ドメインの信頼関係を使用するためのファイアウォールの構成方法

対象製品

この記事は、以前は次の ID で公開されていました: JP179442

概要

この資料では、ドメインの信頼関係を使用するためのファイアウォールの構成方法について説明します。

先頭へ戻る

Windows NT ドメインコントローラまたはレガシクライアントを使用する混在モードのドメイン、または、異なるフォレスト内に存在する 2 台の Windows Server 2003 ベースまたは Windows 2000 Server ベースのドメインコントローラ間の信頼関係では、以下のポートに加えて、上記の表に記載されている Windows NT 用のすべてのポートを開くことが必要な場合があります。

元に戻す全体を表示する

クライアントポート	サーバーポート	サービス
1024 ～ 65535/TCP	135/TCP	RPC
1024 ～ 65535/TCP	1024 ～ 65535/TCP	LSA RPC サービス (*)
1024 ～ 65535/TCP/UDP	389/TCP/UDP	LDAP
1024 ～ 65535/TCP	636/TCP	SSL 上の LDAP
1024 ～ 65535/TCP	3268/TCP	LDAP GC
1024 ～ 65535/TCP	3269/TCP	SSL 上の LDAP GC
53、1024 ～ 65535/TCP/UDP	53/TCP/UDP	DNS
1024 ～ 65535/TCP/UDP	88/TCP/UDP	Kerberos 認証
1024 ～ 65535/TCP	445/TCP	SMB

(*) LSA RPC サービスで使用する RPC サーバーポートを定義する方法については、以下の「サポート技術情報」 (Microsoft Knowledge Base) の「ドメインコントローラと Active Directory」を参照してください。

832017? (http://support.microsoft.com/kb/832017/ ) Windows サーバーシステムのサービス概要およびネットワークポート要件

Active Directory をファイアウォール経由で正常に動作させるには、クライアントからドメインコントローラに対してファイアウォール経由でインターネット制御メッセージプロトコル (ICMP) プロトコルを使用することができ、クライアントがグループポリシー情報を受信できる必要があります。

ICMP は、リンクが低速リンクまたは高速リンクのいずれであるかを判断するために使用されます。ICMP は、Active Directory がグループポリシーの検出と最大転送ユニット (MTU) の検出に使用する正規のプロトコルです。また、Windows リダイレクタでも、接続を確立する前にサーバーの IP が DNS で解決されることを確認するために ICMP が使用されます。

ICMP トラフィックを最小限に抑えるには、次のファイアウォール規則のサンプルを使用できます。

<any> ICMP -> DC IP addr = allow

TCP プロトコル層や、UDP プロトコル層とは異なり、ICMP は IP 層で直接ホストされるため、ポート番号がありません。

注 : 上記の表のポート以外にも、RPC 通信用の特定の要件があります。

RPC サーバーでレジストリ設定を使用してファイアウォール用に RPC 通信を構成する方法の詳細を参照するには、以下の「サポート技術情報」 (Microsoft Knowledge Base) をクリックしてください。

154596? (http://support.microsoft.com/kb/154596/ ) ファイアウォールで動作するように RPC の動的ポート割り当てを構成する方法

デフォルトでは、Windows Server 2003 および Windows 2000 Server の DNS サーバーは、他の DNS サーバーに問い合わせを行う場合、一時的なクライアント側ポート (ephemeral ポート) を使用します。ただし、この動作は、以下の「サポート技術情報」 (Microsoft Knowledge Base) に記載されている特定のレジストリ設定で変更されている場合があります。

260186? (http://support.microsoft.com/kb/260186/ ) SendPort DNS レジストリキーが予期したとおりに動作しない

Active Directory とファイアウォールの構成の詳細については、マイクロソフトのホワイトペーパー『Active Directory in Networks Segmented by Firewalls』を参照してください。参照するには、次のマイクロソフト Web サイトにアクセスしてください。

http://www.microsoft.com/downloads/details.aspx?FamilyID=c2ef3846-43f0-4caf-9767-a9166368434e&displaylang=en (http://www.microsoft.com/downloads/details.aspx?FamilyID=c2ef3846-43f0-4caf-9767-a9166368434e&displaylang=en)

この他に、Point-to-Point トンネリングプロトコル (PPTP) 強制トンネルを介して信頼関係を確立する方法があります。これにより、ファイアウォールで開く必要のあるポート数が制限されます。PPTP では、次のポートを有効にする必要があります。

元に戻す全体を表示する

クライアントポート	サーバーポート	プロトコル
1024 ～ 65535/TCP	1723/TCP	PPTP

また、IP PROTOCOL 47 (GRE) も有効にする必要があります。

注 : 信頼される側のドメインのユーザーに対して信頼する側のドメインのリソースへのアクセス許可を追加した場合、Windows 2000 と Windows NT 4.0 とでは、動作に若干の違いがあります。コンピュータがリモートドメインのユーザー一覧を表示できない場合の動作を以下に示します。

Windows NT 4.0 は、UDP 138 経由でリモートユーザーのドメインの PDC にアクセスすることにより、手動で入力された名前を解決します。その通信が失敗した場合、Windows NT 4.0 ベースのコンピュータは自身が属しているドメインの PDC にアクセスして、名前解決を要求します。
Windows 2000 および Windows Server 2003 も解決のために UDP 138 経由でリモートユーザーの PDC にアクセスしますが、自身の PDC の使用には依存しません。リソースへのアクセスを許可する Windows 2000 ベースのメンバサーバーおよび Windows Server 2003 ベースのメンバサーバーすべてで、UDP 138 を使用してリモート PDC に接続できることを確認してください。

先頭へ戻る

この資料は以下の製品について記述したものです。

Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows 2000 Server
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Professional
Microsoft Windows NT Server 4.0 Standard Edition

先頭へ戻る

kbhowto kbenv kbnetwork KB179442

先頭へ戻る

"Microsoft Knowledge Baseに含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行ないません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。なお、本文書においては、文書の体裁上の都合により製品名の表記において商標登録表示、その他の商標表示を省略している場合がありますので、予めご了解ください。"