Назад | Перейти на главную страницу

Использование Active Directory через брандмауэр

У меня сегодня была странная установка, когда я хотел включить брандмауэр Windows на компьютере с Windows 2003 R2 SP2, который будет действовать как контроллер домена Active Directory.

Я не нашел в Интернете ни одного ресурса, в котором перечислялось бы, что для этого потребуется, поэтому я подумал, что перечислю их здесь и посмотрю, есть ли у кого-нибудь что-нибудь добавить / увидеть что-то, что не нужно.

Открываемые порты с областью «подсети»:

Порты, которые нужно открывать с "любой" областью действия (для DHCP)

ТАКЖЕ Вам нужно ограничить RPC для использования фиксированных портов вместо всех> 1024. Для этого вам нужно добавить два ключа реестра:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
Registry value: TCP/IP Port
Value type: REG_DWORD
Value data:  <-- pick a port like 1600 and put it here

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters 
Registry value: DCTcpipPort
Value type: REG_DWORD
Value data: <-- pick another port like 1650 and put it here

... не забудьте добавить записи в брандмауэр, чтобы разрешить их в (TCP, область подсети).

После всего этого я смог добавить клиентский компьютер в домен AD (за брандмауэром Windows) и успешно войти в систему.

При желании вы можете ограничить диапазоны портов RPC двумя способами:

  1. IPSec. Это более разумный подход, ИМО, но многие места не используют IPSec внутри корпоративной сети, и многим людям, занимающимся мониторингом / безопасностью сети, это не нравится.
  2. Ограничить диапазон портов. Этот подход работает, но его очень сложно настроить и он может сказаться на производительности.

Из базы знаний Microsoft:

Для Active Directory: http://support.microsoft.com/kb/179442

Для ограничения портов, используемых RPC: http://technet.microsoft.com/en-us/library/bb727063.aspx

Я сделал это с этими портами. Прошло некоторое время, и я не уверен, что присоединился к домену или, скорее, позволяет ли это машине связываться с контроллером домена после присоединения, находясь в той же подсети.

Порты TCP:

135 139 389 445 1026

UDP-порты:

53 88 123 389