Reguły zapory dla Browser Service

Reguła zapory dla Browser Service otwiera port UDP 1434 wykorzystywany do wykrywania instancji nazwanych.

Rola usługi SQL Server Browser w wykrywaniu instancji

Reguła zapory dla Browser Service dotyczy usługi SQL Server Browser używanej przez Microsoft SQL Server. Jej zadaniem jest odpowiadanie na zapytania klientów, którzy próbują ustalić, jakie instancje SQL Server są dostępne na konkretnym komputerze oraz przez jaki port TCP można się z nimi połączyć. Ma to znaczenie przede wszystkim wtedy, gdy serwer udostępnia nazwaną instancję, na przykład NAZWA_SERWERA\SQLEXPRESS, a aplikacja nie otrzymuje numeru portu bezpośrednio w konfiguracji połączenia.

SQL Server Browser nasłuchuje na porcie UDP 1434. Klient wysyła do tego portu zapytanie dotyczące instancji, a usługa zwraca informacje o wykrytych instancjach, między innymi ich nazwę, wersję oraz port TCP używany przez daną instancję. Port UDP 1434 nie jest portem, na którym odbywa się właściwa sesja SQL. Służy do mechanizmu odkrywania, natomiast późniejsze połączenie z silnikiem bazy danych jest zestawiane przez TCP na porcie przypisanym konkretnej instancji.

Różnica między UDP 1434 a portem silnika SQL Server

Domyślna instancja SQL Server zwykle korzysta z portu TCP 1433, o ile administrator nie zmienił tej konfiguracji. Nazwane instancje często używają portów dynamicznych, dlatego sam port UDP 1434 nie wystarcza do obsługi połączenia. Reguła zapory musi umożliwiać także ruch TCP do portu, na którym rzeczywiście nasłuchuje wybrana instancja. Jeśli otwarty jest wyłącznie UDP 1434, klient może poprawnie wykryć usługę Browser, ale po otrzymaniu odpowiedzi nie będzie w stanie nawiązać sesji z silnikiem SQL Server.

W praktyce konfiguracja może obejmować osobną regułę przychodzącą UDP dla portu lokalnego 1434 oraz regułę TCP dla portu instancji. Przy portach dynamicznych numer może zmienić się po ponownym uruchomieniu usługi, co wymaga aktualizacji reguły albo zastosowania stałego portu TCP skonfigurowanego dla instancji. Alternatywą jest pominięcie wykrywania przez Browser Service i podanie klientowi adresu w formacie serwer,port, na przykład sqlhost,51433. W takim wariancie klient nie potrzebuje odpowiedzi z UDP 1434, ale nadal potrzebuje dostępu TCP do wskazanego portu.

Zakres reguły zapory i typowe objawy blokady

Reguła dla SQL Server Browser powinna być ograniczona do profilu sieciowego i zakresu adresów, z których rzeczywiście korzystają klienci. W zaporze systemu Windows można utworzyć regułę przychodzącą dla protokołu UDP i portu lokalnego 1434. Samo zezwolenie na port nie uruchamia usługi i nie zastępuje konfiguracji instancji. SQL Server Browser musi działać, a zapytania klientów muszą docierać do właściwego interfejsu sieciowego serwera.

Objawem zablokowanego UDP 1434 może być błąd informujący, że nie można odnaleźć określonej instancji lub serwera. Podobny rezultat wystąpi jednak wtedy, gdy usługa SQL Server Browser jest zatrzymana, nazwa serwera jest błędna, port TCP instancji jest zablokowany albo instancja nie nasłuchuje na oczekiwanym adresie. Diagnostyka powinna więc rozdzielać etap wykrywania od etapu połączenia: najpierw należy sprawdzić stan SQL Server Browser i odpowiedź na UDP 1434, a następnie zweryfikować port TCP konkretnej instancji. W przypadku stałego portu można sprawdzić nasłuchiwanie poleceniem netstat -ano, a identyfikator procesu porównać z usługą SQL Server.

Kontrola konfiguracji po zmianie reguł

Po utworzeniu reguły należy sprawdzić, czy zapytania pochodzące z właściwej sieci są akceptowane oraz czy reguła nie została ograniczona do niewłaściwego profilu, takiego jak Publiczny zamiast Prywatnego lub domenowego. Warto również potwierdzić w SQL Server Configuration Manager, że wybrana instancja ma włączony protokół TCP/IP i że jej konfiguracja portów odpowiada regule zapory. Zmiana ustawień portu zwykle wymaga ponownego uruchomienia usługi silnika SQL Server, aby proces rozpoczął nasłuchiwanie według nowej konfiguracji.

Przy diagnostyce laptopa lub komputera PC używanego jako klient należy odróżnić problem lokalnej zapory od problemu po stronie komputera udostępniającego SQL Server. Można porównać połączenie nazwą instancji z połączeniem bezpośrednim przez numer portu TCP. Jeżeli adres typu serwer,port działa, a zapis serwer\instancja nie działa, podejrzenie pada na SQL Server Browser lub UDP 1434. Jeżeli nie działa również połączenie przez konkretny port, trzeba sprawdzić reguły TCP, nasłuchiwanie procesu i dostępność serwera w sieci. W zastosowaniach biurowych taka weryfikacja pozwala przywrócić prawidłową komunikację między aplikacją a instancją SQL Server bez mieszania reguły wykrywania z regułą obsługującą właściwy ruch bazodanowy.