SQL Server 2008 必須開放的網路埠完整清單與安全配置指南

核心原則

最小權限原則：僅開放業務必要的埠，其餘全關閉。生產環境建議修改預設埠號，降低自動掃描攻擊風險。

核心服務埠對照表

關鍵配置細節

1. 資料庫引擎埠修改

-- SSMS 或 Configuration Manager
-- 重啟 SQL Server 服務生效
-- 客戶端連線字串格式：Server=Host,Port (逗號分隔)

2. SSAS 埠修改與連線格式差異

• 修改：SSMS 連 SSAS → 實例右鍵屬性 → General → Port（輸入具體數字，非 0）→ 重啟 SSAS 服務。
• 連線格式差異：
  • 資料庫引擎：`Server=Host,Port`
  • SSAS：`Server=Host:Port` (冒號分隔)

3. SQL Server Browser (UDP 1434) 安全建議

• 若無命名實例或不需 DAC，建議**停用 Browser 服務並封鎖 UDP 1434**。
• 命名實例建議**固定埠**，避免動態埠導致防火牆規則難維護。

4. 端點埠

-- Service Broker 端點範例
USE master;
GO
CREATE ENDPOINT BrokerEndpoint
    STATE = STARTED
    AS TCP (LISTENER_PORT = 4037)
    FOR SERVICE_BROKER (AUTHENTICATION = WINDOWS);
GO
-- 需在防火牆開放 TCP 4037

資料庫鏡像、SOAP 端點同理，建立端點時指定埠並開放防火牆。

防火牆規則最佳實務

1. 僅允許應用伺服器 IP 存取資料庫埠（1433/自訂）。
2. 管理工具 (SSMS) 存取來源限制為跳板機/堡壘機 IP。
3. UDP 1434 僅允許內網管理區段存取。
4. 定期審計 `netstat -an` 與防火牆日誌，清理無用規則。

驗證連通性指令

-- 客戶端測試 TCP 埠
telnet  1433
# 或 PowerShell
Test-NetConnection -ComputerName  -Port 1433

-- 檢視伺服器監聽埠
netstat -an | findstr :1433

小結

SQL Server 2008 涉及埠眾多，核心只有 1433 (引擎)、1434/UDP (Browser)、135 (SSIS)、2383 (SSAS)、80 (SSRS) 及自訂端點埠。依實際部署架構精準開放、修改預設埠、限制來源 IP，是資料庫網路安全的基石。