พอร์ตตัวควบคุมโดเมนที่จำเป็นทั้งหมด

ตัวควบคุมโดเมนเป็นส่วนสำคัญของเครือข่ายของคุณ เพื่อปกป้องสิ่งเหล่านี้ คุณควรตรวจสอบให้แน่ใจว่าไฟร์วอลล์เปิดใช้งานอยู่ และเปิดเฉพาะพอร์ตที่จำเป็นสำหรับตัวควบคุมโดเมนของคุณเท่านั้น แต่พอร์ตเหล่านั้นคือพอร์ตไหน?

ฟังก์ชันหลักของตัวควบคุมโดเมนคือ Active Directory เพื่อให้ไคลเอนต์สามารถสื่อสารกับ AD ได้ จำเป็นต้องเปิดพอร์ตบางพอร์ตในไฟร์วอลล์

ในบทความนี้ เราจะดูว่าพอร์ตใดที่จำเป็นสำหรับตัวควบคุมโดเมน

พอร์ตตัวควบคุมโดเมน

ไฟร์วอลล์ Windows ได้รับการกำหนดค่าโดยอัตโนมัติเมื่อคุณติดตั้ง Domain Controller ใหม่ พอร์ตที่จำเป็นทั้งหมดสำหรับ Active Directory ของคุณจะถูกเพิ่มโดยอัตโนมัติ แต่เมื่อคุณต้องการแบ่งกลุ่มเครือข่ายของคุณด้วย VLAN คุณจะต้องตรวจสอบให้แน่ใจว่าพอร์ตที่ถูกต้องเปิดอยู่ระหว่างตัวควบคุมโดเมนและไคลเอนต์ของคุณ

ก่อนอื่น มาดูพอร์ตที่คุณต้องเปิดบนตัวควบคุมโดเมนของคุณกันก่อน:

* หากคุณใช้ Windows 2012 หรือสูงกว่า ก็ไม่จำเป็นต้องใช้พอร์ต NetBIOS อีกต่อไป Netbios จะถูกแทนที่ด้วย SMB (Samba)

หากคุณวางแผนที่จะใช้โมดูล Active Directory PowerShell หรือ Active Directory Administrative Center คุณจะต้องตรวจสอบให้แน่ใจว่าพอร์ต 9389 เปิดอยู่เช่นกัน

คำแนะนำ

ตรวจสอบให้แน่ใจว่าคุณได้ชำระเงินสคริปต์การรายงานความสมบูรณ์ของตัวควบคุมโดเมนของฉันด้วย

ช่วงพอร์ต RPC 49152-65535 จำเป็นสำหรับการสื่อสารระหว่างไคลเอนต์และตัวควบคุมโดเมน หมายเลขพอร์ตถูกกำหนดให้กับไคลเอนต์แบบสุ่ม คุณสามารถจำกัดช่วงผ่านคีย์รีจิสทรีได้ แต่ไม่แนะนำให้ทำเช่นนี้จริงๆ เนื่องจากอาจเสียหายมากกว่าที่คุณต้องการ

พอร์ต 53 - DNS

การสื่อสารระบบชื่อโดเมน (DNS) เกิดขึ้นผ่านพอร์ต TCP และ UDP 53 การแก้ไข DNS เป็นสิ่งสำคัญสำหรับตำแหน่งของตัวควบคุมโดเมนและการจำแนกชื่อ

พอร์ต 88 - เคอร์เบรอส

Kerberos เป็นโปรโตคอลการตรวจสอบความถูกต้องที่ใช้โดย Windows ทำงานบนพอร์ต TCP และ UDP 88 ซึ่งจำเป็นสำหรับการรับรองความถูกต้องที่ปลอดภัยภายในโดเมน

พอร์ต 123 -W32Time

แม้ว่าจะไม่เกี่ยวข้องโดยตรงกับการทำงานของตัวควบคุมโดเมน แต่พอร์ต 123 มีบทบาทสำคัญในการรักษาการซิงโครไนซ์เวลาผ่านเครือข่าย การบอกเวลาที่แม่นยำถือเป็นสิ่งสำคัญในสภาพแวดล้อมด้านไอที โดยเฉพาะอย่างยิ่งใน Active Directory เนื่องจากช่วยให้มั่นใจได้ถึงการรับรองความถูกต้องและการควบคุมการเข้าถึงที่สม่ำเสมอและปลอดภัย

พอร์ต 135 - ตัวแมปจุดสิ้นสุด RPC

พอร์ต 135 เป็นพอร์ตไคลเอ็นต์/เซิร์ฟเวอร์ที่สำคัญซึ่งบริการต่างๆ ของ Microsoft ใช้งาน ในกระบวนการนี้ ไคลเอนต์เริ่มเชื่อมต่อกับบริการ mapper RPC บนพอร์ต 135 เพื่อกำหนดช่วงพอร์ตไดนามิกที่บริการที่ต้องการกำลังฟังอยู่ ตัวทำแผนที่ RPC จะตอบกลับด้วยข้อมูลพอร์ต ทำให้ไคลเอ็นต์สามารถสร้างการเชื่อมต่อได้

พอร์ต 389 - LDAP

Lightweight Directory Access Protocol (LDAP) ทำงานบนพอร์ต TCP และ UDP 389 ซึ่งใช้สำหรับการสืบค้น LDAP พื้นฐานและการอัพเดตไดเรกทอรี LDAP เป็นแกนหลักของ Active Directory ซึ่งอำนวยความสะดวกในการตรวจสอบสิทธิ์ผู้ใช้และการค้นหาไดเรกทอรี

พอร์ต 445 - SMB

พอร์ต 445 ใช้สำหรับโปรโตคอล SMB Active Directory ใช้เพื่อรับข้อมูล GPO นอกจากนั้น โปรโตคอลยังใช้สำหรับการแชร์ไฟล์และเครื่องพิมพ์อีกด้วย

พอร์ต 636 - LDAP

เพื่อความปลอดภัยที่เพิ่มขึ้น LDAPS (LDAP ผ่าน SSL) ทำงานบนพอร์ต TCP 636 LDAPS เข้ารหัสข้อมูลที่ส่งระหว่างตัวควบคุมโดเมน เพื่อปกป้องข้อมูลที่ละเอียดอ่อน

พอร์ต 3268/3269 - LDAP Global Catalog

พอร์ต 3268 และเวอร์ชันที่ปลอดภัย 3269 (ซึ่งใช้ SSL) ใช้สำหรับการสืบค้น LDAP Global Catalog

พอร์ต 49152-65535 - พอร์ต RPC ชั่วคราว

พอร์ตในช่วงนี้จะถูกจัดสรรให้กับไคลเอนต์หลังจากการติดต่อครั้งแรกกับ RPC Mapper บนพอร์ต 135

พอร์ต ADFS

หากคุณใช้ Active Directory Federations Services (ADFS) คุณจะต้องตรวจสอบให้แน่ใจว่าพอร์ตต่อไปนี้เปิดอยู่เช่นกัน:

จำเป็นต้องใช้พอร์ต 5985 เมื่อใช้ Azure AD Connect หรือเซิร์ฟเวอร์ Federation/WAP ADFS ต้องใช้พอร์ต 49443 เมื่อใช้การตรวจสอบสิทธิ์ตามใบรับรอง

ห่อ

ไฟร์วอลล์ Windows บนตัวควบคุมโดเมนของคุณได้รับการกำหนดค่าอย่างถูกต้องตามค่าเริ่มต้นเมื่อคุณติดตั้งบริการ Active Directory หากคุณใช้ไฟร์วอลล์ของบริษัทอื่นบนตัวควบคุมโดเมนของคุณ หรือวางแผนที่จะใช้ VLAN คุณจะต้องตรวจสอบให้แน่ใจว่าพอร์ตที่อยู่ในรายการเปิดอยู่

ดังที่ได้กล่าวไปแล้ว พอร์ต NetBIOS ไม่จำเป็นอีกต่อไป ดังนั้นจึงเป็นการดีกว่าที่จะบล็อกพอร์ตเหล่านี้หากคุณไม่มีแอปใดๆ ที่ใช้งานพอร์ตเหล่านี้

ฉันหวังว่าบทความนี้จะเป็นประโยชน์ หากคุณมีคำถามใด ๆ เพียงแสดงความคิดเห็นด้านล่าง