Konfigurace brány Windows Firewall pro povolení přístupu ke službě Analysis Services

platí pro: SQL Server Analysis Services Azure Analysis Services Fabric/Power BI Premium

Základním prvním krokem při zpřístupnění služby SQL Server Analysis Services nebo Power Pivotu pro SharePoint v síti je určení, jestli potřebujete odblokovat porty v bráně firewall. Většina instalací bude vyžadovat, abyste vytvořili aspoň jedno vázané pravidlo brány firewall, které umožňuje připojení ke službě SQL Server Analysis Services.

Požadavky na konfiguraci brány firewall se liší v závislosti na tom, jak jste nainstalovali službu SQL Server Analysis Services:

  • Při instalaci výchozí instance nebo vytvoření clusteru s podporou převzetí služeb při selhání SQL Server Analysis Services otevřete port TCP 2383.

  • Při instalaci pojmenované instance otevřete port TCP 2382. Pojmenované instance používají dynamické přiřazení portů. Služba zjišťování pro Analysis Services naslouchá službě SQL Server Browser na portu TCP 2382 a přesměruje požadavek na připojení na port aktuálně používaný službou SQL Server Analysis Services.

  • Otevřete port TCP 2382 při instalaci služby SQL Server Analysis Services v režimu SharePointu, aby podporoval Power Pivot pro SharePoint 2013. V Power Pivotu pro SharePoint 2013 je instance služby SQL Server Analysis Services externí pro SharePoint. Příchozí požadavky na pojmenovanou instanci Power Pivot pocházejí z webových aplikací SharePointu přes síťové připojení, které vyžadují otevřený port. Stejně jako u jiných pojmenovaných instancí služby SQL Server Analysis Services vytvořte příchozí pravidlo pro službu SQL Server Browser na protokolu TCP 2382, které povolí přístup k Power Pivotu pro SharePoint.

  • Pro Power Pivot pro SharePoint 2010 neotevírejte porty v bráně Windows Firewall. Jako doplněk k SharePointu služba používá porty nakonfigurované pro SharePoint a provádí pouze místní připojení k instanci služby SQL Server Analysis Services, která načítá a dotazuje datové modely Power Pivotu.

  • Pro instance služby SQL Server Analysis Services spuštěné na virtuálních počítačích s Windows Azure použijte alternativní pokyny ke konfiguraci přístupu k serveru. Viz SQL Server Business Intelligence ve Službě Windows Azure Virtual Machines.

I když výchozí instance služby SQL Server Analysis Services naslouchá na portu TCP 2383, můžete server nakonfigurovat tak, aby naslouchal na jiném pevném portu a připojil se k serveru v tomto formátu: <název> serveru:<portnumber>.

Poznámka:

Pokud se potřebujete připojit k instanci pomocí protokolu Kerberos, nemůžete pro službu Analysis Services použít jiný než výchozí port. Další informace najdete v registraci hlavního názvu služby (SPN) pro instance SSAS, které naslouchají na pevných portech.

Instanci služby SQL Server Analysis Services může používat pouze jeden port TCP. Na počítačích s více síťovými kartami nebo několika IP adresami naslouchá služba SQL Server Analysis Services na jednom portu TCP pro všechny IP adresy přiřazené nebo aliasované k počítači. Pokud máte specifické požadavky na více portů, zvažte konfiguraci služby SQL Server Analysis Services pro přístup http. Pak můžete nastavit více koncových bodů HTTP na libovolné porty, které zvolíte. Viz Konfigurace přístupu HTTP ke službě Analysis Services v internetové informační službě (IIS) 8.0.

Toto téma obsahuje následující části:

Další informace o výchozích nastaveních brány Windows Firewall a popis portů TCP, které ovlivňují databázový stroj, analysis services, službu Reporting Services a integrační služby, najdete v tématu Konfigurace brány Windows Firewall tak, aby umožňovala aplikaci SQL Server Access.

Zkontrolujte nastavení portů a brány firewall pro Analysis Services

V operačních systémech Microsoft Windows, které sql Server 2017 podporuje, je brána Windows Firewall ve výchozím nastavení zapnutá a blokuje vzdálená připojení. Musíte ručně otevřít port v bráně firewall, aby bylo možné povolit příchozí požadavky do Analysis Services. Instalační program SYSTÉMU SQL Server neprovádí tento krok za vás.

Nastavení portů se zadává v souboru msmdsrv.ini a na stránce Obecné vlastnosti instance služby Analysis Services v sadě SQL Server Management Studio. Pokud je port nastavený na kladné celé číslo, služba naslouchá na pevném portu. Pokud je port nastavený na hodnotu 0, služba naslouchá na portu 2383, pokud se jedná o výchozí instanci nebo dynamicky přiřazený port, pokud se jedná o pojmenovanou instanci.

Dynamická přiřazení portů se používají pouze pojmenovanými instancemi. Služba MSOLAP$InstanceName určuje, který port se má použít při spuštění. Skutečné číslo portu používané pojmenovanou instancí můžete určit následujícím způsobem:

  • Spusťte Správce úloh a klepněte na tlačítko Služby získat PID MSOLAP$InstanceName.

  • Spuštěním příkazu netstat -ao -p TCP z příkazového řádku zobrazte informace o portu TCP pro daný PID.

  • Ověřte port pomocí aplikace SQL Server Management Studio a připojte se k serveru Analysis Services v tomto formátu: <IPAddress>:<portnumber>.

I když aplikace může naslouchat na určitém portu, připojení nebudou úspěšná, pokud firewall blokuje přístup. Aby se připojení dostala k pojmenované instanci služby Analysis Services, musíte v bráně firewall odblokovat přístup k msmdsrv.exe nebo k pevnému portu, na kterém naslouchá. Zbývající části tohoto tématu obsahují pokyny k tomu.

Chcete-li zkontrolovat, zda jsou nastavení brány firewall již definována pro Analysis Services, použijte bránu Windows Firewall s pokročilým zabezpečením v Ovládacích panelech. Stránka Firewall ve složce Monitorování zobrazuje úplný seznam pravidel definovaných pro místní server.

Všimněte si, že pro SLUŽBU SQL Server Analysis Services musí být ručně definována všechna pravidla brány firewall. Přestože SQL Server Analysis Services a SQL Server Browser si vyhrazují porty 2382 a 2383, ani instalační program SQL Serveru, ani žádný z konfiguračních nástrojů nedefinují pravidla brány firewall, která umožňují přístup k portům nebo spustitelným souborům programu.

Konfigurace brány Windows Firewall pro výchozí instanci služby Analysis Services

Výchozí instance služby SQL Server Analysis Services naslouchá na portu TCP 2383. Pokud jste nainstalovali výchozí instanci a chcete tento port použít, stačí odblokovat příchozí přístup k portu TCP 2383 v bráně Windows Firewall, abyste povolili vzdálený přístup k výchozí instanci služby SQL Server Analysis Services. Pokud jste nainstalovali výchozí instanci, ale chcete službu nakonfigurovat tak, aby naslouchala na pevném portu, přečtěte si téma Použití pevného portu pro výchozí nebo pojmenovanou instanci služby Analysis Services v tomto tématu.

Pokud chcete ověřit, jestli je služba spuštěná jako výchozí instance (MSSQLServerOLAPService), zkontrolujte název služby v nástroji SQL Server Configuration Manager. Výchozí instance služby Analysis Services je vždy uvedena jako SLUŽBA SQL Server Analysis Services (MSSQLSERVER).

Poznámka:

Různé operační systémy Windows poskytují alternativní nástroje pro konfiguraci brány Windows Firewall. Většina těchto nástrojů vám umožňuje vybrat mezi otevřením konkrétního portu nebo spustitelného souboru programu. Pokud nemáte důvod pro zadání spustitelného souboru programu, doporučujeme zadat port.

Při zadávání příchozího pravidla nezapomeňte přijmout zásady vytváření názvů, které vám umožní později snadno najít pravidla (například SQL Server Analysis Services (TCP-in) 2383).

Firewall Windows s pokročilým zabezpečením

  1. V systému Windows 7 nebo Windows Vista klepněte v Ovládacích panelech na položku Systém a zabezpečení, vyberte bránu Windows Firewall a potom klepněte na tlačítko Upřesnit nastavení. V systému Windows Server 2008 nebo 2008 R2 otevřete Nástroje pro správu a klikněte na bránu Windows Firewall s pokročilým zabezpečením. Ve Windows Serveru 2012 otevřete stránku aplikace a zadejte Windows Firewall.

  2. Klikněte pravým tlačítkem na Příchozí pravidla a vyberte Nové pravidlo.

  3. V typu pravidla klepněte na tlačítko Port a potom klepněte na tlačítko Další.

  4. V okně Protokol a porty vyberte TCP a potom zadejte 2383 v konkrétních místních portech.

  5. V akci klepněte na tlačítko Povolit připojení a potom klepněte na tlačítko Další.

  6. V profilu odstraňte všechna síťová umístění, která se nevztahují, a klepněte na Další.

  7. Do pole Název zadejte popisný název tohoto pravidla (například SQL Server Analysis Services (tcp-in) 2383) a klikněte na tlačítko Dokončit.

  8. Pokud chcete ověřit, jestli jsou povolená vzdálená připojení, otevřete SQL Server Management Studio nebo Excel na jiném počítači a připojte se ke službě SQL Server Analysis Services zadáním názvu sítě serveru v názvu serveru.

    Poznámka:

    Ostatní uživatelé nebudou mít k tomuto serveru přístup, dokud neudělíte oprávnění. Další informace najdete v tématu Autorizace přístupu k objektům a operacím (Analysis Services).

Netsh AdvFirewall – syntaxe

  • Následující příkaz vytvoří příchozí pravidlo, které umožňuje příchozí požadavky na portu TCP 2383.

    netsh advfirewall firewall add rule name="SQL Server Analysis Services inbound on TCP 2383" dir=in action=allow protocol=TCP localport=2383 profile=domain

Konfigurace přístupu k bráně Windows Firewall pro pojmenovanou instanci služby Analysis Services

Pojmenované instance služby SQL Server Analysis Services můžou naslouchat na pevném portu nebo na dynamicky přiřazeném portu, kde služba SQL Server Browser poskytuje informace o připojení, které jsou aktuální pro službu v době připojení.

Služba SQL Server Browser naslouchá na portu TCP 2382. UDP se nepoužívá. TCP je jediný přenosový protokol používaný službou SQL Server Analysis Services.

Pokud chcete povolit vzdálený přístup k pojmenované instanci služby Analysis Services, zvolte jeden z následujících přístupů:

  • Použijte přiřazení dynamických portů a službu SQL Server Browser. Odblokujte port používaný službou SQL Server Browser v bráně Windows Firewall. Připojte se k serveru v tomto formátu: <název>_serveru\<instancename>.

  • Společně použijte pevný port a službu SQL Server Browser. Tento přístup umožňuje připojit se pomocí tohoto formátu: <název_serveru\>instancename<>, shodný s přístupem k dynamickému přiřazení portu, s tím rozdílem, že v tomto případě server naslouchá na pevném portu. V tomto scénáři služba SQL Server Browser Service poskytuje rozlišení názvů instanci Analysis Services naslouchající na pevném portu. Pokud chcete tento přístup použít, nakonfigurujte server tak, aby naslouchal na pevném portu, odblokuje přístup k tomuto portu a odblokuje přístup k portu používanému službou SQL Server Browser.

Služba SQL Server Browser se používá pouze s pojmenovanými instancemi, nikdy s výchozí instancí. Služba se automaticky nainstaluje a povolí při každé instalaci jakékoli funkce SQL Serveru jako pojmenované instance. Pokud zvolíte přístup, který vyžaduje službu SQL Server Browser, ujistěte se, že je na serveru povolený a spuštěný.

Pokud nemůžete použít službu SQL Server Browser, musíte přiřadit pevný port v připojovacím řetězci a obejít překlad názvů domén. Bez služby SQL Server Browser musí všechna připojení klienta obsahovat číslo portu v připojovacím řetězci (například AW-SRV01:54321).

Možnost 1: Použití přiřazení dynamického portu a odblokování přístupu ke službě SQL Server Browser

Dynamická přiřazení portů pro pojmenované instance služby Analysis Services jsou vytvořena službou MSOLAP$InstanceName při spuštění služby. Ve výchozím nastavení služba deklaruje první dostupné číslo portu, které najde, pomocí jiného čísla portu při každém restartování služby.

Rozlišení názvů instancí zpracovává služba prohlížeče SQL Serveru. Odblokování portu TCP 2382 pro službu SQL Server Browser je vždy vyžadováno, pokud používáte dynamické přiřazení portů s pojmenovanou instancí.

Poznámka:

Služba SQL Server Browser naslouchá na portu UDP 1434 a portu TCP 2382 pro Databázový stroj a Služby analýzy v tomto pořadí. I když jste už odblokovali port UDP 1434 pro službu SQL Server Browser, musíte stále odblokovat port TCP 2382 pro Analysis Services.

Firewall Windows s pokročilým zabezpečením

  1. V systému Windows 7 nebo Windows Vista klepněte v Ovládacích panelech na položku Systém a zabezpečení, vyberte bránu Windows Firewall a potom klepněte na tlačítko Upřesnit nastavení. V systému Windows Server 2008 nebo 2008 R2 otevřete Nástroje pro správu a klikněte na bránu Windows Firewall s pokročilým zabezpečením. Ve Windows Serveru 2012 otevřete stránku aplikace a zadejte Windows Firewall.

  2. Pokud chcete odblokovat přístup ke službě SQL Server Browser, klikněte pravým tlačítkem na Příchozí pravidla a vyberte Nové pravidlo.

  3. V typu pravidla klepněte na tlačítko Port a potom klepněte na tlačítko Další.

  4. V okně Protokol a porty vyberte TCP a potom zadejte 2382 v konkrétních místních portech.

  5. V akci klepněte na tlačítko Povolit připojení a potom klepněte na tlačítko Další.

  6. V profilu odstraňte všechna síťová umístění, která se nevztahují, a klepněte na Další.

  7. Do pole Název zadejte popisný název tohoto pravidla (například sql Server Browser Service (tcp-in) 2382) a klikněte na tlačítko Dokončit.

  8. Pokud chcete ověřit, jestli jsou povolená vzdálená připojení, otevřete sql Server Management Studio nebo Excel na jiném počítači a připojte se ke službě Analysis Services zadáním názvu sítě serveru a názvu instance v tomto formátu: <název_serveru>\<instancename>. Například na serveru SW-SRV01 s pojmenovanou instancí Finance je název serveru AW-SRV01\Finance.

Možnost 2: Použití pevného portu pro pojmenovanou instanci

Případně můžete přiřadit pevný port a pak odblokovat přístup k danému portu. Tento přístup nabízí lepší možnosti auditování, než kdybyste povolili přístup ke spustitelnému souboru programu. Z tohoto důvodu je použití pevného portu doporučeným přístupem pro přístup k jakékoli instanci služby Analysis Services.

Pokud chcete přiřadit pevný port, postupujte podle pokynů v části Použití pevného portu pro výchozí nebo pojmenovanou instanci služby Analysis Services v tomto tématu a pak se vraťte do této části a odblokujte port.

Firewall Windows s pokročilým zabezpečením

  1. V systému Windows 7 nebo Windows Vista klepněte v Ovládacích panelech na položku Systém a zabezpečení, vyberte bránu Windows Firewall a potom klepněte na tlačítko Upřesnit nastavení. V systému Windows Server 2008 nebo 2008 R2 otevřete Nástroje pro správu a klikněte na bránu Windows Firewall s pokročilým zabezpečením. Ve Windows Serveru 2012 otevřete stránku aplikace a zadejte Windows Firewall.

  2. Pokud chcete odblokovat přístup ke službě Analysis Services, klikněte pravým tlačítkem na Příchozí pravidla a vyberte Nové pravidlo.

  3. V typu pravidla klepněte na tlačítko Port a potom klepněte na tlačítko Další.

  4. V části Protokol a porty vyberte TCP a zadejte pevný port do konkrétních místních portů.

  5. V akci klepněte na tlačítko Povolit připojení a potom klepněte na tlačítko Další.

  6. V profilu odstraňte všechna síťová umístění, která se nevztahují, a klepněte na Další.

  7. Do pole Název zadejte popisný název tohoto pravidla (například SQL Server Analysis Services na portu 54321) a klikněte na tlačítko Dokončit.

  8. Pokud chcete ověřit, jestli jsou povolená vzdálená připojení, otevřete sql Server Management Studio nebo Excel na jiném počítači a připojte se ke službě Analysis Services zadáním názvu sítě serveru a čísla portu v tomto formátu: <název>_serveru:<portnumber>.

Netsh AdvFirewall – syntaxe

  • Následující příkazy vytvoří příchozí pravidla, která odblokuje tcp 2382 pro službu SQL Server Browser a odblokuje pevný port, který jste zadali pro instanci Analysis Services. Pokud chcete povolit přístup k pojmenované instanci služby Analysis Services, můžete spustit jeden z nich.

    V tomto ukázkovém příkazu je port 54321 pevným portem. Nezapomeňte ho nahradit skutečným portem, který se používá ve vašem systému.

    netsh advfirewall firewall add rule name="SQL Server Analysis Services (tcp-in) on 54321" dir=in action=allow protocol=TCP localport=54321 profile=domain  

    netsh advfirewall firewall add rule name="SQL Server Browser Services inbound on TCP 2382" dir=in action=allow protocol=TCP localport=2382 profile=domain

Použití pevného portu pro výchozí nebo pojmenovanou instanci služby Analysis Services

Tato část vysvětluje, jak nakonfigurovat službu Analysis Services tak, aby naslouchala na pevném portu. Použití pevného portu je běžné, pokud jste službu Analysis Services nainstalovali jako pojmenovanou instanci, ale tento přístup můžete použít také v případě, že obchodní nebo bezpečnostní požadavky určují, že používáte ne defaultní přiřazení portů.

Všimněte si, že použití pevného portu změní syntaxi připojení pro výchozí instanci tím, že vyžaduje, abyste k názvu serveru připojili číslo portu. Například při připojování k místní výchozí instanci Analysis Services, která naslouchá na portu 54321 v aplikaci SQL Server Management Studio, je nutné zadat jako název serveru localhost:54321 v dialogovém okně Připojit k serveru.

Pokud používáte pojmenovanou instanci, můžete přiřadit pevný port beze změn způsobu zadání názvu serveru (konkrétně můžete použít <název_serveru\název_instance> pro připojení k pojmenované instanci, která naslouchá na pevném portu). Funguje to jenom v případě, že je spuštěná služba SQL Server Browser a odblokovali jste port, na kterém naslouchá. Služba SQL Server Browser bude poskytovat přesměrování na pevný port založený na <názvu serveru\instancename>. Pokud otevřete porty jak pro službu SQL Server Browser, tak pro pojmenovanou instanci služby Analysis Services, která naslouchá na pevném portu, služba SQL Server Browser zprostředkuje připojení k pojmenované instanci.

  1. Určete dostupný port TCP/IP, který se má použít.

    Pokud chcete zobrazit seznam rezervovaných a registrovaných portů, kterým byste se měli vyhnout, přečtěte si téma Čísla portů (IANA). Pokud chcete zobrazit seznam portů, které se už v systému používají, otevřete okno příkazového řádku a zadejte příkaz netstat -a -p TCP zobrazte seznam portů TCP, které jsou otevřené v systému.

  2. Po určení, který port použít, určete port úpravou nastavení konfigurace portu v souboru msmdsrv.ini nebo na stránce Obecné vlastnosti instance Analysis Services v aplikaci SQL Server Management Studio.

  3. Restartujte službu.

  4. Nakonfigurujte bránu Windows Firewall tak, aby odblokuje zadaný port TCP. Nebo pokud pro pojmenovanou instanci používáte pevný port, odblokujte port TCP, který jste pro danou instanci zadali, i port TCP 2382 pro službu SQL Server Browser.

  5. Ověřte to tak, že se připojíte místně (v sadě Management Studio) a pak vzdáleně z klientské aplikace na jiném počítači. Pokud chcete použít Management Studio, připojte se k výchozí instanci služby Analysis Services zadáním názvu serveru v tomto formátu: <název> serveru:<portnumber>. Pro pojmenovanou instanci zadejte název serveru jako <název>_serveru\<instancename>.

Konfigurace portu pro cluster Analysis Services

Cluster služby SQL Server Analysis Services s podporou převzetí služeb vždy naslouchá na portu TCP 2383 bez ohledu na to, jestli jste ho nainstalovali jako výchozí instanci nebo pojmenovanou instanci. Služba SQL Server Analysis Services nepoužívá přiřazení dynamických portů při instalaci na Windows failover clusteru. Nezapomeňte otevřít PROTOKOL TCP 2383 na všech uzlech, na kterých běží SLUŽBA SQL Server Analysis Services v clusteru. Další informace o clustrování služby SQL Server Analysis Services naleznete v tématu Jak clustrovat SQL Server Analysis Services.

Konfigurace portu pro Power Pivot pro SharePoint

Architektura serveru pro Power Pivot pro SharePoint se zásadně liší v závislosti na tom, jakou verzi SharePointu používáte.

SharePoint 2013

V SharePointu 2013 služba Excel Services přesměruje požadavky na datové modely Power Pivotu, které se následně načtou do instance služby SQL Server Analysis Services mimo prostředí SharePointu. Připojení se řídí typickým vzorem, kdy klientská knihovna služby Analysis Services v místním počítači odešle žádost o připojení vzdálené instanci služby SQL Server Analysis Services ve stejné síti.

Vzhledem k tomu, že Power Pivot pro SharePoint vždy instaluje službu SQL Server Analysis Services jako pojmenovanou instanci, měli byste předpokládat spuštění služby SQL Server Browser a očekávat dynamické přiřazení portů. Jak bylo uvedeno dříve, služba SQL Server Browser poslouchá na TCP portu 2382 pro žádosti o připojení zaslané na pojmenované instance SQL Server Analysis Services a přesměrovává tyto žádosti na aktuální port.

Služba Excel Services v SharePointu 2013 nepodporuje syntaxi připojení k pevnému portu, proto se ujistěte, že je služba SQL Server Browser přístupná.

SharePoint 2010

Pokud používáte SharePoint 2010, nemusíte otevírat porty v bráně Windows Firewall. SharePoint otevře porty, které vyžaduje, a doplňky, jako je Power Pivot pro SharePoint, fungují v prostředí SharePointu. V instalaci Power Pivotu pro SharePoint 2010 má systémová služba Power Pivot výhradní použití místní instance služby SQL Server Analysis Services (Power Pivot), která je s ní nainstalovaná na stejném počítači. Používá místní připojení, nikoli síťová připojení, pro přístup ke službě místního modulu Analysis Services, která načítá, dotazuje a zpracovává data Power Pivotu na serveru SharePointu. Pokud chcete požádat o data Power Pivotu z klientských aplikací, požadavky se směrují přes porty otevřené nastavením SharePointu (konkrétně jsou definována příchozí pravidla umožňující přístup k SharePointu – 80, Centrální správa SharePointu v4, SharePoint Web Services a SPUserCodeV4). Vzhledem k tomu, že webové služby Power Pivot běží ve farmě SharePointu, jsou pravidla brány firewall SharePointu dostatečná pro vzdálený přístup k datům Power Pivotu ve farmě Služby SharePoint.

Viz také

SQL Server Browser Service (SQL Server databázový stroj a SSAS)
Spuštění, zastavení, pozastavení, obnovení, restartování databázového stroje, agenta SQL Serveru nebo služby prohlížeče SQL Serveru
Konfigurace brány Windows Firewall pro přístup k databázovému stroji

  • Poslední aktualizace v