4
Portfreigaben für die Firewall eines Windows Server 2003 Domänencontrollers
Für alle die Probleme beim Betrieb eines Domänencontrollers mit aktivierter Firewall haben, bietet diese Anleitung einen kompakten Überblick über die grundlegenden Portfreigaben der Firewall. Die Liste erhebt keinen Anspruch auf Vollständigkeit da je nach Konfiguration und Verwendung des Servers zusätzliche Ports benötigt werden könnten.
Wird benötigt wenn mehrere Domänencontroller im Netzwerk miteinander kommunizieren sollen
Anlegen eines DWORD mit der TCP Portnummer für AD replication (z.b. 53211)
Anlegen eines DWORD mit der TCP Portnummer für File Replication Service (z.b. 53212)
Mit diesen Ports sollten die Grundlegendsten Dinge wie Freigaben / Anmeldungen an den Server etc. funktionieren.
Weitere Informationen über Ports für unterschiedlichste Anwendungen und Dienste eines Windows Servers findet sich hier in einer guten Übersicht: Microsoft Knowledge Base
Wünsche Euch viel Erfolg beim Portfreischaufeln
Diese Anleitung eignet sich für all diejenigen die sich bisher nicht getraut haben die Firewall eines Windows Server 2003 oder SBS 2003 zu aktivieren weil sich dadurch viele Verbindungsprobleme ergeben haben. Wenn man jedoch weiß welche Dienste ein Domänencontroller zur korrekten Kommunikation im Netzwerk benötigt, sollte das in Zukunft kein Problem mehr sein.
Zu öffnende Ports
| Port | Protokoll | Verwendung |
|---|---|---|
| 53 | UDP/TCP | DNS |
| 67 | UDP | DHCP Server |
| 88 | UDP/TCP | Kerberos |
| 123 | UDP | NTP |
| 135 | TCP | RPC |
| 137/138 | UDP | Datei- und Druckerfreigabe |
| 139/445 | TCP | Datei- und Druckerfreigabe |
| 389 | UDP/TCP | LDAP |
| 3268 | TCP | Global Catalog LDAP |
| 53211 | TCP | AD Replication (Hinweis: s.u.) |
| 53212 | TCP | File Replication Service (Hinweis s.u.) |
Festlegen der Ports für "AD Replication" und "File Replication" auf einen festen Wert:
Wird benötigt wenn mehrere Domänencontroller im Netzwerk miteinander kommunizieren sollen- Suchen sie sich zwei freie Ports zwischen 49152 und 65535.
- Auf allen Domänencontrollern im Domain-Forest sollten dann folgende Registry einträge angelegt werden damit diese Dienste auf festgelegten Ports kommunizieren:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\TCP/IP PortHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\RPC TCP/IP Port AssignmentMit diesen Ports sollten die Grundlegendsten Dinge wie Freigaben / Anmeldungen an den Server etc. funktionieren.
Weitere Informationen über Ports für unterschiedlichste Anwendungen und Dienste eines Windows Servers findet sich hier in einer guten Übersicht: Microsoft Knowledge Base
Wünsche Euch viel Erfolg beim Portfreischaufeln
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 96242
Url: https://administrator.de/contentid/96242
Ausgedruckt am: 04.11.2024 um 22:11 Uhr
4 Kommentare
Neuester Kommentar
Gutes Manual. Hatte bisher noch nicht die Zeit, mich mit den benötigten Ports zu beschäftigen und habe darum die FW auf meinem privaten DC einfach abgeschaltet. Ist aber gut, wenn man so eine Übersicht hat.
Hallo,
prima Posting. Erleichtert die Suche ungemein.
Frage: Wie kann man unter 2003 Portfreigaben zu einem Regelwerk kombinieren (so wie z.B. unter der standardmäßigen Regel "Datei- und Druckfreigabe" ja auch mehrere Ports zusammengefasst wurden) ?
prima Posting. Erleichtert die Suche ungemein.
Frage: Wie kann man unter 2003 Portfreigaben zu einem Regelwerk kombinieren (so wie z.B. unter der standardmäßigen Regel "Datei- und Druckfreigabe" ja auch mehrere Ports zusammengefasst wurden) ?
In der Hinsicht ist der Windows Server 2003 spartanisch aussgestattet.
Man kann aber über die Gruppennrichtlinien mehrere Ausnahmen für Ports zusammenfassen und zwar unter folgendem Zweig: "Computerkonfiguration/Administrative Vorlagen/Netzwerk/Netzwerkverbindungen/Windows-Firewall/Domänenprofil/" dort gibt es den Eintrag "Windows-Firewall: Portausnahmen festlegen". Wenn man diese Richtlinie aktiviert lassen sich über den Button "Anzeigen" Portausnahmen definieren. Beispiele wie die Zeile dafür auszusehen hat sind im Dialog erläutert. Hier ein Beispiel für solch eine Zeile:
Beispiel:
Die folgende Definitionszeichenfolge fügt den
TCP-Port 80 zur Portausnahmenliste hinzu und lässt
den Empfang von Meldungen von 10.0.0.1, 10.0.0.2
bzw. anderen Systemen im Subnetz 10.3.4.x zu:
Man kann aber über die Gruppennrichtlinien mehrere Ausnahmen für Ports zusammenfassen und zwar unter folgendem Zweig: "Computerkonfiguration/Administrative Vorlagen/Netzwerk/Netzwerkverbindungen/Windows-Firewall/Domänenprofil/" dort gibt es den Eintrag "Windows-Firewall: Portausnahmen festlegen". Wenn man diese Richtlinie aktiviert lassen sich über den Button "Anzeigen" Portausnahmen definieren. Beispiele wie die Zeile dafür auszusehen hat sind im Dialog erläutert. Hier ein Beispiel für solch eine Zeile:
Beispiel:
Die folgende Definitionszeichenfolge fügt den
TCP-Port 80 zur Portausnahmenliste hinzu und lässt
den Empfang von Meldungen von 10.0.0.1, 10.0.0.2
bzw. anderen Systemen im Subnetz 10.3.4.x zu:
80:TCP:10.0.0.1,10.0.0.2,10.3.4.0/24:enabled:Webdienst
Tolle Übersicht! Was mich mal interessieren würde: Auf welche Ports kann man das Ganze beschränken wenn ich ausschliesslich erreichen will das sich ein Client an der AD anmelden kann?! Ich will für ein paar Rechner eine zentrale Userverwaltung (über die bestehende Domäne) haben, diese müssen jedoch nicht auf die Netzlaufwerke zugreifen. Außerdem hängen diese Rechner hinter einer Firewall auf dieser wir so wenige Ports wie möglich öffnen wollen. Kann hier jemand eine handfeste Aussage machen?
