資源描述：
《AD端口詳解及RPC動(dòng)態(tài)端口限定》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫(kù)。
1、AD端口詳解及RPC動(dòng)態(tài)端口限定DC之間正常通信復(fù)制及加入域建議開(kāi)放以下端口：協(xié)議端口描述開(kāi)放要求全局編錄服務(wù)器3269/TCPAD應(yīng)用雙向全局編錄服務(wù)器3268/TCPAD應(yīng)用雙向LDAP服務(wù)器389/TCP/UDPAD應(yīng)用雙向LDAPSSL636/TCP/UDPAD應(yīng)用雙向IPsecISAKMP500/UDPAD應(yīng)用雙向NAT-T4500/UDPAD應(yīng)用雙向RPC135/TCPAD應(yīng)用雙向SMB445/TCP/UDP網(wǎng)絡(luò)登陸雙向Kerberos88/TCP/UDPKerberos密鑰雙向NTP123/UDPWindows時(shí)間服務(wù)雙向SNTP123/UDPWindows時(shí)間服務(wù)雙向D
2、NS53/TCP/UDPDNS雙向NetBIOS137/TCP,137/UDP名稱服務(wù)雙向NetBIOS138/UDP數(shù)據(jù)文報(bào)服務(wù)雙向NetBIOS139/TCP會(huì)話服務(wù)雙向WINS（如果需要）1512/TCP,1512/UDP解析雙向WINS（如果需要）42/TCP,42/UDP復(fù)制雙向AD用戶密碼修改464/TCPAD應(yīng)用雙向RPC5000-5200/tcp/udp動(dòng)態(tài)端口(可以限定)雙向用戶登錄與驗(yàn)證身份時(shí)會(huì)用到的連接端口用戶登錄時(shí)會(huì)用到以下的服務(wù)，因此如果用戶的計(jì)算機(jī)與域控制器之間被防火墻隔開(kāi)，就必須在防火墻開(kāi)放這些服務(wù)的連接端口。Microsoft-DStraffic:445
3、/TCP、445/UDPKerberos:88/TCP、88/UDPLDAPping:389/UDPDNS:53/TCP、53/UDP計(jì)算機(jī)登錄與驗(yàn)證身份時(shí)會(huì)用到的連接端口計(jì)算機(jī)登錄到域控制器時(shí)會(huì)用到以下的服務(wù)，因此如果域的成員計(jì)算機(jī)與域控制之間被防火墻隔開(kāi)，就必須在防火墻開(kāi)放這些服務(wù)的連接端口。Microsoft-DStraffic:445/TCP、445/UDPKerberos:88/TCP、88/UDPLDAPping:389/UDPDNS:53/TCP、53/UDP建立域信任時(shí)會(huì)用到的連接端口位于不同林的域在建立“顯性信任（explicittrust）”關(guān)系時(shí)，會(huì)用到以下的服務(wù)
4、，因此如果這兩個(gè)域的域控制器之間被防火墻隔開(kāi)，就必須在防火墻開(kāi)放這些服務(wù)的連接端口。Microsoft-DStraffic:445/TCP、445/UDPKerberos:88/TCP、88/UDPLDAP：389/TCPAK636/TCP（如果使用SSL）LDAPping:389/UDPDNS:53/TCP、53/UDP驗(yàn)證域信任時(shí)會(huì)用到的連接端口兩個(gè)域內(nèi)的域控制器在驗(yàn)證信任關(guān)系時(shí)會(huì)用到以下的服務(wù)，因此如果這兩臺(tái)域控制器之間被防火墻隔開(kāi)，就必須在防火墻開(kāi)放這些服務(wù)的連接端口。Microsoft-DStraffic:445/TCP、445/UDPKerberos:88/TCP、88/U
5、DPLDAP：389/TCPAK636/TCP（如果使用SSL）LDAPping:389/UDPDNS:53/TCP、53/UDPNetLogonservice無(wú)法被鎖定在固定的一個(gè)RPC連接端口，也就是它是使用動(dòng)態(tài)的RPC連接端口，可以使RPC連接端口被限制在一個(gè)范圍內(nèi)。關(guān)于RPC動(dòng)態(tài)端口限定方法在下方提到！AD數(shù)據(jù)復(fù)制需要的端口RPC終結(jié)點(diǎn)影射器：135/TCP,135/UDPNetBIOS名稱服務(wù)：137/TCP,137/UDPNetBIOS數(shù)據(jù)文報(bào)服務(wù)：138/UDPNetBIOS會(huì)話服務(wù)：139/TCPRPC動(dòng)態(tài)分配：1024-65535/TCPMicrosoft-DS：44
6、5/TCP,445/UDPLDAP：389/TCPSSL上的LDAP：636/TCP全局編錄LDAP：3268/TCP/UDPSSL上的全局編錄LDAP：3269/TCPKerberos：88/TCP,88/UDPDNS：53/TCP,53/UDPWINS解析（如果需要）：1512/TCP,1512/UDPWINS復(fù)制（如果需要）：42/TCP,42/UDPAD用戶密碼修改：464/TCPNetlogon端口是動(dòng)態(tài)的，因此最好的方法是使用IPSec或其它隧道協(xié)議讓流量穿過(guò)防火墻！RPC動(dòng)態(tài)端口范圍至少要在100個(gè)以上！但這并不意味著，如果DC和client之間如果放置防火墻，僅僅開(kāi)放上
7、面這些端口就足以讓它們可以獲得完全正常的通訊，以及完全實(shí)現(xiàn)AD的功能特性。遇到這種情況，需要考慮兩個(gè)問(wèn)題：1、由于DC和client之間的通訊模式是松散的，在win2k3及之前版本的操作系統(tǒng)上，MS并未設(shè)計(jì)一種變通的工作方式，可以讓DC和client之間的通訊可以局限于一個(gè)或者某些端口，并保障它們的通訊安全。在進(jìn)行企業(yè)IT基礎(chǔ)架構(gòu)部署過(guò)程中，使用諸如Vlan等技術(shù)，人為的將DC與client分隔開(kāi)，是不妥當(dāng)?shù)摹Ｔ赩ista及Longhorn的平
