Inställningar för Windows-brandvägg och portar för klientdatorer i Configuration Manager

Om du kör Configuration Manager-konsolen på en dator där Windows-brandväggen körs misslyckas frågor första gången de körs, och operativsystemet visar en dialogruta där du tillfrågas om du vill avblockera statview.exe. Om du avblockerar statview.exe körs kommande frågor utan problem. Du kan även manuellt lägga till Statview.exe i listan med program och tjänster på fliken Undantag i Windows-brandväggen innan du kör en fråga.

Om du vill använda push-installation för System Center 2012 Configuration Manager-klienten lägger du till följande som undantag till Windows-brandväggen:

• Utgående och inkommande: Fil- och skrivardelning

• Inkommande: WMI (Windows Management Instrumentation)

Om du vill använda en grupprincip för att installera Configuration Manager-klienten lägger du till Fil- och skrivardelning som undantag till Windows-brandväggen.

För att klientdatorer ska kunna kommunicera med Configuration Manager-platssystem lägger du till följande som undantag till Windows-brandväggen:

Utgående: TCP-port 80 (för HTTP-kommunikation)

Utgående: TCP-port 443 (för HTTPS-kommunikation)

Viktigt
Detta är standardportnummer som kan ändras i Configuration Manager. Mer information finns i Konfigurera portnummer för klientkommunikation i Configuration Manager. Om de här portarna har ändrats från standardvärdena måste du även konfigurera matchande undantag i Windows-brandväggen.

För System Center 2012 Configuration Manager SP1 och senare:

Om du vill att hanteringsplatsen ska meddela klientdatorer om åtgärder som måste vidtas när en administrativ användare väljer en klientåtgärd i Configuration Manager-konsolen, t.ex. att ladda ned datorprincip eller aktivera en sökning efter skadlig kod, lägger du till följande som ett undantag i Windows-brandväggen:

Utgående: TCP-port 10123

Om den här kommunikationen misslyckas faller Configuration Manager automatiskt tillbaka på att använda den befintliga porten för kommunikation från klient till hantering för HTTP eller HTTPS:

Utgående: TCP-port 80 (för HTTP-kommunikation)

Utgående: TCP-port 443 (för HTTPS-kommunikation)

Viktigt
Detta är standardportnummer som kan ändras i Configuration Manager. Mer information finns i Konfigurera portnummer för klientkommunikation i Configuration Manager. Om de här portarna har ändrats från standardvärdena måste du även konfigurera matchande undantag i Windows-brandväggen.

För att klientdatorerna ska kunna kommunicera med Systemhälsoverifieraren måste du tillåta följande portar:

• Utgående: UDP 67 och UDP 68 för DHCP

• Utgående: TCP 80/443 för IPsec

Om du vill använda fjärrstyrning för Configuration Manager tillåter du följande port:

• Inkommande: TCP-port 2701

Om du vill starta Fjärrhjälp från Configuration Manager-konsolen lägger du till det anpassade programmet Helpsvc.exe och den inkommande anpassade porten TCP 135 till listan med tillåtna program och tjänster i Windows-brandväggen på klientdatorn. Du måste även tillåta Fjärrhjälp och Fjärrskrivbord. Om du startar Fjärrhjälp från klientdatorn konfigurerar och Windows-brandväggen automatiskt Fjärrhjälp och Fjärrskrivbord.

För System Center 2012 Configuration Manager SP1 och senare:

Om du aktiverar klientinställningen för aktiveringsproxy använder den nya tjänsten ConfigMgr-aktiveringsproxy ett peer-to-peer-protokoll för att kontrollera om andra datorer är aktiva på undernätet och aktivera dem vid behov. Den här kommunikationen använder följande portar:

Utgående: UDP-port 25536

Utgående: UDP-port 9

Det här är standardportnumren. De kan ändras i Configuration Manager med klientinställningarna för Energisparfunktioner inställda till Portnummer för aktiveringsproxy (UDP) och Portnummer för Wake On LAN (UDP). Om du anger klientinställningen Energisparfunktioner: Undantag för aktiveringsproxy i Windows-brandväggen konfigureras de här portarna automatiskt i Windows-brandväggen för klienter. Om en annan brandvägg körs på klienten måste du dock konfigurera undantagen för dessa portnummer manuellt.

Förutom dessa portar använder aktiveringsproxyn även ICMP (Internet Control Message Protocol) meddelanden om ekobegäranden från en klientdator till en annan. Den här kommunikationen används för att bekräfta huruvida den andra klientdatorn är aktiv i nätverket. ICMP kallas ibland TCP/IP-pingkommandon. System Center 2012 Configuration Manager SP1 konfigurerar inte Windows-brandväggen för dessa TCP/IP-pingkommandon, och om du inte kör System Center 2012 R2 Configuration Manager måste du tillåta den här ICMP-trafiken manuellt för att aktiveringsproxykommunikationen ska fungera.

Om du har System Center 2012 Configuration Manager SP1 i stället för System Center 2012 R2 Configuration Manager använder du följande procedur för att hjälpa dig att konfigurera Windows-brandväggen med en anpassad inkommande regel som tillåter inkommande TCP/IP-pingkommandon för aktiveringsproxy.

Mer information om aktiveringsproxy finns i stycket Planera för aktivering av klienter i avsnittet Planera kommunikation i Configuration Manager.

Om du vill komma åt Windows Loggboken, Windows Prestandaövervakaren och Windows Diagnostik från Configuration Manager-konsolen aktiverar du Fil- och skrivardelning som ett undantag i Windows-brandväggen.

Förutom de portar som visas i följande tabell använder push-installation av klienter även ICMP-ekobegäransmeddelanden (Internet Control Message Protocol) från platsservern till klientdatorn för att bekräfta att klientdatorn är tillgänglig i nätverket. ICMP kallas ibland TCP/IP-pingkommandon. ICMP har inte ett UDP- eller TCP-protokollnummer, och finns därför inte i följande tabell. Dock måste alla mellanliggande nätverksenheter, t.ex. brandväggar, tillåta ICMP-trafik för att push-installation av klienter ska kunna genomföras.