2.3 保护网络的访问和通讯要求

本节包含下列信息：

2.3.1 工作负载的访问和通讯要求

以下软件、网络和防火墙要求是针对要使用 PlateSpin Protect 防护的工作负载的。

表 2-2 工作负载的访问和通讯要求

工作负载类型

先决条件

所需端口 (默认值)

所有工作负载

Ping（ICMP 回应请求和响应）支持

 

所有 Windows 工作负载

Microsoft .NET Framework 版本 2.0 或 3.5 SP1

 

Windows 7；

Windows Server 2008；

Windows Vista

  • 内置管理员或域管理员帐户身份凭证（仅属于本地管理员组是不够的）在 Vista 上，该帐户必须启用（默认情况下它是禁用的）。

  • 配置为启用文件和打印机共享的 Windows 防火墙。采用以下选择之一：

    • 选择 1 是使用“Windows 防火墙”： 使用“控制面板”中的基本项目 Windows 防火墙 (firewell.cpl)，并在异常列表中选择文件和打印机共享。

      - 或 -

    • 选择 2 是使用“高级安全防火墙”： 使用高级安全 Windows 防火墙实用程序 (wf.msc)，同时启用以下入站规则并将其设置为允许：

      • 文件和打印机共享（回显请求 － ICMPv4In）

      • 文件和打印机共享（回显请求 － ICMPv6In）

      • 文件和打印机共享 (NB-Datagram-In)

      • 文件和打印机共享 (NB-Name-In)

      • 文件和打印机共享 (NB-Session-In)

      • 文件和打印机共享 (SMB-In)

      • 文件和打印机共享（后台打印程序服务 － RPC）

      • 文件和打印机共享（后台打印程序服务 － RPC-EPMAP）

TCP 3725

NetBIOS 137 - 139

SMB（TCP 139、445 和 UDP 137、138）

TCP 135/445

Windows Server 2003（包括 SP1 标准版、SP2 企业版和 R2 SP2 企业版）

注：启用所需的端口后，在服务器提示符中运行以下命令以启用 PlateSpin 远程管理：

netsh firewall set service RemoteAdmin enable

有关 netsh 的详细信息，请参见 Microsoft TechNet 文章 http://technet.microsoft.com/en-us/library/cc785383%28v=ws.10%29.aspx。

  • TCP： 3725、135、139、445

  • UDP： 137、138、139

Windows Server 2000；

Windows XP

  • Windows Management Instrumentation (WMI) 已安装

WMI (RPC/DCOM) 可使用 TCP 端口 135 和 445，以及大于 1024 的随机或动态指派的端口。如果添加工作负载时出现问题，则应考虑将工作负载临时放入 DMZ 中，或者临时打开启用防火墙的端口，同时将工作负载添加到 PlateSpin Protect 中。

有关更多信息，例如关于限制 DCOM 和 RPC 端口范围的指南，请参见以下 Microsoft 技术文章。

TCP 3725

NetBIOS 137 - 139

SMB（TCP 139、445 和 UDP 137、138）

RPC (TCP 135)

所有 Linux 工作负载

安全外壳 (SSH) 服务器

TCP 22、3725

2.3.2 容器的访问和通讯要求

以下软件、网络和防火墙要求是针对受支持工作负载容器的。

表 2-3 容器的访问和通讯要求

系统

先决条件

所需端口 (默认值)

所有容器

Ping（ICMP 回应请求和响应）功能。

 

VMware ESX/ESXi 4.1

VMware ESXi 5.0

  • 具有管理员角色的 VMware 帐户

  • VMware Web 服务 API 和文件管理 API

HTTPS (TCP 443)

vCenter Server

必须为拥有访问权的用户指派适当的角色和许可权限。请参考相应版本的 VMware 文档，了解详细信息。

HTTPS (TCP 443)

2.3.3 PlateSpin Server 主机的打开端口要求

以下打开端口要求是针对 PlateSpin Server 主机的。

表 2-4 PlateSpin Server 主机的打开端口要求

端口（默认）

备注

TCP 80

对于 HTTP 通讯

TCP 443

对于 HTTPS 通讯（如果启用了 SSL）

2.3.4 通过 NAT 在公用和专用网络中进行防护

在某些情况下，源、目标或 PlateSpin Protect 本身可能位于内部（专用）网络中、网络地址转换器 (NAT) 设备后，无法在防护期间与其对应的对象通讯。

PlateSpin Protect 使您能够解决此问题，具体取决于以下哪个主机位于 NAT 设备后：

  • PlateSpin 服务器： 在服务器的 PlateSpin 服务器配置工具中，记录指派到该主机的其他 IP 地址。请参见配置应用程序以在 NAT 环境中工作。

  • 目标容器： 在尝试发现容器（例如 VMware ESX）时，请在发现参数中指定该主机的公用（或外部）IP 地址。

  • 工作负载： 尝试添加工作负载时，请在发现参数中指定该工作负载的公用（或外部）IP 地址。

  • 故障转移虚拟机： 在故障回复过程中，可以在故障回复细节（工作负载到虚拟机）中指定故障转移工作负载的备用 IP 地址。

  • 故障回复目标： 在尝试注册故障回复目标的过程中，当提示您提供 PlateSpin 服务器的 IP 地址时，请提供 Protect 服务器主机的本地地址，或服务器的 PlateSpin 服务器配置工具中记录的该主机的其中一个公共（外部）地址（请参见上文的 PlateSpin 服务器）。

配置应用程序以在 NAT 环境中工作

要使 PlateSpin 服务器可以在启用 NAT 的环境中工作，必须在服务器启动时读取的 PlateSpin 服务器配置工具的数据库中记录 PlateSpin 服务器的其他 IP 地址。

有关更新过程的信息，请参见通过 XML 配置参数配置 PlateSpin 服务器行为。

2.3.5 覆盖在 Linux 工作负载上执行命令的默认 bash 外壳

默认情况下，PlateSpin Server 在 Linux 源工作负载上执行命令时使用 /bin/bash 外壳。

如果需要，可以通过修改 PlateSpin Server 上的相应注册表项覆盖默认外壳。

请参见知识库文章 7010676。

2.3.6 作为容器的 VMware DRS Cluster 的要求

要成为有效的防护目标，必须在容器集（已盘点）中将 VMware DRS Cluster 添加为 VMware 群集。不应试图将 DRS 群集作为一组独立的 ESX 服务器来添加。请参见添加容器（保护目标）。

此外，VMware DRS Cluster 必须满足以下配置要求：

  • 启用了 DRS，并设置为部分自动或完全自动。

  • 至少在 VMware 群集中的所有 ESX 服务器中共享一个数据储存。

  • VMware 群集中的所有 ESX 服务器至少共用一个 vSwitch 和虚拟端口组，或 vNetwork 分布式交换机。

  • 每个防护合同中的故障转移工作负载 (VM) 必须以独占方式放置在 VMware 群集中所有 ESX 服务器共享的数据储存、vSwitch 和虚拟端口组上。