附录 B · 端口与网络矩阵
适用对象：交付工程师、网络管理员 · 对应产品界面版本 v1.2.0
部署前把这张表交给网络管理员，一次把放行申请提完。下表取自源文档 DRC-005，端口值均为该文档标注「已确认」的核查结果。
以页面实际配置为准
表中端口是核查环境的配置值。这些端口在产品里是可配置的，你的环境如果改过，以控制台页面上的实际取值为准，不要照抄本表去开防火墙。
按组件看监听端口
| 组件 | 端口 | 用途 |
|---|---|---|
| 被保护主机（Agent） | 37000 | 服务通信 |
| 被保护主机（Agent） | 37001 | 数据传输 |
| 数据存储库 | 36000 | 存储库服务 |
| 数据存储库 | 36001 | 数据传输 |
| 数据获取器（Backup Proxy） | 35000 | 应用服务 |
| 数据获取器（Backup Proxy） | 35001 | 通信 |
防火墙放行矩阵
按「源 → 目标」申请放行，全部为 TCP。
| 源 | 目标 | 端口 | 用途 | 必要性 |
|---|---|---|---|---|
| 浏览器（管理客户端） | 管理平台 | 443 | 控制台 HTTPS 访问 | 建议 |
| 被保护主机（Agent） | 管理平台 / 数据获取器 | 37000 | 代理服务通信 | 必需 |
| 被保护主机（Agent） | 管理平台 / 数据获取器 | 37001 | 代理数据传输 | 必需 |
| 管理平台 / 数据获取器 | 数据存储库 | 36000 | 存储库服务 | 必需 |
| 管理平台 / 数据获取器 | 数据存储库 | 36001 | 存储库数据传输 | 必需 |
| 管理平台 | 数据获取器（Backup Proxy） | 35000 | 数据获取器应用服务 | 必需 |
| 管理平台 | 数据获取器（Backup Proxy） | 35001 | 数据获取器通信 | 必需 |
| 数据获取器（Backup Proxy） | 被保护主机（Agent） | 23100 | 服务端反向连接客户端的管理监听端口 | 仅某一种接入模式需要 |
| 管理平台 / 数据获取器 | Windows 被保护主机 | 445 / 135 / 5985 | SMB / WMI / WinRM 接入与代理分发 | 按接入方式 |
反向连接那一条容易漏
23100 只在特定接入模式下需要，方向是从数据获取器连向被保护主机，与其他条目的方向相反。按默认模式部署时不需要，但一旦切换接入方式而这条没放行，接入会失败且现象不直观。具体适用模式见第 4 章。
申请放行时的注意事项
- 表里的「管理平台」与「数据获取器」在小规模部署中可能是同一台机器，此时两者之间的流量不经过网络，不必申请。
- Windows 接入那一行按你实际选用的接入方式申请，不要三个端口全开。
- 跨网络区域部署时，先看第 2 章的网络区域划分建议，再决定哪些链路需要穿越防火墙。