今天一起来看看 vSphere 无代理 VADP 备份必须放行的核心端口基础必备端口为 TCP443 与 TCP902二者分工负责管理指令下发与虚拟机磁盘数据传输。文章分别说明两个端口的通信对象与业务作用梳理防火墙放行双向访问规范补充 CBT 增量备份、文件级恢复配套网络要求整理运维配置常见端口拦截故障排查思路帮助搭建可稳定执行全量、增量、即时恢复的备份环境。VADP 备份所需端口完整解析核心结论标准 VADP 无代理备份最低必须放行 TCP443、TCP902 两个端口备份代理服务器同时和 vCenter、所有 ESXi 主机建立双向通信443 承载 API 管理交互902 承载虚拟机磁盘原始数据传输缺少任意一个端口都会导致备份任务直接失败。一、TCP443 端口详细作用与通信链路备份服务器通过 443 HTTPS 接口对接 vCenter 完成全量元数据交互包含读取集群、主机、虚拟机清单、下发快照创建 / 删除指令、查询 CBT 变更块记录、获取虚拟机存储位置信息所有控制类操作都依赖该端口通信。 备份服务器同样需要 443 直连每一台 ESXi 主机用于校验主机权限、读取单台主机硬件与存储配置不经过 vCenter 中转主机底层查询请求防火墙内需要放开备份代理到 vCenter、备份代理到所有 ESXi 的 443 双向访问权限。二、TCP902 端口详细作用与通信链路902 是 NFC 网络文件复制专属端口承担 VADP 最核心的磁盘数据流传输备份下发快照指令后备份代理会直接和运行虚拟机的 ESXi 建立 902 通道读取快照内 VMDK 磁盘数据完成全量或增量数据拉取这部分大流量数据不会经过 vCenter 转发仅在备份代理与 ESXi 之间直传。 执行虚拟机文件级恢复、即时挂载恢复功能时文件读写交互同样依靠 902 端口若防火墙拦截 902会出现快照创建成功但数据读取超时、备份任务卡死报错的现象。三、备份完整通信流程看懂双端口配合逻辑备份代理先通过 443 连接 vCenter查询目标虚拟机对应的 ESXi 主机地址调用 API 创建一致性快照并开启 CBT 增量记录。 快照生成完成后备份代理断开 vCenter 单纯控制链路直接通过 902 连接对应 ESXi流式读取快照磁盘变更数据并写入备份存储介质。 数据传输结束后再次通过 443 向 vCenter 下发删除快照指令释放 ESXi 主机存储资源整套流程 443 负责指令调度902 负责数据搬运缺一不可。四、防火墙放行标准规范生产环境防火墙需要配置双向放行规则备份代理 IP 出站至 vCenter、全部 ESXi 主机的 TCP443、TCP902 端口全部放开ESXi 与 vCenter 的回包流量无需额外限制避免会话阻断导致任务中断。 如果环境划分独立备份存储网络仅需保证备份代理与 ESXi 管理 VMkernel 网卡互通902 流量会自动走主机添加 vCenter 时绑定的管理网卡无需额外配置业务虚拟机网卡。五、配套功能额外补充端口按需开放使用备份软件内置文件浏览、即时挂载恢复功能时无需新增端口仅依靠 443 与 902 即可完成操作。 备份代理服务器需要访问外置 NFS/SMB 备份存储时根据存储协议放行对应存储端口不属于 VADP 原生必备端口仅为备份介质访问需求。 启用 vSphere 复制、第三方云归档等拓展能力时需参照对应产品文档补充对应端口基础 VADP 备份仅依赖 443、902。六、运维常见端口配置误区避坑误区内容为只放行备份代理到 vCenter 的端口不用放开到每台 ESXi纠正说明是磁盘数据直连 ESXi 传输只放 vCenter 端口会出现快照正常、数据拷贝失败的问题。 误区内容为 902 仅单向放行出站流量即可纠正说明是 NFC 通信存在长连接会话防火墙拦截回包会中断大文件磁盘传输必须配置双向通行规则。 误区内容为修改 vCenter 自定义 HTTPS 端口后仅放行新端口902 不用调整纠正说明是 443 可自定义替换902 为 ESXi 固定端口无法修改始终需要保持放行状态。 误区内容为 CBT 增量备份不需要 902 端口纠正说明是 CBT 仅用于标记变更数据块实际读取变更磁盘内容依旧依靠 902 端口传输。全文总结VADP 无代理虚拟机备份核心必备端口为 TCP443、TCP902443 用于备份代理与 vCenter、ESXi 之间的 API 管理指令交互902 专门承载虚拟机快照磁盘 NFC 数据流传输二者分别承担控制与数据两类核心通信。防火墙需要双向放开备份代理到 vCenter、所有 ESXi 主机的双端口访问权限备份流程先通过 443 调度快照再依靠 902 直传磁盘数据缺少任意端口都会造成备份任务报错中断拓展存储、归档功能再按需补充额外端口。