Порты Active Directory, используемые клиентом для сервера

В этом посте я расскажу о портах TCP и UDP, используемых Active Directory с клиента на сервер.

Я буду использовать WireShark и ряд тестов, чтобы определить, какие порты используются.

Тесты, которые я буду проводить:

Порты, используемые при входе пользователя в компьютер
Порты, используемые при выполнении gpupdate
Порты, используемые при добавлении компьютера в домен
Порты, используемые при перезагрузке

Тестовая среда:

Сервер 2022 с IP 192.168.100.10 (Сервер Active Directory)
Windows 10 Pro с IP 192.168.100.20
Wireshark установлен на сервере Active Directory
Сервер Active Directory является стандартной установкой

Сводка портов Active Directory

Вот список портов, используемых Active Directory по умолчанию. Это связь между контроллером домена и компьютером, подключенным к домену.

TCP 135 Майкрософт RPC
TCP/UDP 49152 - 65535 Динамические порты RPC
TCP 88 Керберос
TCP 389 LDAP
UDP 53 DNS
TCP 445 SMB

TCP 135 Microsoft RPC Mapper

Описание: Порт 135 является критическим портом клиент/сервер. Этот порт используется многими службами Microsoft и не должен блокироваться брандмауэром. Сначала клиент подключается к службе сопоставления RPC (порт 135) и запрашивает сопоставление, на каком порту слушает данная служба (что будет находиться в диапазоне динамических портов… см. ниже). Сопоставитель RPC отвечает клиенту с указанием порта, и затем клиент подключается к этому порту. Вы можете увидеть это на приведенном выше скриншоте.
Межсетевой экран: Разрешить между клиентом и сервером. Порт 135 не должен быть открытым для Интернета.

TCP/UDP 49152 - 65535 Динамические порты RPC

Описание: Динамический диапазон портов используется различными серверными приложениями. Выделение динамического порта RPC инструктирует программу RPC использовать определённый случайный порт в диапазоне, настроенном для TCP и UDP, в зависимости от реализации используемой операционной системы. RPC-маппер (порт 135) используется для подключения клиентов к службам, работающим на этих динамических портах.
Межсетевой экран: Разрешить между клиентом и сервером. Этот диапазон портов не должен быть доступен из интернета.

мы рекомендуем вам перенастроить файрволы, чтобы разрешить трафик между серверами в динамическом диапазоне портов от 49152 до 65535. Этот диапазон добавляется к хорошо известным портам, которые используются сервисами и приложениями.
https://docs.microsoft.com/ru-RU/troubleshoot/windows-server/networking/default-dynamic-port-range-tcpip-chang

TCP 88 Керберос

Описание: Kerberos является протоколом аутентификации, который аутентифицирует запросы между клиентом и сервером безопасным образом. Это метод аутентификации по умолчанию для устройств, присоединённых к домену в Microsoft Windows.
Брандмауэр: Разрешить между клиентом и сервером. Порт не должен быть открыт для интернета.

TCP 389 LDAP

Описание: LDAP - это протокол доступа к каталогам. Этот протокол используется для поиска, добавления/удаления, аутентификации и изменения данных в каталожном сервере, таком как Active Directory.
Брандмауэр: Разрешить между клиентом и сервером. Порт не должен быть доступен из интернета.

UDP 53 DNS

Описание: DNS является критически важной службой, используемой для сопоставления IP-адресов с именами хостов. Это критически важная служба, используемая клиентами для нахождения записей ресурсов в домене и поиска внешних доменных имен.
Межсетевой экран: Разрешите между клиентом и сервером. Если DNS работает на вашем сервере Active Directory, я не рекомендую выставлять его в интернет.

TCP 445 SMB

Описание: Протокол сообщений сервера (SMB) - это протокол коммуникации «клиент-сервер», используемый для доступа к файлам, принтерам и данным в сети. Этот порт используется во время запуска для получения информации о групповой политике (GPO), а также применяется при выполнении команды gpupdate.
Брандмауэр: Разрешить между клиентом и сервером. Не открывайте этот порт для интернета.

Порты, используемые при входе пользователя в компьютер, присоединенный к домену

В этом примере я войду в компьютер PC1 (192.168.100.20) и захвачу сетевые пакеты с контроллера домена.

Вот представление разговора об используемых портах TCP/UDP. Это трафик, отправленный от клиента к контроллеру домена и к портам назначения.

Вот сводка портов назначения, используемых клиентом.

TCP 88 (Керберос)
TCP 135 (Microsoft RPC)
TCP 389 (LDAP)
TCP 445 (Microsoft DS)
TCP 49668 (RPC для LSA, SAM, NetLogon) - Это начинается с запроса к порту 135
UDP 53 (DNS)
UDP 389 (LDAP)

Порты, используемые при выполнении Gpupdate

На клиентском ПК, будучи в системе, я выполню команду gpupdate, чтобы увидеть, какие порты используются.

Результаты ниже. Похоже, что TCP-порт 445 используется чаще всего при выполнении gpupdate.

Порты, используемые при добавлении компьютера в домен

Это выглядело похоже на другие захваты пакетов.

TCP 88 (Kerberos)
TCP 135 (Microsoft RPC)
TCP 389 (LDAP)
TCP 445 (Microsoft DS)
TCP 49668 (RPC для LSA, SAM, NetLogon) - это начинается с запроса к порту 135
UDP 53 (DNS)

Порты, используемые при перезагрузке

Ничего нового, я вижу те же порты, которые использовались по сравнению с другими захватами пакетов.

Надеюсь, это руководство поможет вам понять порты, используемые между клиентом и сервером Active Directory. Имейте в виду, что этот тест был проведен на стандартной установке контроллера домена без дополнительных запущенных сервисов; чем больше сервисов вы установите, тем больше портов может быть использовано.

Ресурсы:

Обзор службы и требования к сетевым портам для Windows
Регистрация имен служб и номеров транспортных протоколов