今天一起来看看 vSphere 无代理 VADP 备份必须放行的核心端口，基础必备端口为 TCP443 与 TCP902，二者分工负责管理指令下发与虚拟机磁盘数据传输。文章分别说明两个端口的通信对象与业务作用，梳理防火墙放行双向访问规范，补充 CBT 增量备份、文件级恢复配套网络要求，整理运维配置常见端口拦截故障排查思路，帮助搭建可稳定执行全量、增量、即时恢复的备份环境。

VADP 备份所需端口完整解析

核心结论

标准 VADP 无代理备份最低必须放行 TCP443、TCP902 两个端口，备份代理服务器同时和 vCenter、所有 ESXi 主机建立双向通信，443 承载 API 管理交互，902 承载虚拟机磁盘原始数据传输，缺少任意一个端口都会导致备份任务直接失败。

一、TCP443 端口详细作用与通信链路

备份服务器通过 443 HTTPS 接口对接 vCenter 完成全量元数据交互，包含读取集群、主机、虚拟机清单、下发快照创建 / 删除指令、查询 CBT 变更块记录、获取虚拟机存储位置信息，所有控制类操作都依赖该端口通信。 备份服务器同样需要 443 直连每一台 ESXi 主机，用于校验主机权限、读取单台主机硬件与存储配置，不经过 vCenter 中转主机底层查询请求，防火墙内需要放开备份代理到 vCenter、备份代理到所有 ESXi 的 443 双向访问权限。

二、TCP902 端口详细作用与通信链路

902 是 NFC 网络文件复制专属端口，承担 VADP 最核心的磁盘数据流传输，备份下发快照指令后，备份代理会直接和运行虚拟机的 ESXi 建立 902 通道，读取快照内 VMDK 磁盘数据，完成全量或增量数据拉取，这部分大流量数据不会经过 vCenter 转发，仅在备份代理与 ESXi 之间直传。 执行虚拟机文件级恢复、即时挂载恢复功能时，文件读写交互同样依靠 902 端口，若防火墙拦截 902，会出现快照创建成功但数据读取超时、备份任务卡死报错的现象。

三、备份完整通信流程，看懂双端口配合逻辑

备份代理先通过 443 连接 vCenter，查询目标虚拟机对应的 ESXi 主机地址，调用 API 创建一致性快照并开启 CBT 增量记录。 快照生成完成后，备份代理断开 vCenter 单纯控制链路，直接通过 902 连接对应 ESXi，流式读取快照磁盘变更数据并写入备份存储介质。 数据传输结束后，再次通过 443 向 vCenter 下发删除快照指令，释放 ESXi 主机存储资源，整套流程 443 负责指令调度，902 负责数据搬运，缺一不可。

四、防火墙放行标准规范

生产环境防火墙需要配置双向放行规则，备份代理 IP 出站至 vCenter、全部 ESXi 主机的 TCP443、TCP902 端口全部放开，ESXi 与 vCenter 的回包流量无需额外限制，避免会话阻断导致任务中断。 如果环境划分独立备份存储网络，仅需保证备份代理与 ESXi 管理 VMkernel 网卡互通，902 流量会自动走主机添加 vCenter 时绑定的管理网卡，无需额外配置业务虚拟机网卡。

五、配套功能额外补充端口（按需开放）

使用备份软件内置文件浏览、即时挂载恢复功能时，无需新增端口，仅依靠 443 与 902 即可完成操作。 备份代理服务器需要访问外置 NFS/SMB 备份存储时，根据存储协议放行对应存储端口，不属于 VADP 原生必备端口，仅为备份介质访问需求。 启用 vSphere 复制、第三方云归档等拓展能力时，需参照对应产品文档补充对应端口，基础 VADP 备份仅依赖 443、902。

六、运维常见端口配置误区避坑

误区内容为只放行备份代理到 vCenter 的端口，不用放开到每台 ESXi，纠正说明是磁盘数据直连 ESXi 传输，只放 vCenter 端口会出现快照正常、数据拷贝失败的问题。 误区内容为 902 仅单向放行出站流量即可，纠正说明是 NFC 通信存在长连接会话，防火墙拦截回包会中断大文件磁盘传输，必须配置双向通行规则。 误区内容为修改 vCenter 自定义 HTTPS 端口后仅放行新端口，902 不用调整，纠正说明是 443 可自定义替换，902 为 ESXi 固定端口无法修改，始终需要保持放行状态。 误区内容为 CBT 增量备份不需要 902 端口，纠正说明是 CBT 仅用于标记变更数据块，实际读取变更磁盘内容依旧依靠 902 端口传输。

全文总结

VADP 无代理虚拟机备份核心必备端口为 TCP443、TCP902，443 用于备份代理与 vCenter、ESXi 之间的 API 管理指令交互，902 专门承载虚拟机快照磁盘 NFC 数据流传输，二者分别承担控制与数据两类核心通信。防火墙需要双向放开备份代理到 vCenter、所有 ESXi 主机的双端口访问权限，备份流程先通过 443 调度快照，再依靠 902 直传磁盘数据，缺少任意端口都会造成备份任务报错中断，拓展存储、归档功能再按需补充额外端口。