Konfigurieren einer Firewall für Domänen und Vertrauensstellungen

In diesem Artikel wird beschrieben, wie Sie eine Firewall für Domänen und Vertrauensstellungen konfigurieren.

Zum Einrichten einer Domänenvertrauensstellung oder eines sicheren Kanals über eine Firewall hinweg müssen folgende Ports geöffnet sein. Beachten Sie dabei, dass es Hosts geben kann, die zu beiden Seiten der Firewall sowohl als Clients als auch als Server fungieren. Deshalb müssen die Regeln für die Ports möglicherweise gespiegelt werden.

Windows NT

In dieser Umgebung ist eine Seite der Vertrauensstellung eine Windows NT 4.0-Vertrauensstellung, oder die Vertrauensstellung wurde mithilfe der NetBIOS-Namen erstellt.

Windows Server 2003 und Windows 2000 Server

In einer heterogenen Domäne mit Windows NT-Domänencontrollern oder Legacy-Clients kann es durch die Vertrauensstellung zwischen zwei Windows 2003- oder Windows 2000 Server-Domänencontrollern erforderlich sein, dass zusätzlich zu den in der obigen Tabelle aufgeführten Ports für Windows NT auch noch folgende Ports geöffnet werden.

Hinweis: Die beiden Domänencontroller können zur selben Gesamtstruktur gehören oder sich in jeweils getrennten Gesamtstrukturen befinden. Bei den Vertrauensstellungen in der Gesamtstruktur handelt es sich um Vertrauensstellungen zu Windows 2003 oder einer späteren Version.(*) Informationen zur Definition von RPC-Serverports, die von den LSA RPC-Diensten verwendet werden, erhalten Sie im Abschnitt "Domänencontroller und Active Directory" im folgenden Microsoft Knowledge Base-Artikel:Damit Active Directory über eine Firewall hinweg ordnungsgemäß funktioniert, muss ICMP (Internet Control Message Protocol) durch die Firewall von den Clients zu den Domänencontrollern freigegeben sein, sodass die Clients Informationen zu Gruppenrichtlinien empfangen können.

Mithilfe von ICMP wird festgelegt, ob es sich bei der Verbindung um eine langsame oder schnelle Verbindung handelt. ICMP ist ein legitimes Protokoll, das von Active Directory zur Erkennung von Gruppenrichtlinien und der MTU (Maximum Transfer Unit) verwendet wird. Der Windows-Redirector verwendet ICMP auch, um zu überprüfen, ob eine Server-IP-Adresse von dem DNS-Dienst aufgelöst wird, bevor eine Verbindung hergestellt wird.

Wenn Sie den ICMP-Verkehr möglichst gering halten möchten, können Sie hierfür die folgende Beispielregel für die Firewall verwenden:
Im Gegensatz zur TCP- und UDP-Protokollschicht gibt es bei ICMP keine Portnummer. Dies hängt damit zusammen, dass ICMP direkt von der IP-Schicht gehostet wird.

Standardmäßig verwenden Windows Server 2003- und Windows 2000 Server-DNS-Server ständig wechselnde clientseitige Ports, wenn sie Anfragen bei anderen DNS-Servern stellen. Dieses Verhalten lässt sich jedoch über einen speziellen Eintrag in der Registrierung ändern, der in dem folgenden Artikel der Microsoft Knowledge Base beschrieben ist:
Weitere Informationen zu Active Directory und zur Konfiguration von Firewalls können Sie dem Whitepaper "Active Directory in Networks Segmented by Firewalls" von Microsoft entnehmen. Besuchen Sie hierzu die folgende Website: Alternativ können Sie auch eine Vertrauensstellung über den Pflichttunnel des Point-to-Point Tunneling Protocol (PPTP) herstellen. Dadurch lässt sich die Anzahl der Ports verringern, die von der Firewall geöffnet werden müssen. Für PPTP müssen folgende Ports geöffnet sein: Darüber hinaus müssten Sie das IP PROTOCOL 47 (GRE) aktivieren.

Hinweis: Wenn Sie einer Ressource in einer vertrauenden Domäne Berechtigungen für Benutzer in einer vertrauenswürdigen Domäne hinzufügen, gibt es einige Unterschiede im Verhalten von Windows 2000 und Windows NT 4.0. Wenn der Computer nicht in der Lage ist, eine Liste der Benutzer der Remotedomäne bereitzustellen, gilt Folgendes:

• Windows NT 4.0 versucht, manuell eingegebene Namen aufzulösen, indem es eine Verbindung zum PDC für die Domäne des Remotebenutzers herstellt (UDP 138). Wenn diese Verbindung scheitert, stellt ein Windows NT 4.0-Computer eine Verbindung zum eigenen PDC her und fordert dann die Namensauflösung an.
• Windows 2000 und Windows Server 2003 versuchen ebenfalls, eine Verbindung zum PDC des Remotebenutzers zur Auflösung über UDP 138 herzustellen, greifen jedoch nicht auf den eigenen PDC zurück. Stellen Sie sicher, dass alle Windows 2000- und Windows Server 2003-Mitgliedsserver, die Zugriff auf Ressourcen gewähren, UDP 138-Verbindungen zum Remote-PDC haben.