Porty dla SSAS

Porty dla SSAS to domyślnie 2383 dla instancji domyślnej oraz 2382 dla usługi przekierowującej.

Porty dla SSAS — znaczenie i zastosowanie

Porty dla SSAS, czyli SQL Server Analysis Services, określają sposób, w jaki narzędzia klienckie, aplikacje oraz inne składniki środowiska uzyskują dostęp do usług analitycznych. Sam numer portu nie jest przypadkowym ustawieniem technicznym. Stanowi element adresowania konkretnej usługi i musi być zgodny z konfiguracją instancji, regułami zapory oraz sposobem, w jaki nawiązywane są połączenia. Jeżeli port jest zamknięty, zajęty przez inny proces albo wskazany niezgodnie z konfiguracją, użytkownik może otrzymać komunikat o braku połączenia, przekroczeniu czasu oczekiwania lub niedostępności instancji.

W typowej instalacji SSAS rozróżnia się instancję domyślną oraz instancje nazwane. Instancja domyślna korzysta z portu przeznaczonego do obsługi właściwych połączeń analitycznych, natomiast usługa przekierowująca pomaga odnaleźć port przypisany do instancji nazwanej. W praktyce oznacza to, że sama znajomość nazwy komputera może nie wystarczyć. Przy połączeniu z instancją nazwaną potrzebne jest poprawne rozpoznanie jej konfiguracji, a następnie dopuszczenie właściwego ruchu w zaporze.

Porty należy traktować jako część całego łańcucha komunikacji: klient wysyła żądanie, system rozpoznaje nazwę usługi lub instancji, następuje wskazanie właściwego punktu końcowego, a później rozpoczyna się właściwa sesja z SSAS. Każdy z tych etapów może zakończyć się błędem. Z tego powodu sama zmiana numeru w regule zapory bez sprawdzenia ustawień usługi nie daje pewności, że połączenie będzie działać.

Port SSAS a instancja domyślna i nazwana

W przypadku instancji domyślnej połączenie jest zwykle prostsze, ponieważ usługa działa według ustalonego schematu i nie wymaga dodatkowego wyszukiwania portu przypisanego do nazwy instancji. W dokumentacji oraz konfiguracjach spotyka się port 2383 jako standardowy punkt komunikacji dla instancji domyślnej. Nie należy jednak zakładać, że każda instalacja zachowuje tę wartość bez zmian. Administrator może skonfigurować inny numer, a lokalne zasady bezpieczeństwa mogą ograniczać dostęp wyłącznie do określonych interfejsów lub zakresów adresów.

Instancja nazwana może działać na porcie dynamicznym, przydzielanym podczas uruchamiania usługi. W takim modelu klient najpierw korzysta z mechanizmu rozpoznawania instancji, aby ustalić aktualny port właściwej usługi. Dla usługi przekierowującej często wskazuje się port 2382. Jego zadaniem nie jest wykonywanie całej komunikacji analitycznej, lecz pomoc w odnalezieniu odpowiedniego portu instancji. Po ustaleniu właściwego punktu połączenie jest kierowane dalej.

Różnica pomiędzy portem usługi przekierowującej a portem samego SSAS ma znaczenie przy tworzeniu reguł zapory. Otwarcie wyłącznie portu 2382 może nie wystarczyć, ponieważ późniejsza komunikacja odbywa się z wykorzystaniem portu przypisanego do konkretnej instancji. Z kolei otwarcie portu właściwej instancji bez zapewnienia prawidłowego rozpoznawania nazwy może nie rozwiązać problemu, jeżeli klient nie wie, dokąd wysłać pierwsze zapytanie.

W środowiskach, w których ważna jest przewidywalność konfiguracji, często rozważa się przypisanie stałego portu do instancji nazwanej. Upraszcza to dokumentowanie reguł, analizę logów oraz kontrolę dostępu. Taką zmianę należy wykonać świadomie, ponieważ może wpłynąć na istniejące połączenia, skrypty, raporty i narzędzia administracyjne. Po każdej modyfikacji powinno się ponownie uruchomić usługę, zweryfikować nasłuchiwanie na nowym porcie i sprawdzić połączenie z kilku używanych narzędzi.

Konfiguracja portów dla SSAS i zapora

Konfiguracja portów dla SSAS powinna obejmować zarówno ustawienia samej usługi, jak i reguły zapory systemowej. Najpierw ustala się, czy używana jest instancja domyślna, czy nazwana, a następnie sprawdza rzeczywisty port nasłuchiwania. Informację tę można potwierdzić w narzędziu konfiguracyjnym usług, w dziennikach systemowych albo za pomocą narzędzi diagnostycznych pokazujących aktywne gniazda. Warto posługiwać się stanem faktycznym, ponieważ instrukcja przygotowana dla standardowej instalacji może nie pasować do środowiska po zmianach.

Reguła zapory powinna określać właściwy protokół, kierunek ruchu, zakres dozwolonych adresów oraz profil sieci, dla którego ma obowiązywać. Najczęściej analizuje się ruch TCP, lecz dokładny zakres należy potwierdzić w konkretnej konfiguracji i używanym sposobie uwierzytelniania. Dopuszczenie ruchu z całej sieci bez potrzeby zwiększa powierzchnię dostępu, dlatego bezpieczniej jest ograniczyć źródła do urządzeń lub podsieci, które faktycznie korzystają z analiz.

Nie powinno się otwierać szerokiego zakresu portów tylko po to, aby ominąć błąd konfiguracji. Lepszym rozwiązaniem jest ustalenie, na którym porcie działa usługa, czy zapora przepuszcza połączenie oraz czy nazwa instancji jest rozpoznawana. W razie potrzeby można wykonać próbę połączenia z urządzenia klienckiego, sprawdzić odpowiedź zapory i porównać ją z logami usługi. Brak odpowiedzi sieciowej wskazuje na problem z dostępnością, natomiast komunikat o odmowie logowania może oznaczać, że port działa, lecz nieprawidłowo skonfigurowano uprawnienia.

Ważne jest również rozróżnienie połączenia lokalnego od zdalnego. Dostęp z tego samego komputera może działać dzięki lokalnej ścieżce komunikacji, podczas gdy połączenie z innego urządzenia będzie blokowane przez zaporę lub filtr sieciowy. Test należy zatem przeprowadzać z miejsca, z którego rzeczywiście będą korzystać użytkownicy raportów, aplikacje albo narzędzia administracyjne.

Problemy z portami SSAS — objawy i porównania

Najczęstszy problem polega na pomyleniu portu instancji z portem usługi przekierowującej. Objawem może być działające połączenie z instancją domyślną i jednoczesny brak dostępu do instancji nazwanej. Innym przypadkiem jest poprawne działanie połączeń lokalnych przy niedostępności połączeń zdalnych. Taki obraz zwykle kieruje uwagę na reguły zapory, rozpoznawanie instancji, trasę sieciową albo różnicę pomiędzy nazwą komputera używaną lokalnie i zdalnie.

Warto porównać kilka sposobów adresowania. Połączenie wskazujące nazwę komputera i instancję wymaga prawidłowego mechanizmu wyszukania portu. Połączenie wskazujące konkretny port ogranicza liczbę etapów rozpoznawania, ale wymaga znajomości aktualnej konfiguracji i odpowiedniej składni w narzędziu klienckim. Jeżeli działa tylko wariant z numerem portu, przyczyną może być problem z usługą przekierowującą lub z rozgłaszaniem informacji o instancji. Jeżeli nie działa także wariant bezpośredni, należy sprawdzić samą usługę, zaporę i dostępność hosta.

Do typowych symptomów należą: długi czas oczekiwania, komunikat o niemożności odnalezienia instancji, odmowa połączenia, nagłe przerwanie sesji po zmianie reguł bezpieczeństwa oraz różne wyniki testu z sieci lokalnej i spoza niej. Nie każdy taki objaw oznacza błąd numeru portu. Podobne zachowanie może powodować wyłączona usługa, błędna nazwa instancji, nieaktualny wpis DNS, konflikt adresów, filtr na urządzeniu sieciowym albo brak odpowiednich uprawnień.

Porównanie portów powinno uwzględniać ich funkcję, a nie tylko numer. Port właściwej instancji służy do komunikacji z usługą analityczną. Port przekierowania pomaga ustalić, gdzie znajduje się instancja nazwana. Porty innych składników środowiska mogą odpowiadać za zupełnie inne usługi i nie zastąpią portu SSAS. Takie rozróżnienie ogranicza ryzyko wprowadzenia reguły dla niewłaściwego komponentu.

Diagnostyka portów dla SSAS — praktyczne wskazówki

Diagnostykę najlepiej rozpocząć od zebrania podstawowych informacji: rodzaju instancji, nazwy usługi, aktualnego numeru portu, miejsca występowania problemu oraz tego, czy kłopot dotyczy wszystkich klientów, czy tylko jednego urządzenia. Następnie należy sprawdzić, czy usługa jest uruchomiona i czy system nasłuchuje na oczekiwanym porcie. Sam fakt, że proces jest widoczny na liście usług, nie potwierdza jeszcze dostępności zdalnej.

Kolejny etap obejmuje test z urządzenia klienckiego. Należy sprawdzić rozwiązywanie nazwy, osiągalność hosta i możliwość zestawienia połączenia TCP z konkretnym portem. Wyniki powinny być porównane z regułami zapory na komputerze z SSAS oraz z ewentualnymi filtrami na urządzeniach pośrednich. Jeżeli test portu kończy się powodzeniem, a narzędzie nadal nie łączy się z usługą, dalszej analizy wymagają nazwa instancji, format adresu, uwierzytelnianie i uprawnienia.

Po zmianie portu należy zaktualizować wszystkie miejsca, w których zapisano poprzednią konfigurację. Dotyczy to połączeń w raportach, plikach konfiguracyjnych, zadaniach automatycznych, narzędziach do modelowania oraz dokumentacji technicznej. Pominięcie jednego klienta może spowodować wrażenie, że zmiana nie działa, mimo że sama usługa jest dostępna.

Jeżeli analiza wymaga sprawdzenia komputera, sieci lub ustawień usługi na miejscu, można skorzystać z pomocy serwisu Warszawskie Pogotowie Komputerowe 24/7 pod numerem +48 22 100 48 29. W zgłoszeniu warto podać nazwę instancji, objaw, miejsce występowania problemu oraz informację, czy połączenie lokalne działa poprawnie. Ułatwia to przygotowanie właściwego zakresu diagnostyki i ogranicza niepotrzebne zmiany w konfiguracji.