ESXi 管理通道
902 在 IANA 名录里的名字是 ideafarm-door，但它的事实身份是 VMware 的管理通道：vSphere Client 与 Host Client 直连 ESXi、管理底层虚拟化时使用这条 TCP 连接。虚拟化管理网段的防火墙规则里常见它的放行需求，配置时通常与 443 成对出现。
基本信息
| 服务 | ideafarm-door（IANA 名），事实用于 VMware 管理 |
|---|---|
| 协议 | TCP 902 |
| 事实场景 | ESXi 与 vSphere 直连管理 |
| 配套端口 | 443 提供 Web 与管理界面 |
| 注意 | 与 IANA 注册用途不一致 |
典型使用场景
- 用 vSphere Client 直连单台 ESXi 主机做管理
- 规划虚拟化管理网段的防火墙策略
- 排查直连管理失败，确认 902 与 443 是否都已放行
- 安全评估时确认管理通道没有暴露到业务网段
- 通过主机防火墙规则集限制可直连管理的来源地址
管理端口连通性验证
管理端口连通性验证
nc -vz esxi01.example.com 902
for p in 443 902; do nc -vz esxi01.example.com $p; done
# Windows: Test-NetConnection esxi01.example.com -Port 902防火墙收敛示例
防火墙收敛示例
esxcli network firewall ruleset list | grep -Ei 'vSphereClient|webAccess'
esxcli network firewall ruleset set --ruleset-id vSphereClient --allowed-all false
esxcli network firewall ruleset allowedip add --ruleset-id vSphereClient --ip-address 192.0.2.0/24ESXi 管理端口
| 项目 | 值 | 说明 |
|---|---|---|
| 直连管理 | 902 | 本条目，vSphere 直连会话 |
| Web 与管理界面 | 443 | 常与 902 一起放行 |
| 主机防火墙规则集 | vSphereClient | 可按来源地址逐条收紧 |
| 锁定模式 | Lockdown Mode | 启用后直连管理统一经 vCenter |
902 应只对管理网开放；暴露在业务网或公网会让虚拟化底层直接面对攻击面。管理通道一旦被突破，影响范围是整台宿主机上的全部虚拟机。
配套加固：管理网络独立 VLAN，vCenter 与 ESXi 管理口只允许跳板机来源；启用锁定模式后直连管理统一走 vCenter，配合单点登录与多因素认证收口。
排查提示：只放行 443 时界面能打开但部分操作会失败，因为直连管理还需要 902；反过来只放 902 而缺 443，登录页面本身就打不开。两条规则应成对配置与验证。
运维提示：管理组件升级前先记录端口与防火墙规则集的现有配置，升级后逐项核对，避免升级把自定义的来源限制覆盖回默认的允许全部。
审计提示：管理通道的登录与操作记录应集中收集到日志平台。直连管理如果绕过了集中审计，事后追溯时会缺少关键证据。