Назад | Перейти на главную страницу

Как настроить брандмауэр Windows для контроллера домена?

Похоже, что настройки брандмауэра Windows по умолчанию на контроллере домена открывают ряд портов для «любого» типа подключения. Все, что я хочу открыть для Интернета, - это порт RDP.

Можно и нужно вручную ограничить каждое из правил для входящих подключений, чтобы область видимости была только «локальной подсетью»? есть способ сделать это попроще?

Если вы используете брандмауэр Windows (или любой другой тип программного брандмауэра, работающий на самом компьютере) для защиты своих ящиков из Интернета, то вы делаете что-то не так. Во-первых, это означает, что каждый из ваших ящиков имеет прямое подключение к Интернету, а во-вторых, это ставит вас в ситуацию, когда у вас есть несколько брандмауэров для настройки и управления.

Вам необходимо установить подходящий брандмауэр и настроить маршрутизацию так, чтобы весь доступ в Интернет проходил через него. Предоставление себе единой точки доступа к Интернету или из него является основным требованием безопасности. Это не должно быть сложным или дорогостоящим и поможет вам легче спать по ночам.

Контроллер домена должен быть вполне открыт для предоставления своих услуг в вашей сети; он просто не должен напрямую подключаться к Интернету.

редактировать

Хорошо, посмотрим, что здесь можно сделать.

Выполнение вещей, как вы делаете сейчас, определенно является источником неприятностей, вам следует избегать этого любой ценой.

У вас есть два решения:

  • Удалите "частную" сетевую карту со всех серверов, используйте на них только общедоступный IP-адрес (но используйте статический, а не DHCP!) И настройте брандмауэр на каждом из них, чтобы разрешать соединения только между ними и с того места, где вы будете RDP в них.
  • Удалите из них «общедоступную» сетевую карту, фактически поместив их в частную локальную сеть, и добавьте еще один компьютер под управлением Windows RRAS или ISA Server (или FFTMG, или Linux, или что угодно еще) с двумя сетевыми картами, одной общедоступной и одной частной. , действующий как брандмауэр для вашей сети.

Что бы вы ни делали, не оставайтесь с двумя сетевыми адаптерами и общедоступными / частными IP-адресами одновременно на всех своих компьютерах. Таким образом, вы получите проблемы с обоими решениями плюс множественная адресация, и никаких преимуществ.

Пытаться Брандмауэр Windows в режиме повышенной безопасности, который позволяет вам делать больше, чем просто удобный интерфейс панели управления.

Вы также можете рассмотреть возможность использования стороннего поставщика брандмауэра.

Попробуйте перейти по следующей ссылке:

Обзор службы и требования к сетевому порту для системы Windows Server http://support.microsoft.com/kb/832017

Надеюсь, это поможет.