Windows 服务概述和网络端口

  • 项目

本文讨论了 Microsoft 客户端和服务器操作系统、基于服务器的程序及其在 Microsoft Windows Server 系统中的子组件所使用的必要网络端口、协议和服务。 管理员和支持专业人员可以使用本文作为路线图来确定在分段网络中建立网络连接时 Microsoft 操作系统和程序需要哪些端口和协议。

适用于：Windows Server 2019、Windows Server 2016、Windows Server 2012 R2、Windows 10、版本 2004、Windows 10、版本 1909、Windows 10、版本 1903、Windows 7 Service Pack 1
原始 KB 编号： 832017

重要

本文包含多个对默认动态端口范围的引用。 在 Windows Server 2008 和更高版本以及 Windows Vista 和更高版本中，默认动态端口范围更改为以下范围：

  • 开始端口：49152
  • 结束端口：65535

Windows 2000、Windows XP 和 Windows Server 2003使用以下动态端口范围：

  • 开始端口：1025
  • 结束端口：5000

了解这对你意味着什么。

  • 如果计算机网络环境仅使用 Windows Server 2012 或更高版本的 Windows，则必须在 49152 到 65535 的高端口范围内启用连接。
  • 如果计算机网络环境使用 Windows Server 2012 以及早于 Windows Server 2008 和 Windows Vista 的 Windows 版本，则必须在以下两个端口范围内启用连接：
    高端口范围 49152 至 65535
    低端口范围 1025 至 5000
  • 如果计算机网络环境仅使用 Windows Server 2008 和 Windows Windows Vista 之前版本的 Windows，则必须在 1025 到 5000 之间的低端口范围内启用连接。

有关默认动态端口范围的更多信息，请参阅 TCP/IP 的默认动态端口范围已更改。

请勿使用本文中的端口信息配置 Windows 防火墙。 有关如何配置 Windows 防火墙的信息，请参阅具有高级安全性的 Windows 防火墙。

Windows Server 系统包括一个全面的集成基础结构，以满足开发人员和信息技术 (IT) 专业人员的要求。 此系统运行可用于快速、轻松地获取、分析和共享信息的程序和解决方案。 这些 Microsoft 客户端、服务器和服务器程序产品使用不同的网络端口和协议，通过网络与客户端系统和其他服务器系统进行通信。 专用防火墙、基于主机的防火墙和互联网协议安全 (IPsec) 过滤器是协助保护网络安全的其他重要组件。 但是，如果将这些技术配置为阻止特定服务器使用的端口和协议，则该服务器将不再响应客户端请求。

概述

以下列表概述了本文包含的信息：

  • 系统服务端口部分：

    • 包含每个服务的简要说明。
    • 显示每个服务的逻辑名称。
    • 说明每个服务正确运行所需的端口和协议。

    使用此部分可帮助确定特定服务使用的端口和协议。

  • 端口和协议 部分包含一个表，其中汇总了“系统服务端口”部分的信息。 该表按端口号排序，而不是按服务名称。 使用此部分可快速确定哪些服务侦听特定端口。

本文以特定方式使用某些术语。 为了避免混淆，请确保了解本文如何使用以下术语：

  • 系统服务：系统服务是作为应用程序启动过程或操作系统启动过程的一部分自动加载的程序。 系统服务支持操作系统必须执行的不同任务。 例如，在运行 Windows Server 2003 Enterprise Edition 的计算机上可用的一些系统服务包括服务器服务、后台打印程序服务和万维网发布服务。 每个系统服务都有一个友好的服务名称和一个服务名称。 友好的服务名称是出现在图形管理工具中的名称（如服务 Microsoft 管理控制台 (MMC) 管理单元）。 服务名称是和命令行工具和许多脚本语言一同使用的名称。 每个系统服务可能提供一个或多个网络服务。
  • 应用程序协议：在本文中，应用程序协议是指使用一个或多个 TCP/IP 协议和端口的高级网络协议。 应用程序协议的示例包括 HTTP、服务器消息块 (SMB) 和简单邮件传输协议 (SMTP)。
  • 协议：TCP/IP 协议是网络上设备之间通信的标准格式。 TCP/IP 协议的运行级别低于应用程序协议。 TCP/IP 协议套件包括 TCP、用户数据报协议 (UDP) 和 Internet 控制消息协议 (ICMP)。
  • 端口：它是系统服务侦听传入网络流量的网络端口。

本文没有具体说明哪些服务依赖于其他服务进行网络通信。 例如，许多服务依赖 Microsoft Windows 中的远程过程调用 (RPC) 或 DCOM 功能来为它们分配动态 TCP 端口。 远程过程调用服务协调使用 RPC 或 DCOM 与客户端计算机通信的其他系统服务的请求。 许多其他服务依赖于网络基本输入/输出系统 (NetBIOS) 或 SMB，即服务器服务提供的协议。 其他服务依赖于 HTTP 或超文本传输协议安全 (HTTPS)。 这些协议由 Internet Information Services (IIS) 提供。 本文不讨论 Windows 操作系统的体系结构。 但是，有关此主题的详细文档可在 Microsoft TechNet 和 Microsoft Developer Network (MSDN) 网站上获得。 尽管许多服务可能依赖于特定的 TCP 或 UDP 端口，但一次只能侦听一个服务或进程。

将 RPC 与 TCP/IP 或 UDP/IP 一起用作传输时，会经常根据需要动态地将传入端口分配给系统服务。 使用高于端口 1024 的 TCP/IP 和 UDP/IP 端口。 这些端口也称为随机 RPC 端口。 在这些情况下，RPC 客户端依赖 RPC 终结点映射器来告知它们向服务器分配了哪些动态端口或端口。 对于一些基于 RPC 的服务，可以配置特定端口，而不是让 RPC 动态分配端口。 还可以将 RPC 动态分配的端口范围限制为较小的范围，而不考虑服务。 有关此主题的更多信息，请参阅参考部分。

本文包含有关“适用于”部分中列出的 Microsoft 产品的系统服务角色和服务器角色的信息。 虽然此信息还适用于 Windows XP 和 Microsoft Windows 2000 Professional，但本文侧重于服务器类操作系统。 因此，本文介绍服务侦听的端口，而不是客户端程序用于连接到远程系统的端口。

系统服务端口

本节提供每个系统服务的说明，包括与系统服务对应的逻辑名称，并显示每个服务所需的端口和协议。

Active Directory (本地安全机构)

Active Directory 在 Lsass.exe 下运行，包括 Windows 域控制器的身份验证和复制引擎。 域控制器、客户端计算机和应用程序服务器需要通过特定的硬编码端口与 Active Directory 建立网络连接。 此外，除非使用隧道协议将流量封装到 Active Directory，否则需要介于 1024 到 5000 和 49152 到 65535 之间的临时 TCP 端口范围。

注意

  • 如果计算机网络环境仅使用 Windows Server 2008 R2、Windows Server 2008、Windows 7、Windows Vista 或更高版本，则必须在 49152 到 65535 的高端口范围内启用连接。

  • 如果计算机网络环境使用 Windows Server 2008 R2、Windows Server 2008、Windows 7、Windows Vista 或更高版本以及早于 Windows Server 2008 和 Windows Vista 的 Windows 版本，则必须通过这两个端口范围启用连接：
    高端口范围 49152 至 65535
    低端口范围 1025 至 5000

  • 如果计算机网络环境仅使用 Windows Server 2008 和 Windows Windows Vista 之前版本的 Windows，则必须在 1025 到 5000 之间的低端口范围内启用连接。

封装的解决方案可能包含一个 VPN 网关，该网关位于使用第 2 层隧道协议 (L2TP) 和 IPsec 筛选路由器后面。 在此封装方案中，必须允许以下项通过路由器，而不是打开本主题中列出的所有端口和协议：

  • IPsec 封装安全协议 (ESP) (IP 协议 50)
  • IPsec 网络地址转换穿越 NAT-T（UDP 端口 4500）
  • IPsec INTERNET 安全关联和密钥管理协议 (ISAKMP) (UDP 端口 500)

最后，你可按照将 Active Directory RPC 流量限制到特定端口中的步骤对用于 Active Directory 复制的端口进行硬编码。 系统服务名称： LSASS。

注意

不需要 L2TP 流量的数据包筛选器，因为 L2TP 受 IPsec ESP 保护。

应用程序协议 协议 端口
Active Directory Web 服务 (ADWS) TCP 9389
Active Directory 管理网关服务 TCP 9389
全局编录 TCP 3269
全局编录 TCP 3268
ICMP 无端口号
轻型目录访问协议 (LDAP) 服务器 TCP 389
LDAP 服务器 UDP 389
LDAP SSL TCP 636
IPsec ISAKMP UDP 500
NAT-T UDP 4500
RPC TCP 135
RPC 随机分配的高 TCP 端口¹ TCP 49152 - 65535
SMB TCP 445

¹ 若要详细了解如何自定义此端口，请参阅参考部分中的域控制器和 Active Directory。 本节还包括在先决条件验证期间首次在 Windows Server 2012 域控制器升级中使用的远程 WMI 和 DCOM 通信，以及服务器管理器工具。

此外，Microsoft LDAP 客户端使用 ICMP ping 来验证其具有待定请求的 LDAP 服务器是否仍存在于网络中。 以下设置是 LDAP 会话选项：

应用程序层网关服务

Internet 连接共享/Internet 连接防火墙 (ICF) 服务的这一子项提供对插件的支持，这些插件允许网络协议通过防火墙并运行在 Internet 连接共享后面。 应用程序层网关 (ALG) 插件可打开端口并更改数据包中嵌入的数据（如端口和 IP 地址）。 FTP 是唯一包含插件的网络协议，该插件包含在 Windows Server 中。 ALG FTP 插件通过这些组件使用的网络地址转换 (NAT) 引擎支持活动 FTP 会话。 ALG FTP 插件通过将符合以下标准的所有流量重定向到环回适配器上 3000 到 5000 范围内的专用监听端口来支持这些会话：

  • 通过 NAT 引擎
  • 定向到端口 21

然后，ALG FTP 插件监视和更新 FTP 控制通道流量，以便 FTP 插件可以通过 NAT 转发 FTP 数据通道的端口映射。 FTP 插件还会更新 FTP 控制通道流中的端口。

系统服务名称：ALG

应用程序协议 协议 端口
FTP 控件 TCP 21

ASP.NET 状态服务

ASP.NET 状态服务支持 ASP.NET 进程外会话状态。 ASP.NET 状态服务存储进程外会话数据。 该服务使用套接字与 Web 服务器上运行的 ASP.NET 进行通信。

系统服务名称：aspnet_state

应用程序协议 协议 端口
ASP.NET 会话状态 TCP 42424

证书服务

证书服务是核心操作系统的一部分。 通过使用证书服务，企业可以充当自己的证书颁发机构 (CA)。 它允许企业颁发和管理程序和协议的数字证书，例如：

  • 安全/多用途 Internet 邮件扩展 (S/MIME)
  • 安全套接字层 (SSL)
  • 加密文件系统 (DFS)
  • IPSec
  • 智能卡登录

证书服务依赖 RPC 和 DCOM 通过使用高于端口 1024 的随机 TCP 端口与客户端进行通信。

系统服务名称：CertSvc

应用程序协议 协议 端口
RPC TCP 135
SMB TCP 445、139
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“远程过程调用和 DCOM”。

有关详细信息，请参阅 3.2.2.6.2.1.4.5.9 msPKI-Certificate-Name-Flag。

群集服务

群集服务控制服务器群集操作和管理群集数据库。 群集是充当单台计算机的独立计算机的集合。 管理员、程序员和用户将群集视为单个系统。 软件在群集的节点之间分发数据。 如果一个节点发生故障，则其他节点将提供以前由缺失节点提供的服务和数据。 添加或修复节点时，群集软件会将一些数据迁移到该节点。

系统服务名称：ClusSvc

Application 协议 端口
群集服务 UDP 和 DTLS¹ 3343
群集服务 TCP 3343（节点加入操作期间需要此端口。）
群集服务 ICMP 回显端口 (在 “添加节点向导”中的节点加入操作期间需要此端口。)
群集服务 TCP 445 (在 “添加节点向导”的节点加入操作期间需要此端口。)
RPC TCP 135
群集管理器 UDP 137
随机分配的高端口² TCP 49152 和 65535 之间的随机端口号

注意

此外，为能成功验证 2008 及更高版本上的 Windows 故障转移群集，请允许 ICMP4、ICMP6 和适用于 SMB 的端口 445/TCP 的入站和出站流量。

¹ 通过端口 3343 的群集服务 UDP 流量需要数据报传输层安全 (DTLS) 协议，版本 1.0 或版本 1.2。 默认情况下，DTLS 处于启用状态。 有关详细信息，请参阅 TLS/SSL (Schannel SSP) 中的协议。

² 要详细了解如何自定义这些端口，请参阅“引用”部分中的“远程过程调用和 DCOM”。

计算机浏览器

计算机浏览器系统服务维护网络上的计算机最新列表，并向请求此列表的程序进行提供。 计算机浏览器服务由基于 Windows 的计算机用来查看网络域和资源。 指定为浏览器的计算机维护包含网络上使用的所有共享资源的浏览列表。 早期版本的基于 Windows 的程序（例如网上邻居、NET VIEW 命令和 Windows 资源管理器）都需要浏览功能。 例如，在运行 Microsoft Windows 95 的计算机上打开“网上邻居”时，将显示域和计算机列表。 为了显示此列表，计算机从指定为浏览器的计算机获取浏览列表的副本。

如果仅运行 Windows Vista 和更高版本的 Windows，则不再需要浏览器服务。

系统服务名称：浏览器

应用程序协议 协议 端口
NetBIOS 数据报服务 UDP 138
NetBIOS 名称解析 UDP 137
NetBIOS 会话服务 TCP 139

浏览器服务使用 RPC over Named Pipes 进行编译。

动态主机配置协议 (DHCP) 服务器

DHCP 服务器服务使用 DHCP 自动分配 IP 地址。 可以使用此服务调整 DHCP 客户端的高级网络设置。 例如，可以配置网络设置，例如域名系统 (DNS) 服务器和 Windows Internet 名称服务 (WINS) 服务器。 可以建立一台或多台 DHCP 服务器来维护 TCP/IP 配置信息，并为客户端计算机提供该信息。

系统服务名称：DHCPServer

应用程序协议 协议 端口
DHCP 服务器 UDP 67
MADCAP UDP 2535
DHCP 故障转移 TCP 647

分布式文件系统命名空间

分布式文件系统命名空间 (DFSN) 将位于局域网 (LAN) 或广域网 (WAN) 上的不同文件共享集成到单个逻辑命名空间中。 Active Directory 域控制器需要 DFSN 服务才能播发 SYSVOL 共享文件夹。

系统服务名称：Dfs

应用程序协议 协议 端口
NetBIOS 数据报服务 UDP 1382
NetBIOS 会话服务 TCP 1392
LDAP 服务器 TCP 389
LDAP 服务器 UDP 389
SMB TCP 445
RPC TCP 135
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“远程过程调用和 DCOM”。

2 NETBIOS 端口是可选的，在 DFSN 使用 FQDN 服务器名称时不需要。

分布式文件系统复制

分布式文件系统复制 (DFSR) 服务是基于状态的多主文件复制引擎，它会自动将更新复制到参与通用复制组的计算机之间的文件和文件夹。 已在 Windows Server 2003 R2 中添加 DFSR。 可以使用 Dfsrdiag.exe 命令行工具配置 DFSR 以复制特定端口上的文件，无论它们是否参与分布式文件系统命名空间 (DFSN)。

系统服务名称：DFSR

应用程序协议 协议 端口
RPC TCP 135
RPC TCP 57222
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“分布式文件复制服务”。

2 端口 5722 仅在 Windows Server 2008 域控制器或 Windows Server 2008 R2 域控制器上使用。 它不用于 Windows Server 2012 域控制器。

分布式链接跟踪服务器系统服务存储信息，以便可以将卷之间移动的文件跟踪到域中的每个卷。 分布式链接跟踪服务器服务在域中的每个域控制器上运行。 此服务使分布式链接跟踪客户端服务可以跟踪移动到同一域中其他 NTFS 文件系统卷中某个位置的链接文档。

系统服务名称：TrkSvr

应用程序协议 协议 端口
RPC TCP 135
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“远程过程调用和 DCOM”。

分布式事务处理协调器

分布式事务处理协调器 (DTC) 系统服务协调分布在多个计算机系统和资源管理器（如数据库、邮件队列、文件系统或其他受事务保护的资源管理器）中的事务。 如果通过 Component Object Model Plus (COM+) 配置事务性组件，则需要 DTC 系统服务。 对于跨多个系统的邮件队列（也称为 MSMQ）和 SQL Server 操作中的事务性队列，也需要此服务。

系统服务名称：MSDTC

应用程序协议 协议 端口
RPC TCP 135
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“分布式事务处理协调器”。

DNS 服务器

DNS 服务器服务通过应答查询和更新 DNS 名称请求来启用 DNS 名称解析。 查找使用 DNS 名称标识的设备和服务，以及查找 Active Directory 中的域控制器时需要 DNS 服务器。

系统服务名称：DNS

应用程序协议 协议 端口
DNS UDP 53
DNS TCP 53

事件日志

事件日志系统服务记录由程序和 Windows 操作系统生成的事件消息。 事件日志报告包含可用于诊断问题的信息。 可以在事件查看器中查看报告。 事件日志服务写入由程序、服务和操作系统发送到日志文件的事件。 除了特定于源程序、服务或组件的错误之外，这些事件还包含诊断信息。 可通过事件日志 API 或 MMC 管理单元中的事件查看器以编程方式查看日志。

系统服务名称：事件日志

应用程序协议 协议 端口
RPC/命名管道 (NP) TCP 139
RPC/NP TCP 445
RPC/NP UDP 137
RPC/NP UDP 138

注意

事件日志服务通过命名管道使用 RPC。 此服务与文件和打印机共享功能具有相同的防火墙要求。

传真服务

传真服务是一种符合电话服务 API (TAPI) 的系统服务，可提供传真功能。 传真服务允许用户使用本地传真设备或共享网络传真设备从桌面程序发送和接收传真。

系统服务名称：传真

应用程序协议 协议 端口
NetBIOS 会话服务 TCP 139
SMB TCP 445
RPC TCP 135
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“远程过程调用和 DCOM”。

文件复制

文件复制服务 (FRS) 是基于文件的复制引擎，可自动将更新复制到参与通用 FRS 副本集的计算机之间的文件和文件夹。 FRS 是默认复制引擎，用于在基于 Windows 2000 的域控制器和位于公共域中基于 Windows Server 2003 的域控制器之间复制 SYSVOL 文件夹的内容。 可以使用 DFS 管理工具配置 FRS，以在 DFS 根或链接的目标之间复制文件和文件夹。

系统服务名称：NtFrs

应用程序协议 协议 端口
RPC TCP 135
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“文件复制服务”。

FTP 发布服务

FTP 发布服务提供 FTP 连接。 默认情况下，FTP 控制端口为 21。 但是，可以通过 Internet Information Services (IIS) 管理器管理单元配置此系统服务。 默认数据（用于主动模式 FTP）端口自动设置为比控制端口小的另一个端口。 因此，如果将控制端口配置为端口 4131，则默认数据端口为端口 4130。 大多数 FTP 客户端使用被动模式 FTP。 这意味着客户端首先使用控制端口连接到 FTP 服务器。 接下来，FTP 服务器在端口 1025 和 5000 之间分配一个高 TCP 端口。 然后，客户端打开与 FTP 服务器的第二个连接以传输数据。 可以使用 IIS 元数据库配置高端口范围。

系统服务名称： MSFTPSVC

应用程序协议 协议 端口
FTP 控件 TCP 21
FTP 默认数据 TCP 20
随机分配的高 TCP 端口 TCP 49152 - 65535 之间的随机端口号

组策略

若要成功应用组策略，客户端计算机必须能够通过 Kerberos、LDAP、SMB 和 RPC 协议联系域控制器。 Windows XP 和 Windows Server 2003 还需要 ICMP 协议。

如果客户端与相关域控制器之间的任一协议不可用或受阻，将不会应用或更新组策略。 对于跨域登录，其中计算机位于一个域中，用户帐户位于另一个域中，客户端、资源域和帐户域可能需要这些协议才能进行通信。 ICMP 用于慢速链接检测。

系统服务名称： 组策略

应用程序协议 协议 端口
DCOM TCP + UDP 49152 - 65535 之间的随机端口号
ICMP (ping) 2 ICMP
LDAP TCP 389
SMB TCP 445
RPC¹ TCP 135
49152 - 65535 之间的随机端口号

¹ 若要详细了解如何自定义此端口，请参阅参考部分中的域控制器和 Active Directory。

2 只有充当客户端的 Windows XP 和 Windows Server 2003 才需要此协议。

注意

当组策略 Microsoft 管理控制台 (MMC) 管理单元创建组策略结果报告和组策略建模报告时，它使用 DCOM 和 RPC 从客户端或域控制器上的策略结果集 (RSoP) 提供程序发送和接收信息。 构成组策略 Microsoft 管理控制台 (MMC) 管理单元功能的各种二进制文件主要使用 COM 调用来发送或接收信息。 从 Windows Server 2012 计算机启动远程组策略结果报告时，需要访问目标计算机的事件日志。 (请参阅本文中的事件日志部分了解端口要求。)

Windows Server 2012 支持针对 Windows Server 2012 计算机启动远程组策略更新。 这需要 RPC/WMI 通过端口 135 和端口 49152-65535 入站访问要刷新策略的计算机。

HTTP SSL

HTTP SSL 系统服务使 IIS 能够执行 SSL 功能。 SSL 是一个开放标准，用于建立加密的通信通道，以帮助防止截获非常重要的信息，例如信用卡号。 尽管此服务适用于其他 Internet 服务，但它主要用于在万维网 (WWW) 上实现加密的电子金融交易。 你可以通过 Internet 信息服务 (IIS) 管理器管理单元为此服务配置端口。

系统服务名称： HTTPFilter

应用程序协议 协议 端口
HTTPS TCP 443

Hyper-V 工具

Hyper-V 副本

应用程序协议 协议 端口
WMI TCP 135
随机分配的高 TCP 端口 TCP 49152 和 65535 之间的随机端口号
Kerberos 身份验证 (HTTP) TCP 80
基于证书的身份验证 (HTTPS) TCP 443

Hyper-V实时迁移

应用程序协议 协议 端口
实时迁移 TCP 6600
SMB TCP 445
群集服务流量 UDP 3343

Internet 验证服务

Internet 身份验证服务 (IAS) 对连接到网络的用户执行集中身份验证、授权、审核和会计。 这些用户可以使用 LAN 连接或远程连接。 IAS 实施互联网工程任务组 (IETF) 标准远程认证拨入用户服务 (RADIUS) 协议。

系统服务名称： IAS

应用程序协议 协议 端口
旧 RADIUS UDP 1645
旧 RADIUS UDP 1646
RADIUS Accounting UDP 1813
RADIUS 身份验证 UDP 1812

Internet 连接防火墙 (ICF) /Internet 连接共享

此系统服务为家庭网络或小型办公室网络上的所有计算机提供 NAT、寻址和名称解析服务。 启用 Internet 连接共享功能后，您的计算机将成为网络 Internet 网关。 然后，其他客户端计算机可以共享一个到 Internet 的连接，例如拨号连接或宽带连接。 此服务提供基本的 DHCP 和 DNS 服务，但将与功能齐全的 Windows DHCP 或 DNS 服务一起使用。 当 ICF 和 Internet 连接共享充当网络中其余计算机的网关时，它们向内部网络接口上的专用网络提供 DHCP 和 DNS 服务。 它们不在外部网络接口上提供这些服务。

系统服务名称： SharedAccess

应用程序协议 协议 端口
DHCP 服务器 UDP 67
DNS UDP 53
DNS TCP 53

IP 地址管理 (IPAM)

IPAM 客户端 UI 与 IPAM 服务器通信以执行远程管理。 这是通过使用 Windows 通信框架 (WCF) 完成的，该框架使用 TCP 作为传输协议。 默认情况下，TCP 绑定在 IPAM 服务器上的端口 48885 上执行。

BranchCache 信息

  • 端口 3702 (UDP) 用于发现客户端上缓存内容的可用性。
  • 端口 80 (TCP) 用于为请求的客户端提供内容。
  • 端口 443 (TCP) 是默认端口，托管缓存使用该端口接受传入的客户端内容。

ISA/TMG Server

应用程序协议 协议 端口
配置存储 (域) TCP 2171（注释 1）
配置存储 (复制) TCP 2173（注释 1）
配置存储（工作组） TCP 2172（注释 1）
防火墙客户端应用程序 TCP/UDP 1025-65535（注释 2）
防火墙客户端控制通道 TCP/UDP 1745（注释 3）
防火墙控制通道 TCP 3847（注释 1）
RPC TCP 135（注释 6）
随机分配的高 TCP 端口 (注释 6) TCP 1024 - 65535 之间的随机端口号
10000 - 65535 之间的随机端口 (注释 7)
Web 管理 TCP 2175（注释 1, 4）
Web 代理客户端 TCP 8080（注释 5）

注意

  1. 此端口不与 ISA 2000 一起使用。
  2. FWC 应用程序传输和协议在 FWC 控制通道中协商。
  3. ISA 2000 FWC 控件使用 UDP。 ISA 2004 和 2006 使用 TCP。
  4. OEM 使用防火墙 Web 管理提供 ISA 服务器的非 MMC 管理。
  5. 此端口还用于阵列内流量。
  6. 此端口仅在远程服务器和服务状态监视期间由 ISA 管理 MMC 使用。
  7. 在 TMG 范围。 请注意，TMG 扩展了 Windows Server 2008 R2、Windows 7、Windows Server 2008 和 Windows Vista 中的默认动态端口范围。

Kerberos 密钥发行中心

使用 Kerberos 密钥分发中心 (KDC) 系统服务时，用户可以使用 Kerberos 版本 5 身份验证协议登录到网络。 与 Kerberos 协议的其他实现一样，KDC 是一个提供两项服务的进程：身份验证服务和 Ticket-Granting 服务。 身份验证服务将发票证授予票证，Ticket-Granting 服务会为连接到其域中的计算机提供票证。

系统服务名称： kdc

应用程序协议 协议 端口
Kerberos TCP 88
Kerberos UDP 88
Kerberos Password V5 UDP 464
Kerberos Password V5 TCP 464
DC 定位器 UDP 389

许可证日志记录

许可证记录系统服务是一种最初旨在帮助客户管理 Microsoft server 产品许可证的工具，其在服务器客户端访问许可证 (CAL) 模式下获得许可证。 Microsoft Windows NT Server 3.51 中引入了许可证日志记录。 默认情况下，在 Windows Server 2003 中禁用许可证日志记录服务。 由于传统的设计限制和不断发展的许可证条款和条件，许可证记录可能无法准确反映购买的 CAL 总数与特定服务器或整个企业中使用的 CAL 总数的对比情况。 许可证记录报告的 CAL 可能与 Microsoft 软件许可条款的解释和产品使用权利 (PUR) 相冲突。 许可证日志记录不包含在 Windows Server 2008 及更高版本的操作系统中。 我们建议只有 Microsoft Small Business Server 系列操作系统的用户才能在其服务器上启用此服务。

系统服务名称： LicenseService

应用程序协议 协议 端口
NetBIOS 数据报服务 UDP 138
NetBIOS 会话服务 TCP 139
SMB TCP 445

注意

许可证记录服务使用命名管道上的 RPC。 此服务与文件和打印机共享功能具有相同的防火墙要求。

消息队列

消息队列系统服务是一种消息传递基础结构和开发工具，用于为 Windows 创建分布式消息传递程序。 这些程序可以跨异类网络进行通信，并且可以在暂时无法相互连接的计算机之间发送消息。 消息队列有助于提供安全性、高效的路由、对在事务内发送邮件的支持、基于优先级的消息传送和有保证的邮件传递。

系统服务名称： MSMQ

应用程序协议 协议 端口
MSMQ TCP 1801
MSMQ UDP 1801
MSMQ-DCs TCP 2101
MSMQ-Mgmt TCP 2107
MSMQ-Ping UDP 3527
MSMQ-RPC TCP 2105
MSMQ-RPC TCP 2103
RPC TCP 135

Microsoft Exchange 邮件传输代理 (MTA) 堆栈

在 Microsoft Exchange 2000 Server 和 Exchange Server 2003 中，MTA 经常用于在混合模式环境中，在基于 Exchange 2000 Server 的服务器和基于 Exchange Server 5.5 的服务器之间提供向后兼容的邮件传输服务。

系统服务名称： MSExchangeMTA

应用程序协议 协议 端口
x.400 TCP 102

Microsoft POP3 服务

Microsoft POP3 服务提供电子邮件传输和检索服务。 管理员可以使用此服务在邮件服务器上存储和管理电子邮件帐户。 在邮件服务器上安装 POP3 服务时，用户可以连接到邮件服务器，并且可以使用支持 POP3 协议的电子邮件客户端（如 Microsoft Outlook）检索电子邮件。

系统服务名称： POP3SVC

应用程序协议 协议 端口
POP3 TCP 110

网络登录

Net 登录系统服务维护计算机和域控制器之间的安全通道，以对用户和服务进行身份验证。 它将用户的凭据传递给域控制器，并返回用户的域安全标识符和用户权限。 这通常称为传递身份验证。 网络登录配置为仅在成员计算机或域控制器加入域时自动启动。 在 Windows 2000 Server 和 Windows Server 2003 系列中，Net Logon 在 DNS 中发布服务资源定位器记录。 当此服务运行时，它依赖于 WORKSTATION 服务和本地安全机构服务来侦听传入的请求。 在域成员计算机上，Net Logon 使用命名管道上的 RPC。 在域控制器上，它使用命名管道上的 RPC、RPC over TCP/IP、mail slots 和轻型目录访问协议 (LDAP)。

系统服务名称：Netlogon

应用程序协议 协议 端口
NetBIOS 数据报服务 UDP 1382
NetBIOS 名称解析 UDP 1372
NetBIOS 会话服务 TCP 1392
SMB TCP 445
LDAP UDP 389
RPC¹ TCP 135
49152 - 65535 之间的随机端口号

¹ 若要详细了解如何自定义此端口，请参阅参考部分中的域控制器和 Active Directory。

2 NETBIOS 端口是可选的。 Netlogon 仅对不支持 DNS 的信任或在尝试回退期间 DNS 出现故障时使用这些名称。 如果没有 WINS 基础结构且广播不起作用，则应该禁用 NetBt 或将计算机和服务器设置为 NodeType=2。

注意

Net Logon 服务对早期版本的 Windows 客户端使用命名管道上的 RPC。 此服务与文件和打印机共享功能具有相同的防火墙要求。

网络新闻传输协议 (NNTP)

网络新闻传输协议 (NNTP) 系统服务允许运行 Windows Server 2003 的计算机充当新闻服务器。 客户端可以使用新闻客户端（如 Microsoft Outlook Express）从服务器检索新闻组，并读取每个新闻组中文章的标题或正文。

系统服务名称： NNTPSVC

应用程序协议 协议 端口
NNTP TCP 119
NNTP over SSL TCP 563

脱机文件、User Profile Service、文件夹重定向和主计算机

脱机文件和漫游用户配置文件将用户数据缓存到计算机以脱机使用。 这些功能存在于所有受支持的 Microsoft 操作系统中。 Windows XP Winlogon 将漫游用户配置文件缓存作为过程的一部分实现，而 Windows Vista、Windows Server 2008 和更高版本的操作系统使用 User Profile Service。 所有这些系统都使用 SMB。

文件夹重定向使用 SMB 将用户数据从本地计算机重定向到远程文件共享。

Windows 主计算机系统是漫游用户配置文件和脱机文件服务的一部分。 主计算机提供了一种可以防止将数据缓存到未经管理员授权的特定用户的计算机上的功能。 主计算机使用 LDAP 来确定配置，并且不会使用 SMB 执行任何数据传输；而是会更改默认的脱机文件和漫游用户配置文件行为。 此系统已添加到 Windows Server 2012。

系统服务名称： ProfSvc、 CscService

应用程序协议 协议 端口
SMB TCP 445
全局编录 TCP 3269
全局编录 TCP 3268
LDAP 服务器 TCP 389
LDAP 服务器 UDP 389
LDAP SSL TCP 636

性能日志和警报

性能日志和警报系统服务基于预配置的计划参数从本地或远程计算机收集性能数据，然后将该数据写入日志或触发消息。 根据命名日志集合设置中包含的信息，性能日志和警报服务将启动和停止每个命名的性能数据收集。 仅当至少安排了一次性能数据收集时，此服务才会运行。

系统服务名称： SysmonLog

应用程序协议 协议 端口
NetBIOS 会话服务 TCP 139

打印后台处理程序系统服务管理所有本地和网络打印队列并控制所有打印作业。 打印后台程序是 Windows 打印子系统的中心。 它管理系统上的打印队列并与打印机驱动程序和输入/输出 (I/O) 组件（如 USB 端口和 TCP/IP 协议套件）进行通信。

系统服务名称： 后台处理程序

应用程序协议 协议 端口
RPC TCP 135
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号
NetBIOS 数据报服务 UDP 138
NetBIOS 名称解析 UDP 137
NetBIOS 会话服务 TCP 139
SMB TCP 445

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“远程过程调用和 DCOM”。

注意

打印后台处理程序服务使用 RPC over Named Pipes。 此服务与文件和打印机共享功能具有相同的防火墙要求。

远程安装

可以使用远程安装系统服务在预启动执行环境 (PXE) 启用了远程启动的客户端计算机上安装 Windows 2000、Windows XP 和 Windows Server 2003。 启动信息协商层 (BINL) 服务是远程安装服务器 (RIS) 的主要组件，可应答 PXE 客户端请求，检查 Active Directory 以进行客户端验证，以及将客户端信息传入和传出服务器。 BINL 服务是在从“添加/删除 Windows 组件”中添加 RIS 组件时安装的，也可以在首次安装操作系统时选择它。

系统服务名称：BINLSVC

应用程序协议 协议 端口
BINL UDP 4011

远程过程调用 (RPC)

远程过程调用 (RPC) 系统服务是一种进程间通信 (IPC) 机制，它支持数据交换和调用位于不同进程中的功能。 不同的进程可以位于同一台计算机、LAN 或远程位置，并且可以通过 WAN 连接或 VPN 连接访问。 RPC 服务充当 RPC 终结点映射器和组件对象模型 (COM) 服务控制管理器。 许多服务依赖 RPC 服务才能成功启动。

系统服务名称：RpcSs

应用程序协议 协议 端口
RPC TCP 135
RPC over HTTPS TCP 593
NetBIOS 数据报服务 UDP 138
NetBIOS 名称解析 UDP 137
NetBIOS 会话服务 TCP 139
SMB TCP 445

注意

  • RPC 不只使用表中列出的硬编码端口。 Active Directory 和其他组件使用的临时范围端口出现在临时端口范围中的 RPC 上。 临时端口范围取决于与客户端操作系统连接的服务器操作系统。
  • RPC 终结点映射器还通过使用命名管道提供其服务。 此服务与文件和打印机共享功能具有相同的防火墙要求。

远程过程调用 (RPC) 定位器

远程过程调用 (RPC) 定位器系统服务管理 RPC 名称服务数据库。 启用此服务后，RPC 客户端可以定位 RPC 服务器。 默认情况下，此服务处于关闭状态。

系统服务名称：RpcLocator

应用程序协议 协议 端口
NetBIOS 数据报服务 UDP 138
NetBIOS 名称解析 UDP 137
NetBIOS 会话服务 TCP 139
SMB TCP 445

注意

RPC 定位器服务通过使用命名管道上的 RPC 提供服务。 此服务与文件和打印机共享功能具有相同的防火墙要求。

远程存储通知

远程存储通知系统服务在用户读取或写入仅从辅助存储介质提供的文件时通知用户。 停止此服务可阻止此通知。

系统服务名称： Remote_Storage_User_Link

应用程序协议 协议 端口
RPC TCP 135
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“远程过程调用和 DCOM”。

远程存储

远程存储系统服务将不常使用的文件存储在辅助存储介质上。 如果停止此服务，用户将无法从辅助存储介质移动或检索文件。

系统服务名称： Remote_Storage_Server

应用程序协议 协议 端口
RPC TCP 135
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“远程过程调用和 DCOM”。

路由和远程访问

路由和远程访问服务提供多协议 LAN 到 LAN、LAN 到 WAN、VPN 和 NAT 路由服务。 路由和远程访问服务还提供拨号和 VPN 远程访问服务。 尽管路由和远程访问服务可以使用以下所有协议，但该服务通常只使用其中的几个。 例如，如果配置了一个位于筛选路由器后面的 VPN 网关，则可能只会使用一个协议。 如果将 L2TP 与 IPsec 一起使用，则必须允许 IPsec ESP（IP 协议 50）、NAT-T（端口 4500 上的 UDP）和 IPsec ISAKMP（端口 500 上的 UDP）通过路由器。

注意

虽然 L2TP 需要 NAT-T 和 IPsec ISAKMP，但这些端口由本地安全机构监控。 有关此问题的更多信息，请参阅参考部分。

系统服务名称： RemoteAccess

应用程序协议 协议 端口
GRE (IP 协议 47) GRE 不适用
IPsec AH (IP 协议 51) A-H 不适用
IPsec ESP (IP 协议 50) ESP 不适用
L2TP UDP 1701
PPTP TCP 1723

服务器

服务器系统服务通过网络提供 RPC 支持和文件共享、打印共享和命名管道共享。 服务器服务允许用户共享本地资源，如磁盘和打印机，以便网络上其他用户可以访问它们。 它还支持在本地计算机和其他计算机上运行的程序之间进行命名管道通信。 命名管道通信是保留的内存，用于将一个进程的输出用作另一个进程的输入。 输入接受过程无需是计算机的本地进程。

注意

如果计算机名通过使用 WINS 解析为多个IP地址，或者如果 WINS 失败且名称通过 DNS 解析，则 TCP/IP 上的 NetBIOS (NetBT) 会尝试 ping 文件服务器的一个或多个 IP 地址。 端口 139 通信依赖于 Internet 控制消息协议 (ICMP) 回显消息。 如果未安装 IP 版本 6 (IPv6) ，则端口 445 通信也将依赖 ICMP 进行名称解析。 预加载的 Lmhosts 条目将绕过 DNS 解析程序。 如果在运行 Windows Server 2003 或 Windows XP 操作系统的计算机上安装了 IPv6，则端口 445 通信不会触发 ICMP 请求。

此处列出的 NetBIOS 端口是可选的。 Windows 2000 及更高版本的客户端可以通过端口 445 工作。

系统服务名称： lanmanserver

应用程序协议 协议 端口
NetBIOS 数据报服务 UDP 138
NetBIOS 名称解析 UDP 137
NetBIOS 会话服务 TCP 139
SMB TCP 445

SharePoint Portal Server

利用 SharePoint Portal Server 系统服务，你可以开发智能门户，以无缝连接用户、团队和知识。 它可帮助用户跨业务流程利用相关信息。 Microsoft SharePoint Portal Server 2003 提供了一个企业业务解决方案，该解决方案通过单一登录和企业应用程序集成功能将各种系统中的信息集成到一个解决方案中。

应用程序协议 协议 端口
HTTP TCP 80
HTTPS TCP 443

简单邮件传输协议 (SMTP)

简单邮件传输协议 (SMTP) 服务是电子邮件提交和中继代理。 它接受并排队发往远程目的地的电子邮件，并按设定的时间间隔重试。 Windows 域控制器使用 SMTP 服务进行基于站点间电子邮件的复制。 Windows Server 2003 COM 组件的协作数据对象s (CDO) 可以使用 SMTP 服务提交和排队发送电子邮件。

系统服务名称： SMTPSVC

应用程序协议 协议 端口
SMTP TCP 25

简单 TCP/IP 服务

简单 TCP/IP 服务实现对以下协议的支持：

  • 回声，端口 7，RFC 862
  • Discard，端口 9，RFC 863
  • Character Generator，端口 19，RFC 864
  • Daytime，端口 13，RFC 867
  • Quote of the Day，端口 17，RFC 865

系统服务名称：SimpTcp

应用程序协议 协议 端口
Chargen TCP 19
Chargen UDP 19
Daytime TCP 13
Daytime UDP 13
Discard TCP 9
Discard UDP 9
回声 TCP 7
回声 UDP 7
Quotd TCP 17
Quoted UDP 17

简单网络管理协议 (SNMP) 服务

SNMP 服务允许本地计算机服务传入 SNMP 请求。 SNMP 服务包括监视网络设备活动并向网络控制台工作站报告的代理。 SNMP 服务提供一种从运行网络管理软件的中央计算机（例如工作站或服务器计算机、路由器、网桥和集线器）管理网络主机的方法。 SNMP 使用分布式管理系统和代理体系结构执行管理服务。

系统服务名称：SNMP

应用程序协议 协议 端口
SNMP UDP 161

SNMP 陷阱服务

SNMP 陷阱服务接收由本地或远程 SNMP 代理生成的陷阱消息。 然后，SNMP 陷阱服务将那些消息转发到计算机上运行的 SNMP 管理程序。 为代理配置 SNMP 陷阱服务时，如果发生任何特定事件，该服务将生成陷阱消息。 这些消息将发送到一个陷阱目标。 例如，可以将代理配置为在无法识别的管理系统发送信息请求时启动身份验证陷阱。 陷阱目标包括管理系统的计算机名称、IP 地址或网间数据包交换 (IPX) 地址。 陷阱目标必须是运行 SNMP 管理软件的启用网络的主机。

系统服务名称：SNMPTRAP

应用程序协议 协议 端口
SNMP 陷阱传出 UDP 162

简单服务发现协议 (SSDP) 发现服务

SSDP 发现服务将 SSDP 实现为 Windows 服务。 SSDP 发现服务管理设备状态通知的接收、更新其缓存，并将这些通知发送给具有未完成搜索请求的客户端。 SSDP 发现服务还接受从客户端注册事件回调。 然后，将注册的事件回调转换为订阅请求。 然后，SSDP 发现服务监视事件通知，并将这些请求发送到注册的回调。 此系统服务还会向托管设备定期提供通知。 目前，SSDP 事件通知服务使用 TCP 端口 5000。

注意

从 Windows XP Service Pack 2 (SP2) 开始，SSDP 事件通知服务使用 TCP 端口 2869。

系统服务名称：SSDPRSR

应用程序协议 协议 端口
SSDP UDP 1900
SSDP 事件通知 TCP 2869
SSDP 旧版事件通知 TCP 5000

TCP/IP 打印服务器

TCP/IP 打印服务器系统服务使用行式打印机后台程序 (LPD) 协议启用基于 TCP/IP 的打印。 服务器上的 LPD 服务从 UNIX 计算机上运行的行式打印机远程工具 (LPR) 实用程序接收文档。

系统服务名称：LPDSVC

应用程序协议 协议 端口
LPD TCP 515

Telnet

适用于 Windows 的 Telnet 系统服务向 Telnet 客户端提供 ASCII 终端会话。 Telnet 服务器支持两种身份验证，并支持以下类型的终端：

  • 美国国家标准协会 (ANSI)
  • VT-100
  • VT-52
  • VTNT

系统服务名称：TlntSvr

应用程序协议 协议 端口
Telnet TCP 23

远程桌面服务 (RDS)

RDS 提供了一个多会话环境，使客户端设备能够访问服务器上运行的虚拟 Windows 桌面会话和基于 Windows 的程序。 RDS 允许多个用户以交互方式连接到计算机。

系统服务名称：TermService

应用程序协议 协议 端口
RDS TCP 3389
RDS UDP 3389

RDS 许可 (RDSL)

当客户端连接到 RDS 服务器 (启用了 RDS 的服务器时，RDSL 系统服务会安装许可证服务器，并向注册的客户端提供许可证) 。 RDSL 是一项影响较小的服务，用于存储为 RDS 服务器颁发的客户端许可证，并跟踪颁发给客户端计算机或服务器的许可证。

系统服务名称：TermServLicensing

应用程序协议 协议 端口
RPC TCP 135
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号
NetBIOS 数据报服务 UDP 138
NetBIOS 名称解析 UDP 137
NetBIOS 会话服务 TCP 139
SMB TCP 445

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“远程过程调用和 DCOM”。

注意

RDSL 通过命名管道使用 RPC 来提供服务。 此服务与文件和打印机共享功能具有相同的防火墙要求。

远程桌面连接代理

远程桌面连接代理系统服务使负载均衡 RDS 服务器的群集能够将用户的连接请求正确路由到用户已运行会话的服务器。 无论用户是否在服务器群集中运行另一个会话，用户都会路由到第一个可用的 RDS 服务器。 负载均衡功能使用 TCP/IP 网络协议对多个服务器的处理资源进行池处理。 可以将此服务与 RDS 服务器群集结合使用，通过将会话分布到多个服务器来提高单个 RDS 服务器的性能。 远程桌面连接代理跟踪群集上断开连接的会话，并确保用户已重新连接到这些会话。

系统服务名称：Tssdis

应用程序协议 协议 端口
RPC TCP 135
随机分配的高 TCP 端口¹ TCP 49152 - 65535 之间的随机端口号

¹ 要详细了解如何自定义此端口，请参阅“引用”部分中的“远程过程调用和 DCOM”。

简单 FTP 守护程序

简单 FTP 守护程序系统服务不需要用户名或密码，是远程安装服务 (RIS) 的重要组成部分。 简单 FTP 守护程序服务实现对由以下 RFC 定义的简单 FTP 协议 (TFTP) 的支持：

  • RFC 1350 - TFTP
  • RFC 2347 - 选项扩展
  • RFC 2348 - 块大小选项
  • RFC 2349 - 超时间隔和传输大小选项

普通文件传输协议 (TFTP) 是一种支持无盘启动环境的 FTP。 TFTP 服务侦听 UDP 端口 69，但它从随机分配的高端口进行响应。 因此，启用此端口时，TFTP 服务将接收传入的 TFTP 请求，但它不允许所选服务器响应这些请求。 该服务可以自由地响应来自任何源端口的任何此类请求，然后远程客户端在传输期间使用该端口。 通信是双向的。 如果必须通过防火墙启用此协议，可能需要打开 UDP 端口 69 传入。 然后，可以依赖其他防火墙功能，让服务通过任何其他端口上的临时漏洞动态响应。

系统服务名称：tftpd

应用程序协议 协议 端口
TFTP UDP 69

“UPnP 设备主机”

UPnP 设备主机发现系统服务实现设备注册、控制和对托管设备事件的响应所需的所有组件。 与设备相关的注册信息（例如说明、生命周期和容器），可选择存储到磁盘中，并在注册或操作系统重启在网络上公布。 除服务说明和演示文稿页外，该服务还包括为设备提供服务的 Web 服务器。

系统服务名称：UPNPHost

应用程序协议 协议 端口
UPNP TCP 2869

Windows Internet 名称服务 (WINS)

Windows Internet 名称服务 (WINS) 启用 NetBIOS 名称解析。 此服务有助于使用 NetBIOS 名称查找网络资源。 除非所有域已升级到 Active Directory 目录服务，并且网络上所有计算机都运行 Windows 2000 或更高版本，否则需要 WINS 服务器。 WINS 服务器使用 NetBIOS 名称解析与网络客户端通信。 仅 WINS 服务器之间需要 WINS 复制。

系统服务名称：WINS

应用程序协议 协议 端口
NetBIOS 名称解析 UDP 137
WINS 复制 TCP 42
WINS 复制 UDP 42

Windows 媒体服务

Windows Server 2003 和更高版本中的 Windows 媒体服务取代 Windows 媒体服务版本 4.0 和 4.1 中包含的以下服务：

  • Windows 媒体监视器服务
  • Windows 媒体程序服务
  • Windows 媒体站服务
  • Windows 媒体单播服务

Windows 媒体服务现在是在 Windows Server 上运行的单一服务。 它的核心组件是使用 COM 开发的，其体系结构灵活，可针对特定程序进行自定义。 Windows 媒体服务支持更多种类的控制协议。 其中包括实时流式传输协议 (RTSP)、Microsoft 媒体服务器 (MMS) 协议和 HTTP。

系统服务名称：WMServer

应用程序协议 协议 端口
HTTP TCP 80
MMS TCP 1755
MMS UDP 1755
MS Theater UDP 2460
RTCP UDP 5005
RTP UDP 5004
RTSP TCP 554

Windows 远程管理 (WinRM)

系统服务名称： WinRM

应用程序协议 协议 端口
Windows 1.1 及更低版本： TP 默认 HTTP 端口为 TCP 80，默认 HTTPS 端口为 TCP 443。
WinRM 2.0 TP 默认 HTTP 端口为 TCP 5985，默认 HTTPS 端口为 TCP 5986。

有关详细信息，请参阅 Windows 远程管理的安装和配置。

Windows 时间配置

Windows 时间系统服务在运行 Windows XP 或更高版本以及 Windows Server 2003 或更高版本的网络上的所有计算机上维护日期和时间同步。 此服务使用网络时间协议 (NTP) 同步计算机时钟，以便为网络验证和资源访问请求分配准确的时钟值或时间戳。 NTP 的实现和时间提供程序的集成有助于 Windows 时间成为可靠且可扩展的时间服务。 对于未加入域的计算机，可以配置 Windows Time 以将时间与外部时间源同步。 如果关闭此服务，本地计算机的时间设置不会与 Windows 域中的时间服务或外部配置的时间服务同步。 Windows Server 2003 使用 NTP。 NTP 在 UDP 端口 123 上运行。 此服务 Windows 2000 版本使用简单网络时间协议 (SNTP)。 SNTP 还运行在 UDP 端口 123 上。

当 Windows Time 服务使用 Windows 域配置时，该服务需要域控制器位置和身份验证服务。 因此，Kerberos 和 DNS 的端口是必需的。

系统服务名称： W32Time

应用程序协议 协议 端口
NTP UDP 123
SNTP UDP 123

World Wide Web 发布服务

万维网发布服务提供注册、管理、监视和服务使用 IIS 注册的网站和程序所必须的基础结构。 此系统服务包含进程管理器和配置管理器。 进程管理器控制自定义应用程序和网站所在的进程。 配置管理器读取万维网发布服务的已存储系统配置，并确保将 Http.sys 配置为将 HTTP 请求路由到相应的应用程序池或操作系统进程。 可以使用 Internet Information Services (IIS) 管理器管理单元配置此服务使用的端口。 如果启用管理网站，则将创建一个使用 TCP 端口 8098 上的 HTTP 流量的虚拟网站。

系统服务名称：W3SVC

应用程序协议 协议 端口
HTTP TCP 80
HTTPS TCP 443

端口和协议

下表汇总了“系统服务端口”部分的信息。 此表按端口号而不是服务名称排序。

端口 协议 应用程序协议 系统服务名称
不适用 GRE GRE (IP 协议 47) 路由和远程访问
不适用 ESP IPsec ESP (IP 协议 50) 路由和远程访问
不适用 A-H IPsec AH (IP 协议 51) 路由和远程访问
7 TCP 回声 简单 TCP/IP 服务
7 UDP 回声 简单 TCP/IP 服务
9 TCP Discard 简单 TCP/IP 服务
9 UDP Discard 简单 TCP/IP 服务
13 TCP Daytime 简单 TCP/IP 服务
13 UDP Daytime 简单 TCP/IP 服务
17 TCP Quotd 简单 TCP/IP 服务
17 UDP Quotd 简单 TCP/IP 服务
19 TCP Chargen 简单 TCP/IP 服务
19 UDP Chargen 简单 TCP/IP 服务
20 TCP FTP 默认数据 FTP 发布服务
21 TCP FTP 控件 FTP 发布服务
21 TCP FTP 控件 应用程序层网关服务
23 TCP Telnet Telnet
25 TCP SMTP 简单邮件传输协议
25 TCP SMTP Exchange Server
42 TCP WINS 复制 Windows Internet 名称服务
42 UDP WINS 复制 Windows Internet 名称服务
53 TCP DNS DNS 服务器
53 UDP DNS DNS 服务器
53 TCP DNS Internet 连接防火墙/Internet 连接共享
53 UDP DNS Internet 连接防火墙/Internet 连接共享
67 UDP DHCP 服务器 DHCP 服务器
67 UDP DHCP 服务器 Internet 连接防火墙/Internet 连接共享
69 UDP TFTP 普通的 FTP 守护程序服务
80 TCP HTTP Windows 媒体服务
80 TCP HTTP Windows 1.1 及更低版本：
80 TCP HTTP World Wide Web 发布服务
80 TCP HTTP SharePoint Portal Server
88 TCP Kerberos Kerberos 密钥发行中心
88 UDP Kerberos Kerberos 密钥发行中心
102 TCP x.400 Microsoft Exchange MTA 堆栈
110 TCP POP3 Microsoft POP3 服务
110 TCP POP3 Exchange Server
119 TCP NNTP 网络新闻传输协议
123 UDP NTP Windows 时间配置
123 UDP SNTP Windows 时间配置
135 TCP RPC 消息队列
135 TCP RPC 远程过程调用
135 TCP RPC Exchange Server
135 TCP RPC 证书服务
135 TCP RPC 群集服务
135 TCP RPC 分布式文件系统命名空间
135 TCP RPC 分布式链接跟踪
135 TCP RPC 分布式事务处理协调器
135 TCP RPC 分布式文件复制服务
135 TCP RPC 传真服务
135 TCP RPC Microsoft Exchange Server
135 TCP RPC 文件复制服务
135 TCP RPC 组策略
135 TCP RPC 本地安全机构
135 TCP RPC 远程存储通知
135 TCP RPC 远程存储
135 TCP RPC Systems Management Server 2.0
135 TCP RPC RDSL
135 TCP RPC 远程桌面连接代理
137 UDP NetBIOS 名称解析 计算机浏览器
137 UDP NetBIOS 名称解析 服务器
137 UDP NetBIOS 名称解析 Windows Internet 名称服务
137 UDP NetBIOS 名称解析 网络登录
137 UDP NetBIOS 名称解析 Systems Management Server 2.0
138 UDP NetBIOS 数据报服务 计算机浏览器
138 UDP NetBIOS 数据报服务 服务器
138 UDP NetBIOS 数据报服务 网络登录
138 UDP NetBIOS 数据报服务 分布式文件系统
138 UDP NetBIOS 数据报服务 Systems Management Server 2.0
138 UDP NetBIOS 数据报服务 许可证记录服务
139 TCP NetBIOS 会话服务 计算机浏览器
139 TCP NetBIOS 会话服务 传真服务
139 TCP NetBIOS 会话服务 性能日志和警报
139 TCP NetBIOS 会话服务 打印后台处理程序
139 TCP NetBIOS 会话服务 服务器
139 TCP NetBIOS 会话服务 网络登录
139 TCP NetBIOS 会话服务 远程过程调用定位器
139 TCP NetBIOS 会话服务 分布式文件系统命名空间
139 TCP NetBIOS 会话服务 Systems Management Server 2.0
139 TCP NetBIOS 会话服务 许可证记录服务
143 TCP IMAP Exchange Server
161 UDP SNMP SNMP 服务
162 UDP SNMP 陷阱传出 SNMP 陷阱服务
389 TCP LDAP 服务器 本地安全机构
389 UDP DC 定位器 本地安全机构
389 TCP LDAP 服务器 分布式文件系统命名空间
389 UDP DC 定位器 分布式文件系统命名空间
389 UDP DC 定位器 Netlogon
389 UDP DC 定位器 Kerberos 密钥发行中心
389 TCP LDAP 服务器 分布式文件系统复制
389 UDP DC 定位器 分布式文件系统复制
443 TCP HTTPS HTTP SSL
443 TCP HTTPS World Wide Web 发布服务
443 TCP HTTPS SharePoint Portal Server
443 TCP RPC over HTTPS Exchange Server 2003
443 TCP HTTPS Windows 1.1 及更低版本：
445 TCP SMB 传真服务
445 TCP SMB 打印后台处理程序
445 TCP SMB 服务器
445 TCP SMB 远程过程调用定位器
445 TCP SMB 分布式文件系统命名空间
445 TCP SMB 分布式文件系统复制
445 TCP SMB 许可证记录服务
445 TCP SMB 网络登录
464 UDP Kerberos Password V5 Kerberos 密钥发行中心
464 TCP Kerberos Password V5 Kerberos 密钥发行中心
500 UDP IPsec ISAKMP 本地安全机构
515 TCP LPD TCP/IP 打印服务器
554 TCP RTSP Windows 媒体服务
563 TCP NNTP over SSL 网络新闻传输协议
593 TCP RPC over HTTPS 终结点映射器 远程过程调用
593 TCP RPC over HTTPS Exchange Server
636 TCP LDAP SSL 本地安全机构
636 UDP LDAP SSL 本地安全机构
647 TCP DHCP 故障转移 DHCP 故障转移
9389 TCP Active Directory Web 服务 (ADWS) Active Directory Web 服务 (ADWS)
9389 TCP Active Directory Web 服务 (ADWS) Active Directory 管理网关服务
993 TCP IMAP over SSL Exchange Server
995 TCP POP3 over SSL Exchange Server
1067 TCP 安装启动服务 安装启动协议服务器
1068 TCP 安装启动服务 安装启动协议客户端
1270 TCP MOM-Encrypted Microsoft Operations Manager 2000
1433 TCP SQL over TCP Microsoft SQL Server
1433 TCP SQL over TCP MSSQL$UDDI
1434 UDP SQL探测器 Microsoft SQL Server
1434 UDP SQL探测器 MSSQL$UDDI
1645 UDP 旧 RADIUS Internet 验证服务
1646 UDP 旧 RADIUS Internet 验证服务
1701 UDP L2TP 路由和远程访问
1723 TCP PPTP 路由和远程访问
1755 TCP MMS Windows 媒体服务
1755 UDP MMS Windows 媒体服务
1801 TCP MSMQ 消息队列
1801 UDP MSMQ 消息队列
1812 UDP RADIUS 身份验证 Internet 验证服务
1813 UDP RADIUS Accounting Internet 验证服务
1900 UDP SSDP SSDP 发现服务
2101 TCP MSMQ-DCs 消息队列
2103 TCP MSMQ-RPC 消息队列
2105 TCP MSMQ-RPC 消息队列
2107 TCP MSMQ-Mgmt 消息队列
2393 TCP OLAP Services 7.0 SQL Server：下层 OLAP 客户端支持
2394 TCP OLAP Services 7.0 SQL Server：下层 OLAP 客户端支持
2460 UDP MS Theater Windows 媒体服务
2535 UDP MADCAP DHCP 服务器
2701 TCP SMS 远程控制 (控件) SMS 远程控制代理
2701 UDP SMS 远程控制 (控件) SMS 远程控制代理
2702 TCP SMS 远程控制 (数据) SMS 远程控制代理
2702 UDP SMS 远程控制 (数据) SMS 远程控制代理
2703 TCP SMS 远程聊天 SMS 远程控制代理
2703 UPD SMS 远程聊天 SMS 远程控制代理
2704 TCP SMS 远程文件传输 SMS 远程控制代理
2704 UDP SMS 远程文件传输 SMS 远程控制代理
2725 TCP SQL Analysis Services SQL Server Analysis Services
2869 TCP UPNP “UPnP 设备主机”
2869 TCP SSDP 事件通知 SSDP 发现服务
3268 TCP 全局编录 本地安全机构
3269 TCP 全局编录 本地安全机构
3343 UDP 群集服务 群集服务
3389 TCP RDS RDS
3389 UDP RDS RDS
3527 UDP MSMQ-Ping 消息队列
4011 UDP BINL 远程安装
4500 UDP NAT-T 本地安全机构
5000 TCP SSDP 旧版事件通知 SSDP 发现服务
5004 UDP RTP Windows 媒体服务
5005 UDP RTCP Windows 媒体服务
5722 TCP RPC 分布式文件系统复制
6001 TCP 信息存储 Exchange Server 2003
6002 TCP 目录引用 Exchange Server 2003
6004 TCP DSProxy/NSPI Exchange Server 2003
42424 TCP ASP.NET 会话状态 ASP.NET 状态服务
51515 TCP MOM-Clear Microsoft Operations Manager 2000
5985 TCP HTTP WinRM 2.0
5986 TCP HTTPS WinRM 2.0
1024-65535 TCP RPC 随机分配的高 TCP 端口
135 TCP WMI Hyper-V 工具
49152 - 65535 之间的随机端口号 TCP 随机分配的高 TCP 端口 Hyper-V 工具
80 TCP Kerberos 身份验证 (HTTP) Hyper-V 工具
443 TCP 基于证书的身份验证 (HTTPS) Hyper-V 工具
6600 TCP 实时迁移 Hyper-V 实时迁移
445 TCP SMB Hyper-V 实时迁移
3343 UDP 群集服务流量 Hyper-V 实时迁移

注意

端口 5722 仅在 Windows Server 2008 域控制器或 Windows Server 2008 R2 域控制器上使用，不用于 Windows Server 2012 域控制器。 只有在创建新的空复制文件夹时，DFSR 才使用端口 445。

Microsoft 在 Microsoft Excel 工作表中提供了此表中的部分信息。 此工作表可从 Microsoft 下载中心下载。

Active Directory 端口和协议要求

位于公用林或外部林中的应用程序服务器、客户端计算机和域控制器具有服务依赖关系，以便用户启动和计算机启动的操作（如域加入、登录身份验证、远程管理和 Active Directory 复制）可以正常工作。 此类服务和操作需要通过特定端口和网络协议进行网络连接。

成员计算机和域控制器相互操作或应用程序服务器访问 Active Directory 所需的服务、端口和协议汇总列表包括但不限于以下内容。

Active Directory 所依赖的服务列表：

  • Active Directory / LSA
  • 计算机浏览器
  • 分布式文件系统命名空间
  • 分布式文件系统复制（如果不使用 FRS 进行 SYSVOL 复制）
  • 文件复制服务（如果不使用 DFSR 进行 SYSVOL 复制）
  • Kerberos 密钥发行中心
  • 网络登录
  • 远程过程调用 (RPC)
  • 服务器
  • 简单邮件传输协议 (SMTP)
  • WINS（如果 DNS 不工作，在 Windows Server 2003 SP1 及更高版本中，用于备份 Active Directory 复制操作）
  • Windows 时间配置
  • World Wide Web 发布服务

需要 Active Directory 服务的服务列表：

  • 证书服务 (特定配置所需的)
  • DHCP 服务器
  • 分布式文件系统名称空间（如果使用基于域的名称空间）
  • 分布式文件系统复制
  • 分布式链接跟踪服务器
  • 分布式事务处理协调器
  • DNS 服务器
  • 传真服务
  • 文件复制服务
  • Internet 验证服务
  • 许可证日志记录
  • 网络登录
  • 打印后台处理程序
  • 远程安装
  • 远程过程调用 (RPC) 定位器
  • 远程存储通知
  • 远程存储
  • 路由和远程访问
  • 服务器
  • 简单邮件传输协议 (SMTP)
  • RDS
  • RDSL
  • 远程桌面连接代理

References

本文中介绍的每个 Microsoft 产品的帮助文件都包含更多信息，你可能会发现这些信息有助于配置程序。

有关 Active Directory 域服务防火墙和端口的信息，请参阅 如何为 Active Directory 域和信任配置防火墙。

一般信息

若要详细了解如何帮助保护 Windows 服务器的安全，以及特定服务器角色的示例 IPsec 筛选器，请参阅 Microsoft Security Compliance Manager。 此工具将以前的所有安全建议和安全文档聚合到一个实用工具中，用于所有支持的 Microsoft 操作系统：

有关操作系统服务、安全设置和 IPsec 筛选详细信息，请参阅以下威胁和对策指南之一：

有关更多信息，请参阅：

Internet 分配号码颁发机构协调已知端口的使用。 若要查看该组织的 TCP/IP 端口分配列表，请参阅 服务名称和传输协议端口号注册表。

远程过程调用和 DCOM

有关 RPC 的详细说明，请参阅 远程过程调用 (RPC)。

若要详细了解如何配置 RPC 以使用防火墙，请参阅如何配置 RPC 动态端口分配以使用防火墙。

有关 RPC 协议以及运行 Windows 2000 的计算机如何初始化，请参阅 Windows 2000 启动和登录流量分析。

域控制器和 Active Directory

有关如何限制 Active Directory 复制和客户端登录流量的详细信息，请参阅将 Active Directory 复制流量和客户端 RPC 流量限制到特定端口。

有关目录系统代理、LDAP 和本地系统机构之间的关系的说明，请参阅目录系统代理。

有关 LDAP 和全局编录的工作方式详细信息，请参阅全局编录的工作原理。

Exchange Server

有关 Microsoft Exchange Server 使用的所有数据路径的端口、身份验证和加密的信息，请参阅 Exchange 中客户端和邮件流的网络端口。

对于你的特定环境，可能还需要考虑其他一些操作。 您可从以下 Microsoft 网站获得更多信息并协助规划 Exchange 实现：

有关详细信息，请参阅在 Outlook 2013 中配置 Outlook Anywhere。

分布式文件复制服务

分布式文件复制服务包括 Dfsrdiag.exe 命令行工具。 Dfsrdiag.exe 设置用于管理和复制的服务器 RPC 端口。 要使用 Dfsrdiag.exe 设置服务器 RPC 端口，请遵循以下示例：

dfsrdiag StaticRPC/port：nnnnn/Member：Branch01.sales.contoso.com

本示例中， nnnnn 表示 DFSR 将用于复制的单个静态 RPC 端口。 Branch01.sales.contoso.com 表示目标成员计算机的 DNS 或 NetBIOS 名称。 如果没有指定成员，Dfsrdiag.exe 将使用本地计算机。

Internet Information Services

有关 IIS 6.0 中的端口的信息，请参阅 TCP/IP 端口筛选。

有关 FTP 的信息，请参阅以下参考资料：

多播地址动态客户端分配协议 (MADCAP)

若要详细了解如何规划 MADCAP 服务器，请参阅检查表：安装 MADCAP 服务器。

消息队列

有关 Microsoft 消息队列使用的端口的详细信息，请参阅消息队列使用的 TCP 端口、UDP 端口和 RPC 端口。

Microsoft Operations Manager

若要了解如何规划和部署 MOM，请参阅 系统中心开发人员文档库。

RDS

有关如何配置 RDS 使用的端口的详细信息，请参阅 更改计算机上的远程桌面侦听端口。

在 Windows 中控制 Internet 上的通信

有关详细信息，请参阅在托管环境中使用 Windows Server 2003 Service Pack 1：控制与 Internet 的通信。

Windows 媒体服务

有关 Windows Media 服务使用的端口的信息，请参阅 为 Windows Media 服务分配端口。