控制器和设备间通信在防火墙上需要放行哪些端口？

核心原则是：​​控制器作为服务端，网络设备作为客户端，设备会主动向控制器发起连接。因此，防火墙策略需要允许来自网络设备的特定流量访问控制器的特定端口。​​

以下是根据不同控制器类型和功能的详细端口列表。

一、通用核心端口（适用于大多数场景）

这些是绝大多数H3C控制器（如iMC、SDN控制器）与设备通信所必需的基础端口。

​​基础放行策略建议：​​

在防火墙上创建一条策略，允许​​源​​为所有被管理网络设备所在网段，​​目的​​为控制器IP地址，​​服务​​为上述端口（UDP 161-162, TCP 22, 80, 443）的流量通过。

二、特定功能/组件所需端口

如果您的控制器部署了特定功能模块，则需要额外放行以下端口。

1. 对于 ​​H3C iMC 智能管理中心​​

2. 对于 ​​H3C Campus / VXLAN 控制器​​

3. 对于 ​​H3C AD-Campus 控制器​​ (更高级的SDN场景)

总结与配置建议

1. 1.

   ​​最小化原则​​：不要简单地允许所有IP的所有端口。根据您实际部署的控制器功能和被管理设备的类型，​​只开放必要的端口​​。

2. 2.

   ​​精确的地址对象​​：

   • •

     ​​目的地址​​：创建地址对象，包含您的​​控制器IP​​（如果控制器是集群，包含所有节点IP）。

   • •

     ​​源地址​​：创建地址对象，包含​​所有被管理的网络设备所在的网段​​（如 10.10.10.0/24）。

3. 3.

   ​​服务对象​​：将上述需要放行的端口创建为服务对象或服务组。

4. 4.

   ​​安全策略​​：在防火墙上创建一条或一组策略：

   • •

     ​​源区域​​：设备所在区域（如Trust）

   • •

     ​​目的区域​​：控制器所在区域（如DMZ）

   • •

     ​​源地址​​：设备网段地址对象

   • •

     ​​目的地址​​：控制器IP地址对象

   • •

     ​​服务​​：所需放行的服务对象（如 tcp_22, udp_161-162等）

   • •

     ​​动作​​：允许（Permit）

​​示例策略：​​

• •

  规则名：Permit_Network_Devices_to_iMC

• •

  源域：Trust

• •

  目的域：DMZ

• •

  源地址：10.10.10.0/24(设备网段)

• •

  目的地址：192.168.1.100(iMC服务器IP)

• •

  服务：SNMP(UDP 161-162), SSH(TCP 22), HTTPS(TCP 443)

• •

  动作：允许

最后，​​强烈建议您查阅您所使用的特定H3C控制器版本的官方安装部署指南​​，其中通常会有一个名为“防火墙端口列表”的附录，这是最权威的依据。

您好，参考2.4章

02-AD-WAN分支6.4 WAN业务配置指导-新华三集团-H3C

同步一下，addc的放通矩阵在控制器版本使用指导书中，AD-WAN的在配置指导中