如何为Active Directory域和信任关系配置防火墙

阳光穿透心脏的1/2处 2023-10-07 08:06 89阅读 0赞

**如何为****Active Directory****域和信任关系配置防火墙**

适用于： Windows Server 2008 Standard Windows Server 2008 R2 Standard Microsoft Windows Server 2003 Standard Edition（32位x86）[**更多**][Link 1]

--------------------

**摘要**

--------------------

本文介绍如何为Active Directory域和信任关系配置防火墙。

注意：

并非在所有情况下都需要此处表中列出的所有端口。例如，如果防火墙将成员和DC分开，则不必打开FRS或DFSR端口。另外，如果您知道没有客户端使用带有SSL / TLS的LDAP，则不必打开端口636和3269。

**更多信息**

--------------------

注意

两个域控制器都在同一林中，或者两个域控制器都在单独的林中。此外，林中的信任是Windows Server 2003信任或更高版本的信任。

<table> 
 <tbody> 
 <tr> 
 <td> 客户端端口 </td> 
 <td> 服务器端口 </td> 
 <td> 服务 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 1024-65535/TCP </td> 
 <td style="border-color:#d0d0d0;"> 135/TCP </td> 
 <td style="border-color:#d0d0d0;"> RPC Endpoint Mapper </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 1024-65535/TCP </td> 
 <td> 1024-65535/TCP </td> 
 <td> RPC for LSA, SAM, Netlogon&nbsp;(*) </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 1024-65535/TCP/UDP </td> 
 <td> 389/TCP/UDP </td> 
 <td> LDAP </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 1024-65535/TCP </td> 
 <td> 636/TCP </td> 
 <td> LDAP SSL </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 1024-65535/TCP </td> 
 <td> 3268/TCP </td> 
 <td> LDAP GC </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 1024-65535/TCP </td> 
 <td> 3269/TCP </td> 
 <td> LDAP GC SSL </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 53,1024-65535/TCP/UDP </td> 
 <td> 53/TCP/UDP </td> 
 <td> DNS </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 1024-65535/TCP/UDP </td> 
 <td> 88/TCP/UDP </td> 
 <td> Kerberos </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 1024-65535/TCP </td> 
 <td> 445/TCP </td> 
 <td> SMB </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 1024-65535/TCP </td> 
 <td> 1024-65535/TCP </td> 
 <td> FRS RPC (*) </td> 
 </tr> 
 </tbody> 
</table>

当配置对域的信任仅支持基于NETBIOS的通信时，Windows 2000和Windows Server 2003也需要Windows NT列出的NETBIOS端口。示例是基于Windows NT的操作系统或基于Samba的第三方域控制器。  
  
（\*）有关如何定义由LSA RPC服务使用的RPC服务器端口的信息，请参阅以下Microsoft知识库文章：

*  [224196：限制Active Directory复制流量和客户端RPC流量到特定端口][224196_Active Directory_RPC]
 *  [832017中的][832017] “域控制器和Active Directory”部分[：Windows Server系统的服务概述和网络端口要求][832017]

**Windows Server 2008****和更高版本**

Windows Server 2008的Windows Server较新版本增加了传出连接的动态客户端端口范围。新的默认起始端口为49152，默认终止端口为65535。因此，必须在防火墙中增加RPC端口范围。进行此更改是为了符合Internet号码分配机构（IANA）的建议。这不同于由Windows Server 2003域控制器，基于Windows 2000 Server的域控制器或旧式客户端组成的混合模式域，在这些混合模式域中，默认动态端口范围是1025至5000。  
  
有关动态端口范围更改的详细信息，请参见Windows Server 2008，Windows Server 2012和Windows Server 2012 R2，请参阅以下资源：

*  Microsoft知识库文章[929851：TCP / IP的默认动态端口范围在Windows Vista和Windows Server 2008中已更改][929851_TCP _ IP_Windows Vista_Windows Server 2008]
 *  询问目录服务团队博客文章[Windows Server 2008和Windows Vista中的动态客户端端口][Windows Server 2008_Windows Vista]

<table> 
 <tbody> 
 <tr> 
 <td> 客户端端口 </td> 
 <td> 服务器端口 </td> 
 <td> 服务 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/UDP </td> 
 <td style="border-color:#d0d0d0;"> 123/UDP </td> 
 <td style="border-color:#d0d0d0;"> W32Time </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP </td> 
 <td> 135/TCP </td> 
 <td> RPC Endpoint Mapper </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP </td> 
 <td> 464/TCP/UDP </td> 
 <td> Kerberos password change </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP </td> 
 <td> 49152-65535/TCP </td> 
 <td> RPC for LSA, SAM, Netlogon (*) </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP/UDP </td> 
 <td> 389/TCP/UDP </td> 
 <td> LDAP </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP </td> 
 <td> 636/TCP </td> 
 <td> LDAP SSL </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP </td> 
 <td> 3268/TCP </td> 
 <td> LDAP GC </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP </td> 
 <td> 3269/TCP </td> 
 <td> LDAP GC SSL </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 53, 49152 -65535/TCP/UDP </td> 
 <td> 53/TCP/UDP </td> 
 <td> DNS </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP </td> 
 <td> 49152 -65535/TCP </td> 
 <td> FRS RPC (*) </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP/UDP </td> 
 <td> 88/TCP/UDP </td> 
 <td> Kerberos </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP/UDP </td> 
 <td> 445/TCP </td> 
 <td> SMB (**) </td> 
 </tr> 
 <tr> 
 <td style="border-color:#d0d0d0;"> 49152 -65535/TCP </td> 
 <td> 49152-65535/TCP </td> 
 <td> DFSR RPC (*) </td> 
 </tr> 
 </tbody> 
</table>

当配置对域的信任仅支持基于NETBIOS的通信时，Windows 2000和Server 2003也需要Windows NT列出的NETBIOS端口。示例是基于Windows NT的操作系统或基于Samba的第三方域控制器。  
  
（\*）有关如何定义由LSA RPC服务使用的RPC服务器端口的信息，请参阅以下Microsoft知识库文章：

（\*\*）对于信任操作，此端口不是必需的，它仅用于信任创建。

注意

仅当您手动配置了Windows时间服务以跨外部信任与服务器同步时，才需要外部信任123 / UDP。

**活动目录**

在Windows 2000和Windows XP中，必须允许Internet控制消息协议（ICMP）从客户端到域控制器通过防火墙，以便Active Directory组策略客户端可以通过防火墙正常运行。ICMP用于确定链接是慢速链接还是快速链接。  
  
在Windows Server 2008和更高版本中，“网络位置感知服务”会根据与网络上其他工作站的通信量来提供带宽估计。没有为该估算值生成流量。

Windows重定向器还使用ICMP Ping消息来验证建立连接之前以及使用DFS定位服务器时DNS服务器已解析服务器IP。

如果要最小化ICMP流量，可以使用以下示例防火墙规则：

<任何> ICMP-> DC IP地址=允许

与TCP协议层和UDP协议层不同，ICMP没有端口号。这是因为ICMP由IP层直接托管。  
  
默认情况下，Windows Server 2003和Windows 2000 Server DNS服务器在查询其他DNS服务器时使用临时客户端端口。但是，此行为可以通过特定的注册表设置来更改。有关详细信息，请参阅Microsoft知识库文章[260186：SendPort DNS注册表项无法按预期工作。][260186_SendPort DNS]  
  
有关Active Directory和防火墙配置的详细信息，请参阅“ [按防火墙][Link 2][划分的][260186_SendPort DNS][网络中][Link 2]的[Active Directory”][Link 2] Microsoft白皮书。

或者，您可以通过点对点隧道协议（PPTP）强制隧道建立信任关系。这限制了防火墙必须打开的端口数。对于PPTP，必须启用以下端口。

此外，您必须启用IP协议47（GRE）。

注意

当您向受信任域中的用户向信任域中的资源添加权限时，Windows 2000和Windows NT 4.0行为之间会有一些区别。如果计算机无法显示远程域的用户列表，请考虑以下行为：

*  Windows NT 4.0尝试通过联系远程用户域的PDC（UDP 138）来解析手动键入的名称。如果该通信失败，则基于Windows NT 4.0的计算机将联系其自己的PDC，然后请求解析该名称。
 *  Windows 2000和Windows Server 2003还尝试联系远程用户的PDC以通过UDP 138进行解析。但是，它们并不依赖于使用自己的PDC。确保所有将授予资源访问权限的基于Windows 2000的成员服务器和基于Windows Server 2003的成员服务器都具有与远程PDC的UDP 138连接。

**参考**

--------------------

[832017：Windows Server系统的服务概述和网络端口要求][832017]是宝贵的资源，概述了Microsoft客户端和服务器操作系统，Microsoft Windows中基于服务器的程序及其子组件所使用的必需网络端口，协议和服务服务器系统。管理员和支持专业人员可以使用此Microsoft知识库文章作为路线图，以确定Microsoft操作系统和程序为分段网络中的网络连接需要哪些端口和协议。  
  
您不应使用知识库文章832017中的端口信息来配置Windows防火墙。有关如何配置Windows防火墙的信息，请访问下面的Microsoft网站：

[网络和访问技术：Windows防火墙][Windows]

[Link 1]: https://support.microsoft.com/
[224196_Active Directory_RPC]: https://support.microsoft.com/help/224196
[832017]: https://support.microsoft.com/help/832017
[929851_TCP _ IP_Windows Vista_Windows Server 2008]: https://support.microsoft.com/help/929851
[Windows Server 2008_Windows Vista]: https://techcommunity.microsoft.com/t5/Ask-the-Directory-Services-Team/Dynamic-Ports-in-Windows-Server-2008-and-Windows-Vista-or-How-I/ba-p/394893
[260186_SendPort DNS]: https://support.microsoft.com/help/260186
[Link 2]: http://www.microsoft.com/downloads/details.aspx?familyid=c2ef3846-43f0-4caf-9767-a9166368434e&displaylang=en
[Windows]: http://technet.microsoft.com/en-us/network/bb545423.aspx