft SQL Server 2000 Replication over the Internet.
Depurador Transact-SQL	Porta TCP 135 Consulte Considerações especiais sobre a porta 135 A exceção IPsec também pode ser necessária.	Se estiver usando Visual Studio, no computador host Visual Studio, você também deverá adicionar Devenv.exe à lista Exceções e abrir a porta TCP 135. Se estiver usando o Management Studio, no computador host Management Studio, você também deverá adicionar ssms.exe à lista Exceções e abrir a porta TCP 135. Para obter mais informações, consulte Configurando e iniciando o depurador Transact-SQL.

Para obter instruções passo a passo sobre como configurar o Firewall do Windows para o Mecanismo de Banco de Dados, consulte Como configurar um Firewall do Windows para acesso ao Mecanismo de Banco de Dados.

Portas dinâmicas

Por padrão, as instâncias nomeadas (incluindo SQL Server Express) usam portas dinâmicas. Isso significa que sempre que o Mecanismo de Banco de Dados é iniciado, identifica uma porta disponível e usa esse número de porta. Se a instância nomeada for a única instância do Mecanismo de Banco de Dados instalada, provavelmente ele usará a porta TCP 1433. Se outras instâncias do Mecanismo de Banco de Dados estiverem instaladas, provavelmente ele usará outra porta TCP. Como a porta selecionada pode mudar cada vez que o Mecanismo de Banco de Dados é iniciado, é difícil configurar o firewall para permitir acesso para o número de porta correto. Portanto, se um firewall for usado, é recomendável reconfigurar o Mecanismo de Banco de Dados para usar sempre o mesmo número de porta. Isso é chamado de porta fixa ou porta estática. Para obter mais informações, consulte Configurando uma porta fixa.

Uma alternativa à configuração de uma instância nomeada para escutar em uma porta fixa é criar uma exceção no firewall para a um programa do SQL Server, como sqlservr.exe (para Mecanismo de Banco de Dados). Isso pode ser conveniente, mas o número da porta não será exibido na coluna Porta Local da página Regras de Entrada quando você usar o snap-in Firewall do Windows com Segurança Avançada do MMC. Isso pode tornar mais difícil auditar quais portas estão abertas. Outra consideração é que um service pack ou atualização cumulativa pode alterar o caminho para o executável do SQL Server, o que invalidará a regra do firewall.

Observação
O procedimento a seguir usa o item Firewall do Windows no Painel de Controle. O snap-in Firewall do Windows com Segurança Avançada do MMC pode configurar uma regra mais complexa. Isso inclui configurar uma exceção de serviço, que pode ser útil para proporcionar defesa mais vigorosa. Consulte abaixo Usando o snap-in Firewall do Windows com Segurança Avançada.

Para adicionar uma exceção de programa ao firewall usando o item Firewall do Windows no Painel de Controle

1. Na guia Exceções do item Firewall do Windows, clique em Adicionar um programa.

2. Localize a instância do SQL Server que você deseja permitir através do firewall, por exemplo C:\Arquivos de Programas\Microsoft SQL Server\MSSQL10.<nome_da_instância>\MSSQL\Binn, selecione sqlservr.exe e clique em Abrir.

3. Clique em OK.

Para obter mais informações sobre pontos de extremidade, consulte Protocolos de rede e pontos de extremidade TDS e exibições do catálogo de pontos de extremidade (Transact-SQL).

Portas usadas pelo Analysis Services

Portas usadas pelo Reporting Services

Portas usadas pelo Integration Services

Portas e serviços adicionais

Considerações especiais sobre a porta 135

Quando você usa RPC com TCP/IP ou com UDP/IP como transporte, as portas de entrada costumam ser atribuídas dinamicamente para serviços do sistema de acordo com a necessidade; as portas TCP/IP e UDP/IP maiores que a 1024 são usadas. Essas portas normalmente são chamadas informalmente de “portas RPC aleatórias”. Nesses casos, os clientes RPC dependem do mapeador de ponto de extremidade RPC para saber quais portas dinâmicas foram atribuídas ao servidor. Para alguns serviços baseados em RPC, você pode configurar uma porta específica em vez de deixar que a RPC atribua uma dinamicamente. Você também pode diminuir o intervalo de portas que a RPC atribui dinamicamente, seja qual for o serviço. Como a porta 135 é usada para muitos serviços, ela é invadida por usuários mal-intencionados com bastante freqüência. Quando abrir a porta 135, considere a possibilidade de restringir o escopo da regra do firewall.

Para obter mais informações sobre a porta 135, consulte as seguintes referências:

• Visão geral de serviços e requisitos de porta de rede para o sistema do Windows Server

• Solucionando erros de Mapeador de ponto de extremidade RPC utilizando as ferramentas de suporte do Windows Server 2003 do CD do produto

• Usando COM distribuída com firewalls (em inglês)

• RPC (Chamada de Procedimento Remoto)

• Como configurar a alocação de porta dinâmica da RPC para funcionar com os firewalls

• Análise do tráfego de logon e inicialização do Windows 2000 (em inglês)

Interação com outras regras do firewall

O Firewall do Windows usa regras e grupos de regras para estabelecer sua configuração. Cada regra ou grupo de regras geralmente está associado a um determinado programa ou serviço, que, por sua vez, pode modificar ou excluir a regra sem que você saiba. Por exemplo, o grupo de regras Serviços da World Wide Web (HTTP) e Serviços Seguros da World Wide Web (HTTPS) está associado ao IIS. Se essas regras foram habilitadas, as portas 80 e 443 serão abertas, e os recursos do SQL Server que dependem delas funcionarão corretamente. Porém, os administradores que configuram o IIS podem modificar ou desabilitar essas regras. Por isso, se você estiver usando as portas 80 ou 443 para o SQL Server, deverá criar sua própria regra ou seu próprio grupo de regras que mantenha a configuração de porta desejada, independentemente das outras regras do IIS.

O snap-in Firewall do Windows com Segurança Avançada do MMC permite qualquer tráfego que corresponda a qualquer regra de permissão aplicável. Assim, se houver duas regras que se aplicam à porta 80 (com parâmetros diferentes), o tráfego que corresponder a uma delas será permitido. Portanto, se uma regra permitir o tráfego pela porta 80 da sub-rede local e outra regra permitir o tráfego de qualquer endereço, o resultado é que todo o tráfego para a porta 80 será permitido independentemente da origem. Para gerenciar o acesso ao SQL Server com eficiência, os administradores devem revisar periodicamente todas as regras de firewall habilitadas no servidor.

Visão geral de perfis do firewall

Os perfis de firewall são discutidos em Getting Started with Windows Firewall with Advanced Security in Windows Vista and Windows Server 2008 na seção Network location-aware host firewall. Para resumir, Windows Vista e Windows Server 2008 identificam e se lembram de cada uma das redes com as quais se conectam no que diz respeito a conectividade, conexões e categoria.

Há três tipos de local de rede no Firewall do Windows com Segurança Avançada:

• Domínio. O Windows pode autenticar o acesso ao controlador de domínio do domínio em que o computador ingressou.

• Público. Diferentemente das redes de domínio, todas as redes são inicialmente classificadas como públicas. Redes que representam conexões diretas à Internet ou estão em locais públicos, como aeroportos e cafés, devem ser configuradas como públicas.

• Privado. Uma rede identificada por um usuário ou aplicativo como privada. Somente redes confiáveis devem ser identificadas como redes privadas. Os usuários normalmente desejam identificar redes domésticas ou de pequena empresa como privadas.

O administrador pode criar um perfil para cada tipo de local de rede, com cada perfil contendo diretivas de firewall diferentes. Somente um perfil é aplicado a qualquer momento. A ordem de perfis é aplicada da seguinte maneira:

1. Se todas as interfaces forem autenticadas no controlador de domínio para o domínio do qual o computador é membro, será aplicado o perfil de domínio.

2. Se todas as interfaces forem autenticadas no controlador de domínio ou conectadas a redes classificadas como locais de rede privados, será aplicado o perfil privado.

3. Caso contrário, será aplicado o perfil público.

Use o snap-in Firewall do Windows com Segurança Avançada do MMC para exibir e configurar todos os perfis do firewall. O item Firewall do Windows no Painel de Controle configura apenas o perfil atual.

Configurações adicionais do firewall usando o item Firewall do Windows no Painel de Controle

As exceções que você adiciona ao firewall podem restringir a abertura da porta a conexões de entrada de computadores específicos ou da sub-rede local. Essa restrição do escopo da abertura de porta pode reduzir o nível de exposição do seu computador a usuários mal-intencionados e é recomendável.

Observação
Se você usar o item Firewall do Windows no Painel de Controle configurará apenas o perfil do firewall.

Para alterar o escopo de uma exceção do firewall usando o item Firewall do Windows no Painel de Controle

Usando o snap-in Firewall do Windows com Segurança Avançada

Em computadores que executam o Vista ou o Windows Server 2008, outras configurações avançadas do firewall podem ser definidas usando o snap-in Firewall do Windows com Segurança Avançada do MMC. O snap-in inclui um assistente de regra e expõe configurações adicionais que não estão disponível no item Firewall do Windows do Painel de Controle. Essas configurações incluem:

• Configurações de criptografia

• Restrições de serviços

• Restrição de conexões de computadores por nome

• Restrição de conexões para usuários ou perfis específicos

• Percurso de borda que permita que o tráfego ignore os roteadores de conversão de endereço de rede (NAT)

• Configuração de regras de saída

• Configuração de regras de segurança

• Exigência de IPsec para conexões de entrada

Para criar uma nova regra de firewall usando o assistente de Nova Regra

Solucionando problemas de configurações do firewall

As seguintes ferramentas e técnicas podem ser úteis para solucionar problemas de firewall:

• O status efetivo da porta é a combinação de todas as regras relacionadas a ela. Quando se tenta bloquear o acesso por uma porta, pode ser útil revisar todas as regras que citam o número da porta. Para isso, use o snap-in Firewall do Windows com Segurança Avançada do MMC e classifique as regras de entrada e de saída por número de porta.

• Revise as portas que estão ativas no computador em que o SQL Server está em execução. Esse processo inclui a verificação de quais portas TCP/IP estão sendo escutadas e também a verificação do status das portas.

  Para verificar quais portas estão sendo escutadas, use o utilitário de linha de comando netstat. Além de exibir as conexões TCP ativas, o utilitário netstat também exibe uma variedade de estatísticas e informações de IP.

  Para listar quais portas TCP/IP estão escutando

  1. Abra a janela do prompt de comando.

  2. No prompt de comando, digite netstat -n -a.

     A opção -n instrui o netstat a exibir numericamente o endereço e o número de porta das conexões TCP ativas. A opção -a instrui o netstat a exibir as portas TCP e UDP em que o computador está escutando.

• O utilitário PortQry pode ser usado para relatar o status das portas TCP/IP como escutando, não escutando ou filtrado. (Com o status filtrado, a porta pode ou não estar escutando; esse status indica que o utilitário não recebeu uma resposta da porta.) O utilitário PortQry está disponível para download no Centro de Download da Microsoft.

Para ver outros tópicos de solução de problemas, consulte:

• Firewall do Windows com Segurança Avançada - Diagnóstico e solução de problemas

• Solucionando problemas (Mecanismo de Banco de Dados)

• Solução de problemas (Analysis Services - Mineração de Dados)

• Solucionando problemas (Reporting Services)

• Solucionando problemas (Integration Services)

Consulte também

Outros recursos