У меня сегодня была странная установка, когда я хотел включить брандмауэр Windows на компьютере с Windows 2003 R2 SP2, который будет действовать как контроллер домена Active Directory.
Я не нашел в Интернете ни одного ресурса, в котором перечислялось бы, что для этого потребуется, поэтому я подумал, что перечислю их здесь и посмотрю, есть ли у кого-нибудь что-нибудь добавить / увидеть что-то, что не нужно.
Открываемые порты с областью «подсети»:
Порты, которые нужно открывать с "любой" областью действия (для DHCP)
ТАКЖЕ Вам нужно ограничить RPC для использования фиксированных портов вместо всех> 1024. Для этого вам нужно добавить два ключа реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
Registry value: TCP/IP Port
Value type: REG_DWORD
Value data: <-- pick a port like 1600 and put it here
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
Registry value: DCTcpipPort
Value type: REG_DWORD
Value data: <-- pick another port like 1650 and put it here
... не забудьте добавить записи в брандмауэр, чтобы разрешить их в (TCP, область подсети).
После всего этого я смог добавить клиентский компьютер в домен AD (за брандмауэром Windows) и успешно войти в систему.
При желании вы можете ограничить диапазоны портов RPC двумя способами:
Из базы знаний Microsoft:
Для Active Directory: http://support.microsoft.com/kb/179442
Для ограничения портов, используемых RPC: http://technet.microsoft.com/en-us/library/bb727063.aspx
Я сделал это с этими портами. Прошло некоторое время, и я не уверен, что присоединился к домену или, скорее, позволяет ли это машине связываться с контроллером домена после присоединения, находясь в той же подсети.
Порты TCP:
135 139 389 445 1026
UDP-порты:
53 88 123 389