Configurar Firewall de Windows para permitir el acceso a SQL Server
Los sistemas de firewall ayudan a evitar el acceso no autorizado a los recursos de los equipos. Si un firewall está activado pero no está configurado correctamente, es posible que se bloqueen los intentos de conexión a SQL Server.
Para obtener acceso a una instancia de SQL Server a través de un firewall, debe configurar el firewall en el equipo en el que se ejecuta SQL Server para que permita el acceso. El firewall es un componente de Microsoft Windows. También puede instalar un firewall de otra compañía. En este tema se discute cómo configurar el firewall de Windows, pero los principios básicos se aplican a otros programas de firewall.
[!NOTA]
En este tema se proporciona información general de configuración del firewall y se resume información de interés para un administrador de SQL Server. Para obtener más información sobre el firewall e información autorizada sobre el firewall, consulte la documentación del firewall, tal como Firewall de Windows con seguridad avanzada e IPsec y Firewall de Windows con seguridad avanzada - Mapa de ruta de contenido.
Los usuarios que conozcan el elemento Firewall de Windows del Panel de control y el complemento Microsoft Management Console (MMC) de Firewall de Windows con seguridad avanzada, y que sepan qué opciones del firewall desean configurar pueden ir directamente a los temas de la lista siguiente:
En este tema
Este tema tiene las secciones siguientes:
Información básica del firewall
Configuración predeterminada del firewall
Programas para configurar el firewall
Puertos utilizados por el motor de base de datos
Puertos utilizados por Analysis Services
Puertos utilizados por Reporting Services
Puertos utilizados por Integration Services
Puertos y servicios adicionales
Interacción con otras reglas de firewall
Información general de perfiles de firewall
Configuración adicional de Firewall de Windows usando el elemento Firewall de Windows del Panel de control
Utilizar el complemento Firewall de Windows con seguridad avanzada
Solucionar problemas de configuración del firewall
Información básica del firewall
Los firewalls funcionan inspeccionando los paquetes entrantes y comparándolos con un conjunto de reglas. Si las reglas permiten el paquete, el firewall pasa el paquete al protocolo TCP/IP para su procesamiento adicional. Si las reglas no permiten el paquete, el firewall descarta el paquete y, si está habilitado el registro, crea una entrada en el archivo de registro del firewall.
La lista de tráfico permitido se rellena de una de las maneras siguientes:
Cuando el equipo que tiene el firewall habilitado inicia la comunicación, el firewall crea una entrada en la lista para que se permita la respuesta. La respuesta de entrada se considera tráfico solicitado y no es necesario configurarla.
Un administrador configura las excepciones para el firewall. Esto permite el acceso a programas específicos que se ejecutan en el equipo o el acceso a los puertos de conexión especificados en el equipo. En este caso, el equipo acepta el tráfico de entrada no solicitado cuando actúa como un servidor, un agente de escucha o un equipo del mismo nivel. Éste es el tipo de configuración que se debe completar para conectar a SQL Server.
Elegir una estrategia del firewall es más complejo que decidir simplemente si un puerto determinado debe estar abierto o cerrado. Al diseñar una estrategia de firewall para la empresa, asegúrese considerar todas las reglas y opciones de configuración disponibles. En este tema no se revisan todas las posibles opciones de firewall. Se recomienda que revise los siguientes documentos:
Introducción al Firewall de Windows con seguridad avanzada en Windows Vista y Windows Server 2008
Guía de diseño del Firewall de Windows con seguridad avanzada
Configuración predeterminada del firewall
El primer paso para planear la configuración del firewall es determinar el estado actual del firewall para el sistema operativo. Si el sistema operativo se actualizó desde una versión anterior, se puede haber conservado la configuración de firewall anterior. Además, otro administrador o una Directiva de grupo podría haber cambiado la configuración del firewall en el dominio. No obstante, la configuración de seguridad predeterminada es la siguiente:
Windows Server 2008
El firewall está activo y está bloqueando las conexiones remotas.
Windows Server 2003
El firewall está apagado. Los administradores deben considerar la activación del firewall.
Windows Vista
El firewall está activo y está bloqueando las conexiones remotas.
Windows XP, Service Pack 2 o posterior
El firewall está activo y está bloqueando las conexiones remotas.
Windows XP, Service Pack 1 o anterior
El firewall está apagado y debe activarse.
[!NOTA]
La activación del firewall afectará a otros programas que tengan acceso a este equipo, tales como el uso compartido de impresoras y archivos, y las conexiones remotas al escritorio. Los administradores deben considerar todas las aplicaciones que se están ejecutando en el equipo antes de ajustar la configuración de firewall.
Programas para configurar el firewall
Hay tres maneras de configurar el Firewall de Windows.
Elemento Firewall de Windows del Panel de control
El elemento Firewall de Windows se puede abrir desde el Panel de control.
.gif "Nota importante")
ImportanteLos cambios realizados en el elemento Firewall de Windows del Panel de control sólo afectan al perfil actual. Los dispositivos móviles, por ejemplo un portátil, no deben utilizar el elemento Firewall de Windows del Panel de control, dado que el perfil podría cambiar cuando se conecte con una configuración diferente. Entonces, el perfil configurado previamente no estará en vigor. Para obtener más información sobre los perfiles, vea Introducción al Firewall de Windows con seguridad avanzada en Windows Vista y Windows Server 2008.
El elemento Firewall de Windows del Panel de control permite configurar opciones básicas. Entre ellas, figuran:
Activar o desactivar el elemento Firewall de Windows en el Panel de control
Habilitar y deshabilitar reglas
Conceder excepciones para puertos y programas
Establecer algunas restricciones de ámbito
El elemento Firewall de Windows del Panel de control es muy adecuado para los usuarios que tengan experiencia en la configuración de firewall y que estén configurando opciones de firewall básicas para equipos que no sean móviles. También puede abrir el elemento Firewall de Windows del Panel de control con el comando run utilizando el procedimiento siguiente:
Para abrir el elemento Firewall de Windows
En el menú Inicio, haga clic en Ejecutar y, a continuación, escriba firewall.cpl.
Haga clic en Aceptar.
Microsoft Management Console (MMC)
El complemento MMC del Firewall de Windows con seguridad avanzada permite establecer opciones de configuración de firewall más avanzadas. Este complemento sólo está disponible para Microsoft Vista y Windows Server 2008; no obstante, presenta la mayoría de las opciones de firewall de una manera fácil de usar y presenta todos los perfiles de firewall. Para obtener más información, vea Utilizar el complemento Firewall de Windows con seguridad avanzad más adelante en este tema.
netsh
Un administrador puede utilizar la herramienta netsh.exe para configurar y supervisar equipos basados en Windows en un símbolo del sistema o con un archivo por lotes**.** Utilizando la herramienta netsh, puede dirigir los comandos de contexto que escriba a la aplicación auxiliar adecuada y la aplicación auxiliar ejecutará el comando. Una aplicación auxiliar es un archivo de biblioteca de vínculos dinámicos (.dll) que extiende la funcionalidad de la herramienta netsh proporcionando configuración, supervisión y soporte técnico para uno o más servicios, utilidades o protocolos. Todos los sistemas operativos compatibles con SQL Server tienen una aplicación auxiliar de firewall. MicrosoftWindows Vista y Windows Server 2008 también tienen una aplicación auxiliar de firewall avanzada denominada advfirewall. Los detalles del uso de netsh no se explican en este tema. Sin embargo, muchas de las opciones de configuración descritas se pueden configurar utilizando netsh. Por ejemplo, ejecute el script siguiente en un símbolo del sistema para abrir el puerto TCP 1433:
netsh firewall set portopening protocol = TCP port = 1433 name = SQLPort mode = ENABLE scope = SUBNET profile = CURRENTUn ejemplo similar que usa Firewall de Windows para la aplicación auxiliar Seguridad avanzada:
netsh advfirewall firewall add rule name = SQLPort dir = in protocol = tcp action = allow localport = 1433 remoteip = localsubnet profile = DOMAINPara el uso de scripts para la configuración de SQL Server mediante netsh, vea Cómo usar un script para abrir puertos mediante programación para que SQL Server los utilice en sistemas que estén ejecutando Windows XP Service Pack (en inglés). Para obtener más información acerca de netsh vea los siguientes temas:
Puertos utilizados por SQL Server
Las tablas siguientes pueden ayudarle a identificar los puertos que utiliza SQL Server.
Puertos utilizados por el motor de base de datos
La tabla siguiente muestra los puertos de uso frecuente por parte de Database Engine (Motor de base de datos).
Escenario |
Puerto |
Comentarios |
|---|---|---|
Instancia predeterminada de SQL Server ejecutándose sobre TCP |
Puerto TCP 1433 |
Éste es el puerto más común que permite el firewall. Se aplica a las conexiones rutinarias a la instalación predeterminada de Database Engine (Motor de base de datos) o a una instancia con nombre que sea la única instancia que se ejecuta en el equipo. (Las instancias con nombre tienen consideraciones especiales. Vea Puertos dinámicos más adelante en este tema.) |
Instancias con nombre de SQL Server en la configuración predeterminada |
El puerto TCP es un puerto dinámico determinado en el momento en el que se inicia Database Engine (Motor de base de datos). |
Vea la explicación siguiente en la sección Puertos dinámicos. El puerto UDP 1434 puede ser necesario para el servicio Explorador de SQL Server cuando se utilizan instancias con nombre. |
Instancias con nombre de SQL Server cuando están configuradas para utilizar un puerto fijo |
El número de puerto configurado por el administrador. |
Vea la explicación siguiente en la sección Puertos dinámicos. |
Conexión de administrador dedicada |
Puerto TCP 1434 para la instancia predeterminada. Otros puertos se utilizan para las instancias con nombre. Compruebe en el registro de errores el número de puerto. |
De forma predeterminada, las conexiones remotas a DAC (Conexión de administrador dedicada) no están habilitadas. Para habilitar la DAC remota, utilice la faceta Configuración de área expuesta. Para obtener más información, vea Descripción de la configuración del área expuesta. |
Servicio Explorador de SQL Server |
Puerto UDP 1434 |
El servicio Explorador de SQL Server escucha las conexiones entrantes a una instancia con nombre y proporciona al cliente el número de puerto TCP que corresponde a esa instancia con nombre. Normalmente, el servicio Explorador de SQL Server se inicia siempre que se utilizan instancias con nombre de Database Engine (Motor de base de datos). El servicio SQL Server Browser no tiene que iniciarse si el cliente está configurado para conectarse al puerto específico de la instancia con nombre. |
La instancia de SQL Server ejecutándose sobre un extremo HTTP. |
Se puede especificar cuando se crea un extremo HTTP. El valor predeterminado es el puerto TCP 80 para el tráfico de CLEAR_PORT y el puerto 443 para el tráfico de SSL_PORT. |
Se utiliza para una conexión HTTP a través de una dirección URL. |
Instancia predeterminada de SQL Server ejecutándose en un extremo HTTPS. |
Puerto TCP 443 |
Se utiliza para una conexión HTTPS a través de una dirección URL. HTTPS es una conexión HTTP que utiliza SSL (Capa de sockets seguros). |
Service Broker |
Puerto 4022 TCP. Para comprobar el puerto que se usa, ejecute la siguiente consulta: SELECT name, protocol_desc, port, state_desc FROM sys.tcp_endpoints WHERE type_desc = 'SERVICE_BROKER' |
No hay ningún puerto predeterminado para SQL ServerService Broker, pero ésta es la configuración convencional utilizada en los ejemplos de los Libros en pantalla. |
Creación de reflejo de la base de datos |
Puerto elegido por el administrador. Para determinar el puerto, ejecute la siguiente consulta: SELECT name, protocol_desc, port, state_desc FROM sys.tcp_endpoints WHERE type_desc = 'DATABASE_MIRRORING' |
No hay ningún puerto predeterminado para la creación de reflejo de la base de datos, sin embargo, en los ejemplos de los Libros en pantalla se usa el puerto TCP 7022. Es muy importante evitar interrumpir un extremo de creación de reflejo que se esté usando, sobre todo en el modo de alta seguridad con conmutación automática por error. La configuración del firewall debe evitar el romper el quórum. Para obtener más información, vea Especificar una dirección de red de servidor (creación de reflejo de la base de datos). |
Replicación |
Las conexiones de replicación a SQL Server utilizan los puertos de Database Engine (Motor de base de datos) normales (puerto TCP 1433, para la instancia predeterminada, etc.) habituales. La sincronización web y el acceso de tipo FTP/UNC para la instantánea de replicación requieren que se abran puertos adicionales en el firewall. Para transferir datos iniciales y esquemas de una ubicación a otra, la replicación puede utilizar FTP (puerto TCP 21) o sincronizar sobre HTTP (puerto TCP 80), o Archivo y Uso compartido de impresoras (puerto TCP 137, 138 o 139). |
Para la sincronización sobre HTTP, la replicación utiliza el extremo IIS (para el que se puede configurar los puertos, pero cuyo puerto predeterminado es el 80), pero el proceso IIS se conecta al servidor SQL Server a través de los puertos estándar (1433 para la instancia predeterminada. Durante la sincronización web utilizando FTP, la transferencia FTP tiene lugar entre IIS y el publicador SQL Server, no entre el suscriptor e IIS. Para obtener más información, vea Configurar Microsoft Internet Security and Acceleration Server para Replicación de Microsoft SQL Server 2000. |
Depurador de Transact-SQL |
Puerto TCP 135 Vea Consideraciones especiales para el puerto 135 Quizá sea necesaria también la excepción IPsec. |
Si utiliza Visual Studio, en el equipo host Visual Studio debe agregar también Devenv.exe a la lista Excepciones y abrir el puerto TCP 135. Si utiliza Management Studio, en el equipo host Management Studio debe agregar también ssms.exe a la lista Excepciones y abrir el puerto TCP 135. Para obtener más información, vea Configurar e iniciar el depurador de Transact-SQL. |
Para obtener instrucciones paso a paso para configurar el Firewall de Windows para Database Engine (Motor de base de datos), vea Cómo configurar Firewall de Windows para el acceso al motor de base de datos.
Puertos dinámicos
De forma predeterminada, las instancias con nombre (incluido SQL Server Express) utilizan puertos dinámicos. Eso significa que cada vez que se inicia Database Engine (Motor de base de datos), identifica un puerto disponible y utiliza ese número de puerto. Si la instancia con nombre es la única instancia de Database Engine (Motor de base de datos) instalada, probablemente utilizará el puerto TCP 1433. Si se instalan otras instancias de Database Engine (Motor de base de datos), probablemente utilizará un puerto TCP diferente. Dado que el puerto seleccionado puede cambiar cada vez que se inicia Database Engine (Motor de base de datos), es difícil configurar el firewall para permitir el acceso al número de puerto correcto. Por consiguiente, si se usa un firewall, recomendamos reconfigurar el Database Engine (Motor de base de datos) para que utilice siempre el mismo número de puerto. Esto se denomina un puerto fijo o un puerto estático. Para obtener más información, vea Configurar un puerto fijo.
Una alternativa a configurar una instancia con nombre para escuchar en un puerto fijo es crear una excepción en el firewall para un programa SQL Server tal como sqlservr.exe (para Database Engine (Motor de base de datos)). Esto puede ser cómodo, pero el número de puerto no aparecerá en la columna Puerto local de la página Reglas de entrada cuando esté utilizando el complemento MMC del Firewall de Windows con seguridad avanzada. Esto puede hacer más difícil la tarea de auditar qué puertos están abiertos. Otra consideración es que un Service Pack o una actualización acumulativa puede cambiar la ruta de acceso a la aplicación ejecutable SQL Server, lo que invalidará la regla de firewall.
[!NOTA]
El procedimiento siguiente utiliza el elemento Firewall de Windows en el Panel de control. El complemento MMC del Firewall de Windows con seguridad avanzada puede configurar una regla más compleja. Esto incluye la configuración de una excepción de servicio que puede ser útil para proporcionar defensa en profundidad. Vea Utilizar el complemento Firewall de Windows con seguridad avanzada más adelante.
Para agregar una excepción de programa al firewall utilizando el elemento Firewall de Windows del Panel de control.
En la ficha Excepciones del elemento Firewall de Windows del Panel de control, haga clic en Agregar un programa.
Vaya a la ubicación de la instancia de SQL Server que desee dejar pasar a través del firewall, por ejemplo C:\Program Files\Microsoft SQL Server\MSSQL10.<nombre_instancia>\MSSQL\Binn, seleccione sqlservr.exe y, a continuación, haga clic en Abrir.
Haga clic en Aceptar.
Para obtener más información acerca de los extremos, vea Protocolos de red y extremos TDS y Vistas de catálogo de extremos (Transact-SQL).
Puertos utilizados por Analysis Services
La tabla siguiente muestra los puertos de uso frecuente por parte de Analysis Services.
Característica |
Puerto |
Comentarios |
|---|---|---|
Analysis Services |
Puerto TCP 2383 para la instancia predeterminada |
El puerto estándar para la instancia predeterminada de Analysis Services. |
Servicio Explorador de SQL Server |
El puerto TCP 2382 solamente es necesario para una instancia con nombre de Analysis Services |
Las solicitudes de conexión de cliente para una instancia con nombre de Analysis Services que no especifican un número de puerto se dirigen al puerto 2382, el puerto en el que escucha el Explorador de SQL Server. El Explorador de SQL Server a continuación redirige la solicitud al puerto que utiliza la instancia con nombre. |
Analysis Services configurado para el uso a través de IIS/HTTP (El Servicio PivotTable® utiliza HTTP o HTTPS) |
Puerto TCP 80 |
Se utiliza para una conexión HTTP a través de una dirección URL. |
Analysis Services configurado para el uso a través de IIS/HTTPS (El Servicio PivotTable® utiliza HTTP o HTTPS) |
Puerto TCP 443 |
Se utiliza para una conexión HTTPS a través de una dirección URL. HTTPS es una conexión HTTP que utiliza SSL (Capa de sockets seguros). |
Si los usuarios tienen acceso a Analysis Services a través de IIS e Internet, debe abrir el puerto en el que está escuchando IIS y especificar ese puerto en la cadena de conexión del cliente. En este caso, no se tiene que abrir ningún puerto para acceso directo a Analysis Services. El puerto predeterminado, 2389 y el puerto 2382 deben restringirse junto con los demás puertos que no sean necesarios.
Para obtener instrucciones paso a paso para configurar el Firewall de Windows para Analysis Services, vea Cómo configurar Firewall de Windows para el acceso a Analysis Services.
Puertos utilizados por Reporting Services
La tabla siguiente muestra los puertos de uso frecuente por parte de Reporting Services.
Característica |
Puerto |
Comentarios |
|---|---|---|
Servicios web de Reporting Services |
Puerto TCP 80 |
Se utiliza para una conexión HTTP a Reporting Services a través de una dirección URL. Recomendamos que no utilice la regla preconfigurada World Wide Web Services (HTTP). Para obtener más información, vea la sección Interacción con otras reglas de firewall más adelante |
Reporting Services configurado para el uso a través de HTTPS |
Puerto TCP 443 |
Se utiliza para una conexión HTTPS a través de una dirección URL. HTTPS es una conexión HTTP que utiliza SSL (Capa de sockets seguros). Recomendamos que no utilice la regla preconfigurada Secure World Wide Web Services (HTTPS). Para obtener más información, vea la sección Interacción con otras reglas de firewall más adelante |
Cuando Reporting Services se conecta a una instancia de Database Engine (Motor de base de datos) o Analysis Services, también debe abrir los puertos adecuados para esos servicios. Para obtener instrucciones paso a paso para configurar el Firewall de Windows para Reporting Services, vea Cómo configurar un firewall para el acceso al Servidor de informes.
Puertos utilizados por Integration Services
La tabla siguiente muestra los puertos de uso frecuente por parte del servicio Integration Services.
Característica |
Puerto |
Comentarios (sintaxis de MDX) |
|---|---|---|
Llamadas a procedimiento remoto Microsoft (MS RPC) Utilizado por el motor de tiempo de ejecución Integration Services. |
Puerto TCP 135 Vea Consideraciones especiales para el puerto 135 |
El servicio Integration Services utiliza DCOM en el puerto 135. El Administrador de control de servicios usa el puerto 135 para realizar tareas tales como iniciar y detener el servicio Integration Services, y transmitir solicitudes de control al servicio en funcionamiento. No se puede cambiar el número de puerto. Solamente es necesario que este puerto esté abierto si se está conectando a una instancia remota del servicio Integration Services desde Management Studio o desde una aplicación personalizada. |
Para ver instrucciones paso a paso para configurar el Firewall de Windows para Integration Services, vea Configurar un firewall de Windows para obtener acceso a Integration Services y Cómo configurar un firewall de Windows para Integration Services.
Puertos y servicios adicionales
La tabla siguiente muestra los puertos y servicios de los que puede depender SQL Server.
Escenario |
Puerto |
Comentarios (sintaxis de MDX) |
|---|---|---|
Instrumental de administración de Windows Para obtener más información acerca de WMI, vea Conceptos del proveedor WMI de administración de configuración. |
WMI se ejecuta como parte de un host de servicio compartido con puertos asignados a través de DCOM. WMI podría estar utilizando el puerto TCP 135. Vea Consideraciones especiales para el puerto 135 |
El Administrador de configuración de SQL Server utiliza WMI para enumerar y administrar servicios. Recomendamos que utilice el grupo de reglas preconfigurado Instrumental de administración de Windows (WMI). Para obtener más información, vea la sección Interacción con otras reglas de firewall más adelante |
Coordinador de transacciones distribuidas de Microsoft (MS DTC) |
Puerto TCP 135 Vea Consideraciones especiales para el puerto 135 |
Si la aplicación utiliza transacciones distribuidas, quizá deba configurar el firewall para permitir que el tráfico del Coordinador de transacciones distribuidas de Microsoft (MS DTC) fluya entre instancias independientes de MS DTC y entre MS DTC y administradores de recursos como SQL Server. Se recomienda usar el grupo de reglas preconfigurado Coordinador de transacciones distribuidas. Cuando se configura un único MS DTC compartido para todo el clúster en un grupo de recursos independiente, se debería agregar sqlservr.exe como excepción al firewall. |
El botón Examinar en Management Studio utiliza UDP para establecer conexión con el servicio SQL Server Browser. Para obtener más información, vea Servicio Explorador SQL Server. |
Puerto UDP 1434 |
UDP es un protocolo sin conexión. El firewall tiene una configuración, que se denomina Propiedad UnicastResponsesToMulticastBroadcastDisabled de la interfaz INetFwProfile y controla el comportamiento del firewall respecto a las respuestas de unidifusión a una solicitud UDP de difusión (o multidifusión). Tiene dos comportamientos.
|
Tráfico IPSec |
Puerto UDP 500 y puerto UDP 4500 |
Si la directiva de dominio requiere que las comunicaciones se realicen a través de IPSec, también debe agregar los puertos UDP 4500 y 500 a la lista de excepciones. IPSec es una opción que utiliza el Asistente para nueva regla de entrada en el complemento de Firewall de Windows. Para obtener más información, vea Usar Windows con el complemento del Firewall de Windows con seguridad avanzada. |
Utilizar la autenticación de Windows con dominios de confianza |
Los firewalls se deben configurar para permitir solicitudes de autenticación. |
Para obtener más información, vea Cómo configurar un firewall para dominios y confianza. |
SQL Server y Agrupación en clústeres de Windows |
La agrupación en clústeres requiere puertos adicionales que no se relacionan directamente con SQL Server. |
Para obtener más información, vea Habilitar una red para el uso de clústeres. |
Espacios de nombres URL reservados en la API del Servidor HTTP (HTTP.SYS) |
Probablemente el puerto TCP 80, pero se puede configurar en otros puertos. Para obtener información general, vea Configurar HTTP y HTTPS. |
Para ver información específica de SQL Server sobre cómo reservar un extremo HTTP.SYS mediante HttpCfg.exe, vea Reservar espacios de nombres URL mediante Http.sys. |
Consideraciones especiales para el puerto 135
Cuando utilice RPC con TCP/IP o con UDP/IP como transporte, los puertos entrantes suelen asignarse dinámicamente a los servicios del sistema cuando es necesario; se utilizan los puertos TCP/IP y UDP/IP mayores que el puerto 1024. Se suelen conocer informalmente como "puertos RPC aleatorios". En estos casos, los clientes RPC se apoyan en el asignador de extremos RPC para indicar qué puertos dinámicos se asignaron al servidor. Para algunos servicios basados en RPC, puede configurar un puerto concreto en lugar de permitir que RPC asigne dinámicamente uno. También puede restringir el intervalo de puertos que RPC asigna dinámicamente a un intervalo pequeño, con independencia del servicio. Dado que el puerto 135 se utiliza para muchos servicios, los usuarios malintencionados lo atacan con frecuencia. Al abrir el puerto 135, considere restringir el ámbito de la regla de firewall.
Para obtener más información sobre el puerto 135, vea las siguientes referencias:
Interacción con otras reglas de firewall
El Firewall de Windows utiliza reglas y grupos de reglas para establecer su configuración. Cada regla o grupo de reglas suele estar asociado con un programa o servicio determinado, y ese programa o servicio podría modificar o eliminar esa regla sin su conocimiento. Por ejemplo, los grupos de reglas World Wide Web Services (HTTP) y World Wide Web Services (HTTPS) están asociados a IIS. Al habilitar esas reglas, se abrirán los puertos 80 y 443, y las características de SQL Server que dependen de los puertos 80 y 443 funcionarán si esas reglas están habilitadas. Sin embargo, los administradores que configuran IIS podrían modificar o deshabilitar esas reglas. Por consiguiente, si está utilizando el puerto 80 o el puerto 443 para SQL Server, debe crear su propia regla o su propio grupo de reglas que mantenga la configuración de puerto que desee independientemente de las demás reglas IIS.
El complemento MMC del Firewall de Windows con seguridad avanzada permite cualquier tráfico que coincida con cualquier regla de permiso aplicable. Por lo tanto, si hay dos reglas que se apliquen al puerto 80 (con parámetros diferentes), se permitirá el tráfico que coincida con cualquiera de ellas. Así si una regla permite el tráfico sobre el puerto 80 de la subred local y otra permite el tráfico procedente de cualquier dirección, el efecto de la red será que se permita todo el tráfico dirigido al puerto 80, sin tener en cuenta su origen. Para administrar eficazmente el acceso a SQL Server, los administradores deben revisar periódicamente las reglas de firewall habilitadas en el servidor.
Información general de perfiles del firewall
Los perfiles de firewall se explican en Introducción al Firewall de Windows con seguridad avanzada en Windows Vista y Windows Server 2008 en la sección Firewall de host para ubicación de red. Para resumir, Windows Vista y Windows Server 2008 identifican y recuerdan cada una de las redes a las que conectan con respecto a la conectividad, las conexiones y la categoría.
Hay tres tipos de ubicación de red en Firewall de Windows con seguridad avanzada:
Dominio. Windows puede autenticar el acceso al controlador de dominio para el dominio al que está unido el equipo.
Públicas. Excepto las redes de dominio, todas las redes se categorizan inicialmente como públicas. Las redes que representan conexiones directas a Internet o que están en ubicaciones públicas, tales como aeropuertos o cafeterías, deben dejarse como públicas.
Privadas. Una red identificada por un usuario o una aplicación como privada. Sólo las redes confiables se deben identificar como redes privadas. Es probable que los usuarios deseen identificar las redes domésticas o de pequeña empresa como privadas.
El administrador puede crear un perfil para cada tipo de ubicación de red, cada perfil conteniendo diferentes directivas de firewall. En cada momento se aplica solamente un perfil. El orden de perfile se aplica de la manera siguiente:
Si todas las interfaces se autentican para el controlador de dominio para el dominio del que es miembro el equipo, se aplica el perfil del dominio.
Si todas las interfaces se autentican para el controlador de dominio o están conectadas a redes clasificadas como ubicaciones de la red privada, se aplica el perfil privado.
De lo contrario, se aplica el perfil público.
Utilice el complemento MMD de Firewall de Windows con seguridad avanzada para ver y configurar todos los perfiles del firewall. El elemento Firewall de Windows del Panel de control sólo configura el perfil actual.
Configuración adicional de Firewall de Windows con el elemento Firewall de Windows del Panel de control
Las excepciones que agregue al firewall pueden restringir la apertura del puerto a las conexiones entrantes de equipos concretos o de la subred local. Esta restricción del ámbito de la apertura del puerto puede reducir la exposición del equipo a usuarios malintencionados, y está recomendada.
[!NOTA]
El uso del elemento Firewall de Windows del Panel de control, solamente configura el perfil del firewall actual.
Para cambiar el ámbito de una excepción de firewall utilizando el elemento Firewall de Windows del Panel de control
En el elemento Firewall de Windows de Panel de control, seleccione un programa o puerto en la ficha Excepciones y, a continuación, haga clic en Propiedades o Editar.
En el cuadro de diálogo Modificar un programa o Modificar un puerto, haga clic en Cambiar ámbito.
Elija una de las opciones siguientes:
Cualquier equipo (incluyendo los que están en Internet)
No se recomienda. Esto permitirá que cualquier equipo que pueda direccionar su equipo se conecte al programa o al puerto especificados. Esta configuración puede ser necesaria para permitir que se presente información a usuarios anónimos de Internet, pero aumenta la exposición a los usuarios malintencionados. La exposición puede aumentarse aún más si habilita esta configuración y también permite la exploración transversal de la Traducción de direcciones de red (NAT), como la opción Permitir cruce seguro del perímetro.
Mi red (subred) solamente
Esta configuración de seguridad es más segura que Cualquier equipo. Sólo los equipos de la subred local de la red pueden conectarse al programa o al puerto.
Lista personalizada:
Sólo los equipos que tengan las direcciones IP de la lista se pueden conectar. Esta configuración puede ser más segura que Mi red (subred) solamente; sin embargo, los equipos cliente que utilicen DHCP pueden cambiar ocasionalmente su dirección IP. Entonces, el equipo deseado no podrá conectarse. Otro equipo, que no deseara autorizar, podría aceptar la dirección IP de la lista y, en consecuencia, podría conectarse La opción Lista personalizada puede ser adecuada para hacer una lista de otros servidores configurados para utilizar una dirección IP fija; no obstante, un intruso podría suplantar las direcciones IP. Las reglas restrictivas de firewall son tan fuertes como sea la infraestructura de red.
Utilizar el complemento Firewall de Windows con seguridad avanzada
En los equipos que están ejecutando Vista o Windows Server 2008, la configuración de firewall avanzada adicional se puede configurar utilizando el complemento MMC del Firewall de Windows con seguridad avanzada. El complemento incluye un asistente de reglas y expone valores de configuración adicionales que no están disponibles en el elemento Firewall de Windows en el Panel de control. Entre estas opciones de configuración, se incluyen las siguientes:
Configuración de cifrado
Restricciones de servicios
Restringir conexiones para equipos por nombre
Restringir conexiones para usuarios o perfiles específicos
Cruce de perímetro que permite que el tráfico evite los enrutadores de Traducción de direcciones de red (NAT)
Configurar reglas salientes
Configurar reglas de seguridad
Requerir IPSec para conexiones entrantes
Para crear una nueva regla de firewall mediante el asistente de Nueva regla
En el menú Inicio, haga clic en Ejecutar, escriba WF.msc y, a continuación, haga clic en Aceptar.
En el Firewall de Windows con seguridad avanzada, en el panel izquierdo, haga clic con el botón secundario en Reglas de entrada y, a continuación, haga clic en Nueva regla.
Complete el Asistente para nueva regla de entrada usando la configuración que desee.
Solucionar problemas de configuración del firewall
Las herramientas y técnicas siguientes pueden ser útiles para solucionar problemas del firewall:
El estado efectivo del puerto es la unión de todas las reglas relacionadas con el puerto. Cuando intente bloquear el acceso a través de un puerto, puede ser útil para revisar todas las reglas que citan el número de puerto. Para ello, utilice el complemento MMC del Firewall de Windows con seguridad avanzada y ordene las reglas entrantes y salientes por número de puerto.
Revise los puertos activos en el equipo en el que se esté ejecutando SQL Server. Este proceso de revisión incluye la verificación de qué puertos TCP/IP están escuchando y también la verificación del estado de los puertos.
Para verificar qué puertos están escuchando, utilice la utilidad de la línea de comandos netstat. Además de mostrar las conexiones TCP activas, la utilidad netstat también muestra una variedad de información y estadísticas de IP.
Para mostrar qué puertos TCP/IP están escuchando
Abra la ventana de símbolo del sistema.
En el símbolo del sistema, escriba netstat -n -a.
El modificador -n indica a netstat que muestre numéricamente la dirección y el número de puerto de las conexiones TCP activas. El modificador -a indica a netstat que muestre los puertos TCP y UPD en los que está escuchando el equipo.
La utilidad PortQry se puede usar para notificar el estado de los puertos TCP/IP como escuchando, no escuchando o filtrado. (Con un estado de filtrado, el puerto puede o no estar escuchando; este estado indica que la utilidad no ha recibido una respuesta del puerto.) La utilidad PortQry se puede descargar desde el Centro de descargas de Microsoft.
Si desea consultar otros temas acerca de la solución de problemas, vea:
Vea también