Сетевые порты и протоколы

Здесь описаны сетевые порты и протоколы, по которым контроллер UVATRON обменивается данными с компьютером интегратора, панелями операторов, внешними системами и управляемым оборудованием. Раздел нужен интеграторам, пользователям контроллера и службам ИТ и информационной безопасности заказчика, которые настраивают межсетевые экраны. Для каждого порта указано, зачем он нужен, в какую сторону идёт трафик, по какому протоколу и при каких условиях порт открыт.

Описание относится к прошивке версии 2.2.1. Режим HTTPS подробно описан в разделе Режим HTTPS, а вход в UI-Designer и ограничение доступа к UI-Panel — в разделе Доступ к интерфейсам.

Примечание

Подтвердите возможность обмена по перечисленным портам у вашего сетевого администратора. Порты, которые зависят от проекта (подключение к оборудованию, камерам и внешним системам), определяются настройками проекта в U-Logic и в таблицах обозначены как «Настраивается».

Информация о сетевых портах

Таблицы нужны для планирования сети и поиска неисправностей. Столбец «Направление» показывает, куда идёт трафик, относительно устройства, для которого составлена таблица:

  • Входящее — устройство принимает трафик на указанном порту. Соединение устанавливает другая сторона.

  • Исходящее — устройство отправляет трафик на указанный порт другого узла. Соединение устанавливает само устройство.

  • Оба — трафик принимается на указанном порту и отправляется с него.

Если межсетевой экран отслеживает состояние соединений, правило нужно только для стороны, которая соединение устанавливает: ответные пакеты проходят автоматически.

Режим работы контроллера, HTTP или HTTPS, переключается на странице настроек. По умолчанию включён режим HTTP. Часть портов зависит от режима, это указано в описании. Сводка отличий — ниже, в разделе «Что меняется в режиме HTTPS».

Контроллер UVATRON и сенсорная панель UV4PRO-T10

В таблице указаны порты, общие для обоих исполнений. Различия между платформами — в столбце «Описание». Под «страницей настроек» понимается страница Панель управления, которая открывается по адресу контроллера.

Порт

Протокол

Направление

Служба

Описание

8001

TCP

Входящее

HTTP

Адрес страницы настроек для ввода в браузере без указания защищённого порта. Страницу не отдаёт, только перенаправляет браузер на порт 8443. Пароль через этот порт не передаётся. Открыт всегда.

8443

TCP

Входящее

HTTPS

Страница настроек: сетевые параметры, дата и время, пароль, обновление прошивки, загрузка и скачивание проекта. Шифрование: да (TLS). Открыт всегда. Вход по логину и паролю.

5001

TCP

Входящее

HTTP или HTTPS

UI-Panel: страница с интерфейсами управления. Шифрование: в режиме HTTPS. Открыт всегда. Доступ настраивается в разделе Доступ к интерфейсам.

8000

TCP

Входящее

HTTPS

UI-Designer. Шифрование: да, в обоих режимах. По умолчанию выключен: включается и выключается на странице настроек командой UI-Designer. После завершения работы над интерфейсом его нужно выключить. Пока он выключен, порт закрыт. Вход выполняется по данным страницы настроек, см. Доступ к интерфейсам.

1880

TCP

Входящее

HTTP и WebSocket или HTTPS и WSS

U-Logic: редактор логики (вход под именем admin с паролем страницы настроек) и канал управления, по которому UI-Panel обменивается с проектом командами и состояниями элементов. Шифрование: в режиме HTTPS. Открыт всегда. На этом же порту работают адреса, которые проект создаёт узлами http in (узел — блок программы U-Logic, см. «Сеть»).

3002

TCP

Входящее

HTTP или HTTPS, WebSocket или WSS

Страница видеоплеера и поток видео для неё: адрес страницы указывается в элементе Web URL интерфейса, см. Просмотр RTSP-потока. Шифрование: в режиме HTTPS. Открыт всегда.

4501

TCP

Входящее

Сервисный MQTT поверх WebSocket

Служебный обмен страницы UI-Panel с контроллером, пока она открыта по HTTP: сигнал обновления интерфейса после публикации проекта. Открыт только в режиме HTTP.

4500

TCP

Входящее

Сервисный MQTT поверх WSS

Служебный обмен страниц контроллера: уведомления страницы настроек и UI-Designer (в обоих режимах), сигнал обновления UI-Panel в режиме HTTPS. Шифрование: да (TLS). Открыт всегда.

11883

TCP

Входящее

Сервисный MQTT

Служебный обмен между компонентами контроллера. Открыт всегда, режим HTTPS на него не влияет. Для работы интерфейсов и настройки открывать его в сети не нужно.

4503

TCP

Входящее

Сервисный SSH

Сервисный доступ для обслуживания контроллера производителем. Шифрование: да. Открыт всегда. Для работы интерфейсов и настройки открывать его в сети не нужно.

22022

TCP

Входящее

SFTP

Обмен файлами с папкой uploads контроллера. В неё загружают файлы для проекта (например, файлы конфигурации) и из неё забирают файлы, записанные проектом. Узлы U-Logic читают и записывают файлы в этой папке, содержимое сохраняется при отключении питания. Вход: учётная запись admin с паролем страницы настроек. Другие данные контроллера по SFTP недоступны. Шифрование: да (SSH). Открыт всегда.

123

UDP

Оба

NTP

Синхронизация времени. Исходящее: контроллер запрашивает время у сервера времени (по умолчанию pool.ntp.org, сервер меняется на странице настроек). Входящее: контроллер сам раздаёт время устройствам сети, которые обращаются к этому порту, в том числе из другой подсети через маршрутизатор. Раздачу выключает переключатель «NTP-сервер» на странице настроек, например если в сети уже есть свой сервер времени. Если внешнего сервера нет, контроллер раздаёт собственные часы.

68 (к серверу: 67)

UDP

Оба

DHCP

Клиент DHCP: получение сетевого адреса у DHCP-сервера сети (порт сервера 67). Используется только если в сетевых настройках выбран режим DHCP; по умолчанию задан статический адрес 192.168.1.250.

53

UDP, TCP

Исходящее

DNS

Преобразование имён в адреса. Используется только если в сетевых настройках указан DNS-сервер; в заводских настройках он не задан. Нужен, если сервер времени или оборудование в проекте заданы именами.

Настраивается (по умолчанию: 554)

TCP

Исходящее

RTSP

Подключение контроллера к IP-камерам и видеорегистраторам для вывода видео в интерфейс. Порт берётся из RTSP-адреса источника. Видео в браузер передаётся не напрямую от камеры, а через контроллер (порт 3002).

Назначается автоматически

UDP

Входящее

RTP

Видеопоток от камеры, если он передаётся по UDP. На UVATRON это режим по умолчанию. На UV4PRO-T10 видео и управление идут по одному TCP-соединению к камере, и входящий UDP не нужен.

Настраивается

TCP, UDP

Исходящее

Управление оборудованием

Подключения к управляемому оборудованию: драйверы и узлы U-Logic (TCP, UDP, HTTP, SSH, Telnet и другие протоколы, включая Modbus, KNX, BACnet, SNMP, электронную почту и Wake-on-LAN). Порты, адреса и протоколы задаются в проекте.

Настраивается

TCP, UDP

Входящее

Узлы проекта

Порты, которые открывают узлы проекта, принимающие соединения (например, SNMP-агент). По умолчанию, без таких узлов, не открываются.

Нет порта

EAPOL

Оба

802.1X

Проверка подлинности в проводной сети, если она включена в сетевых настройках. Контроллер обменивается кадрами EAPOL только с коммутатором на канальном уровне; IP-адреса и порта нет. Сам коммутатор обращается к серверу RADIUS, контроллер с ним напрямую не общается. До успешной проверки коммутатор не пропускает остальной трафик.

Только сенсорная панель UV4PRO-T10

Порт

Протокол

Направление

Служба

Описание

Настраивается (по умолчанию: 5001)

TCP

Исходящее

HTTP или HTTPS

Встроенный экран панели по умолчанию показывает UI-Panel самой панели, и этот обмен не выходит в сеть. Если адрес экрана изменён на другой контроллер, панель устанавливает исходящее соединение с ним. В режиме HTTPS экран доверяет только сертификату самой панели и сертификатам, загруженным для адреса экрана, см. Режим HTTPS.

Отличия UV4PRO-T10 от UVATRON:

  • Видео от камер (RTSP): на UVATRON по умолчанию поток RTP идёт по UDP, на UV4PRO-T10 всё идёт по TCP.

  • Остальные порты, режимы и условия их открытия совпадают.

ПК интегратора: страница настроек, UI-Designer, U-Logic

Браузер на компьютере интегратора. Направление указано относительно компьютера.

Порт

Протокол

Направление

Служба

Описание

8001

TCP

Исходящее

HTTP

Первое обращение к странице настроек; браузер сразу переходит на порт 8443.

8443

TCP

Исходящее

HTTPS

Страница настроек.

8000

TCP

Исходящее

HTTPS

UI-Designer, если он включён. Без входа браузер перенаправляется на страницу настроек.

1880

TCP

Исходящее

HTTP и WebSocket или HTTPS и WSS

Редактор U-Logic.

4500

TCP

Исходящее

Сервисный MQTT поверх WSS

Уведомления страницы настроек, в обоих режимах. Без этого порта страница работает, но уведомления не показываются.

5001

TCP

Исходящее

HTTP или HTTPS

Проверка результата: просмотр UI-Panel. Для него нужны те же порты, что и панели оператора, см. следующую таблицу.

Панель, планшет или браузер с UI-Panel

Устройство оператора, которое показывает UI-Panel: планшет, настенная панель, браузер, экран киоска на другом устройстве. Направление указано относительно этого устройства.

Порт

Протокол

Направление

Служба

Описание

5001

TCP

Исходящее

HTTP или HTTPS

Страница UI-Panel.

1880

TCP

Исходящее

WebSocket или WSS

Канал управления: команды от элементов интерфейса и состояния от проекта. Без него интерфейс не работает.

4501 или 4500

TCP

Исходящее

Сервисный MQTT поверх WebSocket или WSS

Сигнал на обновление интерфейса после публикации проекта в UI-Designer. Если порт закрыт, интерфейс работает, но после публикации его нужно обновить вручную.

3002

TCP

Исходящее

HTTP и WebSocket или HTTPS и WSS

Только если в интерфейсе есть видео (элемент Web URL с видеоплеером).

123

UDP

Исходящее

NTP

Только если устройство настроено брать время у контроллера.

Обмен файлами по SFTP

Компьютер, с которого загружают файлы в папку uploads контроллера или забирают их оттуда. Направление указано относительно компьютера.

Порт

Протокол

Направление

Служба

Описание

22022

TCP

Исходящее

SFTP

Загрузка файлов в папку uploads контроллера и выгрузка из неё. Вход: admin с паролем страницы настроек. Шифрование: да.

Обзор сетевого трафика

Диаграммы показывают, какие участники обмениваются данными и по каким портам. Стрелка идёт от стороны, которая устанавливает соединение.

Режим HTTP (по умолчанию)

        flowchart LR
    PC["ПК интегратора<br/>браузер"]
    PANEL["Панель или планшет<br/>оператора"]
    K["Контроллер<br/>UVATRON"]
    CAM["IP-камеры<br/>RTSP"]
    EQ["Управляемое<br/>оборудование"]

    PC -- "TCP 8443 HTTPS, 8001 HTTP" --> K
    PC -- "TCP 8000 HTTPS UI-Designer" --> K
    PC -- "TCP 1880 HTTP и WS U-Logic" --> K
    PC -- "TCP 4500 WSS MQTT" --> K

    PANEL -- "TCP 5001 HTTP" --> K
    PANEL -- "TCP 1880 WS" --> K
    PANEL -- "TCP 4501 WS" --> K
    PANEL -- "TCP 3002 HTTP и WS видео" --> K


    K -- "TCP 554 RTSP, UDP RTP" --> CAM
    K -- "порты проекта" --> EQ

Страница настроек, UI-Designer и порт 4500 работают по TLS в обоих режимах; остальные веб-соединения шифруются в режиме HTTPS (см. ниже).

Режим HTTPS

        flowchart LR
    PC["ПК интегратора<br/>браузер"]
    PANEL["Панель или планшет<br/>оператора"]
    K["Контроллер<br/>UVATRON"]
    CAM["IP-камеры<br/>RTSP"]
    EQ["Управляемое<br/>оборудование"]

    PC -- "TCP 8443 HTTPS" --> K
    PC -- "TCP 8001 HTTP, переход на 8443" --> K
    PC -- "TCP 8000 HTTPS UI-Designer" --> K
    PC -- "TCP 1880 HTTPS и WSS U-Logic" --> K
    PC -- "TCP 4500 WSS MQTT" --> K

    PANEL -- "TCP 5001 HTTPS" --> K
    PANEL -- "TCP 1880 WSS" --> K
    PANEL -- "TCP 4500 WSS" --> K
    PANEL -- "TCP 3002 HTTPS и WSS видео" --> K


    K -- "TCP 554 RTSP, UDP RTP" --> CAM
    K -- "порты проекта" --> EQ

В режиме HTTPS порт 4501 закрыт, а все веб-соединения с контроллером шифруются. Сервисные порты и соединения контроллера с камерами и оборудованием остаются прежними.

Служебный и системный трафик

        flowchart LR
    SVC["ПК интегратора<br/>обмен файлами"]
    K["Контроллер<br/>UVATRON"]
    NTP["Сервер времени"]
    CLI["Устройства сети,<br/>берущие время у контроллера"]
    DHCP["DHCP-сервер сети"]
    DNS["DNS-сервер сети"]
    SW["Коммутатор<br/>с 802.1X"]
    RAD["Сервер RADIUS"]

    SVC -- "TCP 22022 SFTP" --> K

    K -- "UDP 123 NTP" --> NTP
    CLI -- "UDP 123 NTP" --> K

    K -- "UDP 67 и 68 DHCP, если включён DHCP" --> DHCP
    K -- "UDP и TCP 53, если задан DNS" --> DNS

    K <-->|"EAPOL, без IP"| SW
    SW -. "RADIUS, вне контроллера" .-> RAD

Проверка подлинности 802.1X включается в сетевых настройках. Контроллер обменивается кадрами EAPOL только с коммутатором. Связь коммутатора с сервером RADIUS настраивается в сети заказчика и контроллера не касается.

Что меняется в режиме HTTPS

Режим HTTPS включается на странице настроек. Подробности и работа с сертификатом — в разделе Режим HTTPS. По умолчанию режим выключен: обновление прошивки ничего не меняет, и существующие проекты работают как раньше.

Порт

Служба

Режим HTTP

Режим HTTPS

8443

Страница настроек

HTTPS

HTTPS, без изменений

8001

Страница настроек

перенаправление на 8443

перенаправление на 8443, без изменений

5001

UI-Panel

HTTP

HTTPS

8000

UI-Designer

HTTPS

HTTPS, без изменений

1880

U-Logic и канал управления UI-Panel

HTTP и WebSocket

HTTPS и WSS

3002

Страница видеоплеера и поток видео

HTTP и WebSocket

HTTPS и WSS

4501

Сервисный MQTT поверх WebSocket

открыт

закрыт

4500

Сервисный MQTT поверх WSS

открыт

открыт

11883

Сервисный MQTT

открыт

открыт, без изменений

4503, 22022, 123

Сервисный SSH, SFTP, NTP

как обычно

без изменений

Что нужно учесть при переходе на HTTPS:

  • Внешние системы и проекты, которые подключаются по адресам вида http:// или ws:// к портам 5001, 1880 и 3002, перестанут работать. Их нужно перевести на https:// и wss://.

  • Адреса видеоплеера в элементах Web URL (порт 3002) нужно изменить с http:// на https://: браузер не покажет страницу по HTTP внутри защищённой страницы.

  • Страницы сторонних устройств по http:// внутри страницы, открытой по HTTPS, обычный браузер тоже не покажет. Это правило браузера, на него настройки контроллера не влияют.

  • Порт 11883 режим HTTPS не меняет; в сеть его открывать не нужно (см. раздел «Что открыть на межсетевом экране» ниже).

Что открыть на межсетевом экране

Ниже — типовые наборы правил. Направление — к контроллеру, если не сказано иное. Во всех случаях порты 5001, 1880, 3002 одинаковы в режимах HTTP и HTTPS: меняется только протокол. Порт 4501 в режиме HTTPS не нужен.

Только панели операторов

Устройства, на которых оператор работает с интерфейсом, не должны менять настройки контроллера.

  • TCP 5001: страница UI-Panel.

  • TCP 1880: канал управления, без него интерфейс не работает.

  • TCP 4500 в режиме HTTPS или TCP 4501 в режиме HTTP: автоматическое обновление интерфейса после публикации проекта (можно не открывать, если обновлять интерфейс вручную).

  • TCP 3002: только если в интерфейсах есть видео.

  • UDP 123: только если панели берут время у контроллера.

Порты 8000, 8001, 8443, 4503, 22022 и 11883 для панелей закрыты.

Рабочее место интегратора

Всё, что нужно для настройки контроллера и разработки проекта.

  • TCP 8443: страница настроек. TCP 8001 нужен только для ввода адреса без порта.

  • TCP 8000: UI-Designer, пока он включён.

  • TCP 1880: U-Logic.

  • TCP 4500: уведомления страницы настроек. TCP 4501 в режиме HTTP: автоматическое обновление UI-Panel при проверке интерфейса.

  • TCP 5001, TCP 3002: проверка интерфейса и видео.

  • TCP 22022: только если нужен обмен файлами с папкой uploads. Открывайте его только для адресов, с которых файлы загружают.

Всё взаимодействие

Полный набор, если контроллер, панели, рабочее место интегратора и управляемое оборудование находятся в разных сетях.

  • Все порты из двух предыдущих списков.

  • Сервисные порты 11883 и 4503 открывать между сетями не требуется.

  • От контроллера наружу: UDP 123 к серверу времени; UDP 53 и TCP 53 к DNS-серверу и UDP 67 к DHCP-серверу, если эти службы используются; RTSP (TCP, по умолчанию 554) к камерам; порты оборудования, которые указаны в проекте. На UVATRON для видео от камер также разрешите входящий UDP от камеры, если межсетевой экран не пропускает ответный UDP-трафик автоматически.

Примечание

Сервисные порты 11883 и 4503 в сеть открывать не нужно.