Порты и межсетевой экран

Актуально для: SimpleTwo 0.9.x · Проверено: 20.09.2026

Правила фаервола на узлах ролей ставит агент сам — по тому же описанию, по которому ставит саму службу. Эта страница нужна, когда между вашими сетями стоит чужой фаервол: его настраивает не агент, а вы.

1. Что должно быть доступно из интернета

Роль	Порт	Зачем
координатор	80/tcp	проверка владения именем (ACME) и перенаправление на HTTPS
координатор	443/tcp	API, консоль, страница загрузок клиентов
messaging	9090/tcp или 443/tcp	клиенты; 443 — когда служба сама терминирует TLS
calendar	8085/tcp или 443/tcp	подписки календарей, CalDAV
sfu	443/tcp	сигналинг, когда узел стоит за TLS-фронтом
sfu	7880/tcp	сигналинг напрямую — открывается только если фронта нет
sfu	7881/tcp	запасной путь медиа по TCP
sfu	50000–60000/udp	сами потоки
turn	3478/udp + 3478/tcp	обход NAT
turn	5349/tcp	то же поверх TLS; открывается, только когда сертификат уже на диске
turn	49152–65535/udp	релей
mediation	5060/tcp	SIP-сигналинг
mediation	5061/tcp	SIP поверх TLS; открывается только при наличии сертификата
mediation	10000–20000/udp	голосовые потоки транка
gateway	443/tcp и порты включённых транспортов	туннели клиентов

Порт открывается тогда, когда за ним есть кто ответить

Это не мелочь конфигурации, а правило: turn не объявляет 5349, пока нет сертификата, а mediation — 5061. Открытый порт, который принимает соединение и не может завершить рукопожатие, оператор связи читает как нашу неисправность, а сканер — как приглашение.

2. Что не должно быть доступно из интернета

Роль	Порт	Кому открывать
postgres	5432/tcp	только хостам служб, которые к нему ходят
redis	6379/tcp	только messaging, sfu, mediation, recorder
s3	9000/tcp	только messaging и recorder; слушает одну приватную ногу, а не все интерфейсы
support	8087/tcp	только хост messaging, и только подписанные вебхуки
messaging	9091/tcp	управляющий интерфейс: по умолчанию только петля (127.0.0.1)

На хостах шины и хранилища фаервол обязателен

redis и s3 не имеют собственной аутентификации, достаточной, чтобы стоять открытыми в приватной сети: границей служит правило фаервола. Установка s3 на хост без ufw, firewalld или pf отклоняется, а не оставляет хранилище открытым всей сети.

3. Исходящие соединения

Куда	Порт	Кто и зачем
Let's Encrypt	443/tcp	координатор и службы, сами выпускающие сертификаты
GitLab / реестр образов	443/tcp	обновления и раздача агента
APNs, FCM	443/tcp	messaging — пуши на устройства
провайдер модели	443/tcp	messaging — полоса ИИ, если она включена
SIP-транк оператора	5060/5061 + RTP	mediation
узлы ролей	22/tcp	координатор ставит и обновляет роли по SSH

4. Чем проверять

# слушает ли роль то, что должна (на самом хосте)
ss -tlnp | grep -E ':(443|7880|7881|9090|8085|5060|9000)\b'

# видно ли это снаружи
nc -z -w 5 <адрес> 443 && echo ok

Проверка «изнутри» и «снаружи» отвечают на разные вопросы: агент следит за тем, слушает ли кто-нибудь порт на хосте, а консоль координатора — дотянется ли до него клиент. Хост, проваливший первую проверку, настроен неверно; хост, проваливший вторую, — недоступен.

Дальше

• Переменные окружения — какими значениями эти порты задаются
• Сеть доступа
• Развёртывание on-premise