出于安全原因，选择 SQL Server 侦听哪个 TCP 端口？

Question

我知道 MS SQL Server 的默认 TCP 端口是 1433，出于某些安全原因最好更改它。但是我想知道SQL Server选择哪个端口而不是1433更好，才能正常工作，不干扰其他程序的工作？如果我选择一个已经被其他程序使用的端口怎么办？

谢谢你的时间！

Answer 1

这个问题可能更适合https://security.stackexchange.com/，因为这个想法和含义根本不是 SQL Server 特有的，它们适用于任何其他内部服务。

更改 SQL Server 实例端口通常对安全性几乎没有增加 - 这是一个“戏剧”操作，而不是真正的安全优势，将其放在清单中以使其看起来像您正在为深度安全策略做很多事情^[1] . 如果浏览器服务仍然打开，任何进入的人都可以询问 SQL 正在侦听的端口。不同端口上的多个 SQL 实例并不少见，因此如果在 1433 上找不到实例，则针对 SQL Server 的自动攻击通常会扫描其他端口上的实例，而自动攻击机器人一直在进行的攻击可能需要花费数十秒的时间在世界等待。

如果外部世界可以看到端口 1433，那么这就是问题所在（您的防火墙/其他设置太开放）并且更改端口可能无法解决该问题，因为新端口也可能对世界开放。如果攻击者在您的基础设施内部，因此可以看到 SQL Server 侦听端口，那么您在其他地方就会遇到严重的安全问题，移动 SQL 的端口也无济于事。

^{[1] 注意：我的意思并不是暗示深度安全是一件坏事，实际上并非如此。深度安全应该是所有环境的核心目标。但是，当您可以花时间做其他确实可以提高安全性的事情时，请尽量避免安全剧院，这会增加麻烦但实际上没有任何真正的安全优势。}