Configuration des pare-feux logiciels et matériels pour la prise en charge des produits NI

Sur les systèmes informatiques modernes, la communication réseau, y compris le trafic des pages Web, les transferts de fichiers, les e-mails, etc., peut être logiquement divisée en différentes couches. C’est ce qu’on appelle le modèle OSI. Une couche, connue sous le nom de couche réseau, est chargée de router avec succès le trafic réseau et de fournir une capacité de détection et de diagnostic des erreurs. Le protocole de couche réseau principal utilisé à la fois pour le réseau local et la communication Internet est appelé protocole Internet (IP). Une autre couche, connue sous le nom de couche de transport, est chargée de fournir des services de communication de bout en bout pour les applications. Deux des protocoles de couche transport les plus courants sont le protocole TCP (Transmission Control Protocol) et le protocole UDP (User Datagram Protocol).

Pour qu’un élément du trafic réseau atteigne une application sur un système distant, il doit contenir deux informations clés : une adresse pour le ou les ordinateurs qui doivent recevoir le trafic (on parle alors d’adresse IP lors de l’utilisation le protocole IP) et un numéro de port de destination pour l’application sur le(s) système(s) distant(s) devant traiter les données. L’adresse IP de l’ordinateur transmettant les données ou la requête est également envoyée avec un numéro de port source utilisé par l’application d’origine. En pratique, chaque protocole de couche transport (par exemple TCP, UDP) autorise jusqu’à 65 535 ports que les applications peuvent utiliser.

Si une application sur un ordinateur donné accepte des données ou « écoute » sur un port donné, il est possible que cette application reçoive des données réseau et fasse quelque chose en fonction de ces données. De cette façon, le trafic réseau peut affecter le fonctionnement d’un système dans la mesure où une application le permet. Pour réduire l’effet que le trafic réseau peut avoir sur le fonctionnement d’un ordinateur, l’équipement réseau et les ordinateurs individuels peuvent utiliser des filtres appelés pare-feu qui utilisent un ensemble de règles pour autoriser ou bloquer certains trafics réseau indésirables (basés sur des adresses IP, des ports ou des applications qui tentent d’envoyer le trafic).

Pare-feu matériels

Les pare-feu matériels sont généralement intégrés aux équipements de mise en réseau (tels que les routeurs) et examinent chaque élément du trafic réseau (appelé paquets) au fur et à mesure de leur réception puis de leur retransmission. L’en-tête de chaque paquet contient des informations sur l’adresse IP de destination, le protocole de couche de transport utilisé, le numéro de port distant, etc. Les pare-feu matériels peuvent filtrer les paquets en fonction de ces informations et d’un ensemble de règles définies par l’utilisateur, ce qui permet à certains paquets réseau d’être autorisés et à d’autres d’être supprimés sans retransmission.

Bien que chaque pare-feu matériel individuel puisse être configuré différemment (ou avoir des paramètres par défaut différents), de nombreux routeurs réseau personnels sont configurés par défaut pour autoriser tout le trafic sortant et désactiver tout le trafic entrant entre un réseau local et externe. Tout le trafic au sein du réseau local lui-même est généralement autorisé par défaut, et le trafic entrant basé sur une demande sortante récente est également généralement autorisé.

Pare-feu logiciels

En plus de la présence de pare-feu matériels sur le réseau, des ordinateurs individuels peuvent également exécuter des suites logicielles de pare-feu pour filtrer les communications réseau et se protéger contre l’influence indésirable des machines distantes. Alors que les pare-feu logiciels ont un objectif similaire à celui des pare-feu matériels, ils utilisent différentes méthodes pour effectuer ce filtrage. 

Pour filtrer les paquets en fonction des informations d’en-tête (adresse IP, protocole de couche de transport, port, etc.), les pare-feu logiciels utilisent généralement un driver réseau intermédiaire qui peut accepter ou rejeter le trafic en fonction des règles avant de le transmettre à une application (dans le cas des paquets entrants) ou pour la transmission sortante. Pour filtrer le trafic réseau en fonction de l’application ou du processus en cours d’exécution qui tente d’envoyer ou de recevoir des données, les pare-feu logiciels peuvent également intercepter les appels logiciels entre les applications et les lecteurs de protocole de couche de transport sous-jacents. En utilisant cette méthode, par exemple, certaines applications pourraient se voir refuser la possibilité d’écouter des données sur un port spécifique, tandis que d’autres pourraient obtenir cette autorisation.

Bien que chaque paquet de pare-feu logiciel puisse être configuré différemment (ou avoir des paramètres par défaut différents), de nombreuses suites logicielles de pare-feu personnel sont configurées par défaut pour autoriser tout le trafic de port sortant et désactiver tout le trafic de port entrant. Cependant, ces paquets permettent généralement également le trafic de port entrant qui est attendu sur la base d’une demande sortante précédente. Comme mentionné précédemment, le logiciel de pare-feu peut également inviter l’utilisateur à autoriser ou à restreindre l’accès au port pour des applications individuelles.

Une grande variété de produits NI tirent parti de la communication réseau pour fournir différents types de fonctionnalités : de l’identification des cibles matérielles en réseau à l’accès aux services Web créés dans LabVIEW. Étant donné que la majorité des réseaux d’entreprise et personnels disposent d’une combinaison de pare-feu matériels et logiciels, il est souvent nécessaire de modifier les paramètres du pare-feu pour permettre au trafic réseau nécessaire pour un produit NI donné de fonctionner correctement. 

Le reste de ce document décrit les ports et protocoles de couche transport utilisés par les différents produits et fonctionnalités de NI, ainsi que les endroits où vous pouvez modifier ces ports (si cela est possible). Veuillez consulter la documentation de votre pare-feu matériel ou logiciel pour savoir comment modifier les paramètres du pare-feu afin d’autoriser le trafic souhaité. Si vous travaillez sur un grand réseau dans lequel vous n’avez pas accès pour modifier les paramètres du pare-feu matériel ou logiciel, veuillez contacter votre administrateur réseau et faire référence à ce document.

N’oubliez pas que dans la plupart des situations, il est uniquement nécessaire de configurer vos pare-feu matériels ou logiciels pour activer les connexions entrantes vers les ports du serveur (pour les serveurs exécutés sur vos PC locaux ou les cibles matérielles intégrées). Lorsque vous utilisez des pare-feu logiciels, vous pouvez également être invité à autoriser des applications individuelles à envoyer ou recevoir des données.

 

Identification matérielle (Measurement & Automation Explorer)

Description de la fonctionnalité : NI Measurement & Automation Explorer (MAX) découvre, énumère et configure les périphériques réseau NI (tels que les cibles LabVIEW Real-Time).

Ports du serveur : Port UDP 44515, port UDP 44525, port TCP 44516

Les ports sont-ils configurables ? Non

 

Serveurs Web et contrôle à distance

Surveillance et configuration Web des périphériques réseau

Description de la fonctionnalité : Depuis la sortie de LabVIEW 2010, il est possible de surveiller et de configurer de nombreux périphériques compatibles avec les réseaux NI à l’aide d’un navigateur Web.

Ports du serveur : Port UDP 5353 (utilisé pour la détection de périphériques sur mDNS), port TCP 52725 (utilisé pour l’utilitaire NI Network Browser), port TCP 3580 (port du serveur de surveillance et configuration Web)

Les ports sont-ils configurables ? Non

Emplacement des paramètres du port : Vous ne pouvez pas modifier les ports du serveur de surveillance et configuration Web. Cependant, vous pouvez choisir d’activer la communication SSL en visitant la page de surveillance et configuration Web pour un système donné (http://IP_ADDRESS:5353) et en utilisant la page de configuration du serveur Web et les paramètres sous Serveur Web système (System Web Server).

 

Faces-avant distantes LabVIEW

Description de la fonctionnalité : Les applications LabVIEW peuvent être transformées en services Web, puis sont accessibles à partir d’autres systèmes en réseau lorsqu’elles sont hébergées à l’aide du serveur Web d’application LabVIEW.

Ports du serveur : Port TCP 8080 (par défaut)

Les ports sont-ils configurables ? Oui

Emplacement des paramètres du port : Vous pouvez modifier le port du serveur Web d’applications utilisé pour héberger les services Web LabVIEW à l’aide de la page de surveillance et configuration Web de la machine serveur. Vous pouvez y accéder en visitant (http://IP_ADDRESS:5353) puis en visitant la page de configuration du serveur Web et en utilisant les paramètres sous Serveur Web d’applications (Application Web Server). De plus, il est possible d’attribuer des ports supplémentaires et éventuellement d’utiliser SSL pour la communication du serveur Web d’applications à l’aide de ces paramètres.

 

Contrôle d’applications programmatique avec VI Serveur

Description de la fonctionnalité : VI Serveur peut être utilisé pour contrôler par programme les objets de la face-avant, les VIs et LabVIEW sur un ordinateur donné à partir du système local ou d’une machine distante. 

Ports du serveur : Port TCP 3363 (par défaut)

Les ports sont-ils configurables ? Oui

Emplacement des paramètres du port : Vous pouvez modifier le port du VI Serveur sur un ordinateur de développement en accédant au menu Outils >> Options >> VI Serveur (Tools >> Options >> VI Server). Pour modifier le port du VI Serveur sur une cible matérielle intégrée (par exemple CompactRIO), cliquez avec le bouton droit sur la cible dans le projet LabVIEW et sélectionnez Propriétés >> VI Serveur (Properties >> VI Server).

 

Contrôle d’instruments à distance avec VISA Server

Description de la fonctionnalité : En plus de communiquer avec des instruments connectés à une machine locale via l’API NI-VISA, il est possible de contrôler à distance des instruments qui sont physiquement connectés à une autre machine en utilisant le VISA Server.

Ports du serveur : Port TCP 3537 (par défaut)

Les ports sont-ils configurables ? Oui

Emplacement des paramètres du port : Pour afficher et modifier les paramètres de port VISA Server sur un PC, ouvrez le logiciel NI Measurement & Automation Explorer (MAX) et accédez à Outils >> NI-VISA >> Options VISA >> VISA Server (Tools >> NI-VISA >> VISA Options >> VISA Server).

 

FPGA Compile Farms

Description de la fonctionnalité : Vous pouvez envoyer une tâche de compilation LabVIEW FPGA à un seul ordinateur distant pour la compilation, ou utiliser une banque distante d’ordinateurs pour la compilation à l’échelle du site (chaque compilation utilise toujours un seul ordinateur). La compilation à distance sur une machine peut être effectuée en installant le logiciel LabVIEW de machine de compilation FPGA sur cette machine, ainsi que le logiciel LabVIEW de serveur de compilation FPGA sur la machine locale ou distante. Les systèmes de compilation à distance à l’échelle du site peuvent être créés à l’aide d’une banque d’ordinateurs avec le logiciel LabVIEW de machine de compilation FPGA installé et d’un ordinateur serveur avec le serveur de compilation FPGA LAbVIEW et le LabVIEW FPGA Compile Farm Toolkit installés.

Ports du serveur : Port TCP 3582 (identique au serveur Web système)

Les ports sont-ils configurables ? Oui

 

Ancien : Serveur Web G

Description de la fonctionnalité : Le serveur Web G fait partie du toolkit Internet LabVIEW et peut être utilisé pour fournir aux machines distantes un accès aux applications CGI écrites dans LabVIEW. 

Ports du serveur : Port TCP 80 (par défaut)

Les ports sont-ils configurables ? Oui

Emplacement des paramètres du port : Vous pouvez configurer le serveur Web G à l’aide du menu LabVIEW situé dans Outils >> Internet >> Configuration du serveur Web G (Tools >> Internet >> G Web Server Configuration).

 

Passerelle NI VeriStand

Description de la fonctionnalité : Crée une voie de communication TCP/IP qui facilite la communication avec le moteur VeriStand sur le réseau

Ports du serveur : Port des services de passerelle 2039, projet de port 2041, services de transfert de passerelle 2042

Les ports sont-ils configurables ? Oui

Emplacement des paramètres du port : Vous pouvez configurer les ports depuis le menu situé dans Fichier>> Préférences>> Ports.

 

Fichier, e-mail, page Web et communication de données

Transfert de fichiers (FTP)

Description de la fonctionnalité : Les VIs FTP de LabVIEW (File Transfer Protocol) permettent d’écrire et de lire des fichiers vers et depuis des serveurs FTP distants.

Ports du serveur : Port TCP 20 (utilisé en mode actif uniquement), port TCP 21 (utilisé en mode actif et passif)

Les ports sont-ils configurables ? Oui (défini par le serveur)

Emplacement des paramètres du port : Vous pouvez utiliser les VIs FTP dans LabVIEW Internet Toolkit pour vous connecter à un serveur FTP distant et non pour implémenter le serveur FTP lui-même. Les ports 20 et 21 sont couramment utilisés par les serveurs FTP, bien que cela puisse être modifié côté serveur, et vous pouvez vous connecter à des ports non standard à l’aide des VIs LabVIEW. Notez que des paramètres de pare-feu spéciaux peuvent être nécessaires pour prendre en charge les connexions FTP actives. Pour plus d’informations, veuillez suivre ce lien. Pour les connexions FTP passives, aucun ajustement de pare-feu n’est généralement nécessaire pour se connecter à un serveur distant. 

 

Communication par e-mail (SMTP)

Description de la fonctionnalité : LabVIEW contient des VIs SMTP (Simple Mail Transfer Protocol) pour envoyer des e-mails via un serveur SMTP distant.

Ports du serveur : Port TCP 25

Les ports sont-ils configurables ? Non

Emplacement des paramètres du port : Vous pouvez utiliser les VIs SMTP dans LabVIEW pour vous connecter à un serveur SMTP distant et non pour implémenter le serveur SMTP lui-même. Le port 25 est couramment utilisé par les serveurs SMTP. À l’heure actuelle, les VIs LabVIEW SMTP ne peuvent pas être utilisés pour accéder à un port non standard ou pour se connecter à des serveurs SMTP sécurisés. Dans la plupart des cas, aucun ajustement de pare-feu ne doit être nécessaire pour se connecter à un serveur SMTP distant.

 

Communication de page Web (HTTP)

Description de la fonctionnalité : Vous pouvez utiliser les VIs de client HTTP pour construire un client Web qui interagit avec des serveurs, des pages et des services Web. Vous pouvez ajouter des en-têtes HTTP, stocker des cookies, fournir les informations d’authentification et envoyer des requêtes Web en utilisant des méthodes HTTP comme POST, GET, PUT, HEAD et DELETE.

Ports du serveur : Port TCP 80 (par défaut)

Les ports sont-ils configurables ? Oui (défini par le serveur)

Emplacement des paramètres du port : Vous pouvez utiliser les VIs du client HTTP dans LabVIEW pour vous connecter à des serveurs Web distants et non implémenter le serveur Web lui-même.  Le port 80 est couramment utilisé par les serveurs Web, mais vous pouvez utiliser les VIs du client HTTP pour vous connecter aux serveurs sur des ports non standard en utilisant une URL au format (http://HOSTNAME:PORT). Dans la plupart des cas, aucun ajustement de pare-feu ne doit être nécessaire pour se connecter à un serveur HTTP distant.

 

Variables partagées et flux réseau

Description de la fonctionnalité : Les deux flux réseau (disponibles dans LabVIEW 2010 et versions ultérieures) peuvent être utilisés pour transmettre des données variables entre des machines d’un réseau. En pratique, les variables partagées réseau sont optimisées pour interroger les valeurs des variables d’un ou plusieurs systèmes distants, tandis que les flux réseau sont optimisés pour envoyer un flux complet de données sans perte entre un système et un autre. Étant donné que les variables partagées réseau et les flux réseau utilisent tous deux un protocole sous-jacent appelé Logos, ils utilisent tous deux les mêmes ports réseau.

Ports du serveur : Port TCP 2343 (par défaut), ports UDP 6000-6010 (par défaut), ports TCP 59110 et supérieurs (un port pour chaque application exécutée sur le serveur)

Les ports sont-ils configurables ? Oui

Emplacement des paramètres du port : Pour les variables partagées réseau ou les flux réseau hébergés sur un PC Windows à l’aide de LogosXT, vous pouvez créer un fichier LogosXT.ini pour spécifier une plage différente de ports TCP à utiliser (les ports UDP utilisés sont fixes). Suivez ce lien pour en savoir plus sur l’emplacement et le contenu du fichier LogosXT.ini : Changement des ports par défaut pour NI-PSP basé TCP (Windows). De plus, vous pouvez configurer ces ports pour les variables réseau partagées et les flux réseau hébergés sur des cibles LabVIEW Real-Time en modifiant le fichier ni-rt.ini situé dans le répertoire FTP racine du contrôleur. Les paramètres d’intérêt sont les entrées LogosXT_PortBase et LogosXT_NumPortsToCheck dans le fichier. Pour les solutions utilisant Logos, vous pouvez modifier le port UDP en modifiant la clé de registre appropriée ou la désactiver entièrement à l’aide du jeton approprié dans le fichier Logos.ini. Reportez-vous au lien suivant pour obtenir de plus amples informations : Pourquoi spnsrvnt.exe crashe-t-il après l’installation des produits NI ?

 

DataSocket (DSTP)

Description de la fonctionnalité : Les VIs NI DataSocket peuvent être utilisés pour communiquer avec d’autres applications, fichiers, serveurs FTP et serveurs Web. Les ports spécifiques utilisés dépendent du type de serveur auquel vous vous connectez. En outre, les VIs DataSocket peuvent se connecter aux serveurs DataSocket qui utilisent le protocole de transfert de données DataSocket (DSTP).

Ports du serveur utilisés : Port TCP 3015 (pour DSTP)

Les ports sont-ils configurables ? Non. Vous pouvez démarrer le serveur DataSocket en accédant à Démarrer >> Tous les programmes >> National Instruments >> Datasocket >> Serveur DataSocket (Start >> All Programs >> National Instruments >> Datasocket >> DataSocket Server).

 

Communication directe TCP et UDP

Description de la fonctionnalité : En utilisant les VIs UDP et TCP dans LabVIEW, vous pouvez directement envoyer et recevoir des communications UDP et TCP vers et depuis d’autres machines sur un réseau.

Protocole et ports utilisés : Défini par le code d’application ou le serveur

Le port est-il configurable ? Oui

Emplacement des paramètres du port : Les VIs TCP et UDP permettent d’écouter sur le port de votre choix ou d’envoyer des données à une autre machine sur un numéro de port que vous spécifiez.

 

Synchronisation du temps (NTP, SNTP)

Description de la fonctionnalité : Certaines cibles matérielles intégrées NI sont dotées d’une capacité pour définir l’heure de leur système en fonction d’un serveur de temps réseau (généralement un protocole de temps réseau simple ou un serveur SNTP). Sur d’autres cibles matérielles, un exemple de code est disponible pour récupérer par programmation une heure via NTP ou SNTP et définir l’heure système en fonction de cette valeur.

Ports du serveur : Port TCP 123 (par défaut)

Le port est-il configurable ? Oui (défini par le serveur)

Emplacement des paramètres du port : Notez que le code exécuté sur les cibles matérielles NI est généralement utilisé pour se connecter à un serveur de temps réseau et non pour implémenter le serveur de temps lui-même. Par conséquent, le port réseau utilisé dépendra du serveur auquel vous vous connectez. Pour les cibles CompactRIO, vous pouvez utiliser les instructions de cette référence pour configurer le serveur et le port auxquels se connecter : Configuration des contrôleurs CompactRIO Real-Time pour la synchronisation avec les serveurs SNTP. Si vous utilisez du code sur une autre cible pour vous connecter à un serveur de temps réseau, vous pouvez définir le serveur et le port auxquels se connecter en utilisant ce code. Dans la plupart des cas, aucun ajustement de pare-feu ne doit être nécessaire pour se connecter à un serveur NTP ou SNTP distant.
 

Ports PTP IEEE 1588-2008

Description de la fonctionnalité : En utilisant le protocole de cadencement de précision (PTP) IEEE 1588-2008, vous pouvez synchroniser plusieurs horloges connectées via un réseau compatible avec le multicast, tel qu’Ethernet.

Ports du serveur : Ports UDP 319 (message d’événement) et 320 (message général)

Les ports sont-ils configurables ? Non

 

Informations sur les ports spécifiques au périphérique

NI ENET-232 et ENET-485

Description de la fonctionnalité : Les périphériques NI ENET-232 et NI ENET-485 vous permettent de contrôler à distance les connexions RS-232 et RS-485 via Ethernet.

Ports du serveur : Port TCP 5225

Les ports sont-ils configurables ? Non

 

NI GPIB-ENET/100 et NI GPIB-ENET/1000

Description de la fonctionnalité : À l’aide des périphériques NI GPIB-ENET, vous pouvez contrôler la communication avec les instruments GPIB à distance via Ethernet.

Ports du serveur : Ports TCP 5000, 5003, 5005, 5010 et 5015

Les ports sont-ils configurables ? Non

 

cDAQ-9189, cDAQ-9185, cRIO-904x, cRIO-905x et IC-317x

Description de la fonctionnalité : Les cibles et les périphériques compatibles TSN échangent des informations d’horodatage sur ce port pour corréler l’heure de l’hôte et l’heure de l’appareil.

Ports du serveur : Port TCP 9123

Les ports sont-ils configurables ? Non

 

Gestionnaire de licences en volume (VLM)

Port principal d’octroi de licences

Description de la fonctionnalité : Le port que les ordinateurs clients utilisent pour se connecter au serveur de licences en volume. Si le port principal d’octroi de licences est défini sur une autre valeur que la valeur par défaut, les clients devront spécifier le port principal d’octroi de licences dans le Gestionnaire de licences NI. Par exemple, si le port principal d’octroi de licences est 27001, le client devra spécifier servername:27001. L’Assistant Installeur de licences en volume définit automatiquement le port principal d’octroi de licences lorsqu’il crée des installeurs de licences en volume.

Ports du serveur : TCP 27000 (par défaut)

Les ports sont-ils configurables ? Oui

Emplacement des paramètres du port : Pour afficher et modifier les paramètres de port pour VLM, accédez à Outils >> Préférences >> Général >> Paramètres du serveur (Tools >> Preferences >> General >> Server Settings).

Port de communication

Description de la fonctionnalité : Port utilisé par NI VLM pour communiquer avec les ordinateurs clients.

Ports du serveur : TCP 4637 (par défaut)

Les ports sont-ils configurables ? Oui

Emplacement des paramètres du port : Pour afficher et modifier les paramètres de port pour VLM, accédez à Outils >> Préférences >> Général >> Paramètres du serveur (Tools >> Preferences >> General >> Server Settings).

Ports du serveur e-mail SMTP

Description de la fonctionnalité : NI VLM dispose d’un serveur e-mail SMTP inclus pour envoyer des e-mails et des fichiers de licence aux clients à partir de l’environnement NI VLM.

Ports du serveur : SMTP 25, SSL/SMTP 465 (par défaut)

Les ports sont-ils configurables ? Oui

Emplacement des paramètres du port : Vous pouvez spécifier un numéro de port lors de la saisie de l’adresse du serveur SMTP, par exemple smtp.example.com:465. Si vous ne spécifiez pas de port, VLM utilisera le port par défaut. Le port par défaut est le port 25 si vous n’utilisez pas de cryptage SSL. Si vous utilisez le cryptage SSL, le port par défaut est 465.

Envoi du journal VLA en cours

Description de la fonctionnalité : NI VLM utilise ce port pour renvoyer un fichier journal VLA à NI. Les données contenues dans le journal sont les données de conformité et d’utilisation du serveur de licences en volume.

Ports du serveur : HTTPS 443

Les ports sont-ils configurables ? Non

Service de mise à jour NI

Description de la fonctionnalité : Le Service de mise à jour NI vérifie s’il existe des mises à jour pour vos logiciels et drivers NI et les installe électroniquement.

Ports du serveur : L’URL delta.ni.com utilise le port 443. Les URL ftp.ni.com et download.ni.com utilisent les ports 80 et 443.

Les ports sont-ils configurables ? Non
 

Gestionnaire de paquets NI

Description de la fonctionnalité : Le gestionnaire de paquets NI (Package Manager) est l’outil qui vous permet d’installer, de mettre à niveau et de gérer les logiciels NI.

Ports du serveur : Les URL download.ni.com, conduit-locator.ni.com, conduit.ni.com utilisent le port 443. Les URL *.scene7.com (par exemple, ni.scene7.com) utilisent les ports 80 et 443.

Les ports sont-ils configurables ? Non