如何設定 Active Directory 網域及信任的防火牆

  • 發行項

本文說明如何設定 Active Directory 網域及信任的防火牆。

適用於： Windows Server 2019、Windows Server 2016、Windows Server 2012 R2 Standard、Windows Server 2012 Standard
原始 KB 編號： 179442

注意事項

並非所有案例都需要此處資料表列出的所有連接埠。 例如，如果防火牆分隔成員及 DC，您無需開啟 FRS 或 DFSR 埠。 此外，如果您知道沒有用戶端使用 LDAP 搭配 SSL/TLS，則無需開啟 636 埠及 3269 埠。

其他相關資訊

注意事項

這兩個網域控制站位於相同的樹系，或者這兩個網域控制站位於獨立的樹系。 此外，樹系的信任採用 Windows Server 2003 信任或更新版本信任。

用戶端連接埠 (一個或多個) 伺服器連接埠 服務
1024-65535/TCP 135/TCP RPC 端點對應程式
1024-65535/TCP 1024-65535/TCP RPC for LSA、SAM、NetLogon (*)
1024-65535/TCP/UDP 389/TCP/UDP LDAP
1024-65535/TCP 636/TCP LDAP SSL
1024-65535/TCP 3268/TCP LDAP GC
1024-65535/TCP 3269/TCP LDAP GC SSL
53,1024-65535/TCP/UDP 53/TCP/UDP DNS
1024-65535/TCP/UDP 88/TCP/UDP Kerberos
1024-65535/TCP 445/TCP SMB
1024-65535/TCP 1024-65535/TCP FRS RPC (*)

當網域信任設定為僅支援 NetBIOS 通訊時，Windows 2000 及 Windows Server 2003 也必須使用 Windows NT所列的 NetBIOS 埠。 例如：Windows NT 作業系統或以 Samba 為基礎的第三方網域控制器。

如需詳細資訊了解如何定義 LSA RPC 服務所使用之 RPC 伺服器埠，請參閱：

Windows Server 2008 及更新版本

Windows Server 2008 及較新版本的 Windows Server 已增加動態用戶端連接埠範圍以傳出連線。 新的預設啟動連接埠為 49152，預設終止連接埠為 65535。 因此，您必須增加防火牆的 RPC 埠範圍。 這項變更是為了符合網際網路指派號碼授權單位 (IANA) 的建議。 這不同於混合模式網域，此模式由 Windows Server 2003 網域控制器、Windows 2000 伺服器型網域控制器或舊版用戶端組成，其預設動態連接埠範圍是 1025 到 5000。

如需詳細資訊了解 Windows Server 2012 與 Windows Server 2012 R2 的動態連接埠範圍變更，請參閱：

用戶端連接埠 (一個或多個) 伺服器連接埠 服務
49152-65535/UDP 123/UDP W32Time
49152-65535/TCP 135/TCP RPC 端點對應程式
49152-65535/TCP 464/TCP/UDP Kerberos 密碼變更
49152-65535/TCP 49152-65535/TCP RPC for LSA、SAM、NetLogon (*)
49152-65535/TCP/UDP 389/TCP/UDP LDAP
49152-65535/TCP 636/TCP LDAP SSL
49152-65535/TCP 3268/TCP LDAP GC
49152-65535/TCP 3269/TCP LDAP GC SSL
53, 49152-65535/TCP/UDP 53/TCP/UDP DNS
49152-65535/TCP 49152-65535/TCP FRS RPC (*)
49152-65535/TCP/UDP 88/TCP/UDP Kerberos
49152-65535/TCP/UDP 445/TCP SMB (**)
49152-65535/TCP 49152-65535/TCP DFSR RPC (*)

當網域的信任設定為僅支援 NetBIOS 通訊時，Windows 2000 及 Windows Server 2003 也必須使用 Windows NT 所列的 NetBIOS 埠。 例如：Windows NT 作業系統或以 Samba 為基礎的第三方網域控制器。

(*) 如需詳細資訊了解如何定義 LSA RPC 服務使用之 RPC 伺服器連接埠，請參閱：

(**) 信任作業無需使用的連接埠僅用於建立信任。

注意事項

只有當您將 Windows 時間服務與跨外部信任伺服器手動設定為同步時，才需要外部信任 123/UDP。

Active Directory

在 LDAP 請求遭長時間擱置並等候回應時，Microsoft LDAP 用戶端會使用 ICMP Ping。 它會傳送 ping 請求以確認伺服器仍在網路上。 若未收到 ping 回應，LDAP 請求會因 LDAP_TIMEOUT 而失敗。

在建立連線前及 DFS 找到伺服器位置時，Windows 重新導向器也會透過 ICMP Ping 訊息確認 DNS 服務已解析伺服器 IP。 如果您想要最小化 ICMP 流量，您可以使用下列防火牆規則範例：

<任何> ICMP -> DC IP addr = allow

不同於 TCP 通訊協定層及 UDP 通訊協定層，ICMP 沒有連接埠號碼。 這是因為 ICMP 直接由 IP 層裝載。

根據預設，在查詢其他 DNS 伺服器時，Windows Server 2003 及 Windows 2000 Server DNS 伺服器會使用暫時的用戶端連接埠。 不過，特定登錄設定可能會變更此行為。 或者，透過點對點通道通訊協定 (PPTP) 強制通道，您也可以建立信任。 這會限制防火牆可開啟的連接埠數量。 針對 PPTP，必須啟用下列連接埠。

用戶端連接埠 伺服器連接埠 Protocol (通訊協定)
1024-65535/TCP 1723/TCP PPTP

此外，您必須啟用 IP PROTOCOL 47 (GRE)。

注意事項

當您在信任網域為受信任網域的使用者新增資源許可權時，Windows 2000 及 Windows NT 4.0 的行為有部分差異。 如果電腦無法顯示遠端網域使用者清單，請考慮下列行為：

  • 藉由連絡遠端使用者網域 (UDP 138) 的 PDC，Windows NT 4.0 會嘗試解析手動輸入的名稱。 如果該通訊失敗，Windows NT 4.0 電腦會連絡自己的 PDC，要求解析名稱。
  • Windows 2000 及 Windows Server 2003 也會透過 UDP 138 嘗試連絡遠端使用者的 PDC 以進行解析。 不過，它們並不依賴使用自己的 PDC。 在授與資源存取權前，請確定所有 Windows 2000 成員伺服器及 Windows Server 2003 成員伺服器都具有遠端 PDC 的 UDP 138 連線能力。

參考資料

Windows 服務概述及網路連接埠要求 為實用資源，介紹所需網路連接埠、通訊協定以及各項服務，適用於 Microsoft 用戶端以及 Microsoft Windows 伺服器系統之伺服器作業系統、伺服器型程式與子元件。 管理人員與支援專業人員可以使用本文作為路線圖，在分段網路執行網路連線時，判斷 Microsoft 作業系統與程式所需的連接埠及通訊協定。

Windows 服務概述及網路連接埠要求 的連接埠資訊不應用於設定 Windows 防火牆。 有關如何設定 Windows 防火牆的詳細資訊，請參閱Windows 具有高級安全性的防火牆。