로그인

Select the product you need help with

도메인 및 트러스트를 위한 방화벽을 구성 하는 방법

기술 자료: 179442 - 이 문서가 적용되는 제품 보기.

기계 번역 고지 사항 보기

기계 번역된 문서와 영문 원본 문서 나란히 보기

이 문서는 이전에 다음 ID로 출판되었음: KR179442

소규모 기업 고객의 경우 추가 문제 해결 및 학습에 대 한 리소스를 찾기는 소규모 비즈니스를 위한 지원
(http://smallbusiness.support.microsoft.com)
사이트입니다.

모두 확대 | 모두 축소

요약

이 문서에서는 도메인 및 트러스트를 위한 방화벽을 구성 하는 방법을 설명 합니다.

그림 축소그림 확대

참고:?모든 시나리오에는 다음 표에 나열 된 모든 포트가 필요 합니다. 예를 들어, 방화벽 및 Dc를 분리 하는 경우 FRS 또는 DFSR 포트를 열 필요가 없습니다. 또한 클라이언트가 SSL/TLS를 LDAP 사용 하는 것을 알고 있으면 636 및 3269 포트를 열 필요가 없습니다.

위로 가기 | 피드백 보내기

추가 정보

방화벽에 도메인 트러스트 나 보안 채널을 설정 하려면 다음 포트를 열어야 합니다. 방화벽의 양쪽에 있는 클라이언트와 서버 역할을 하는 호스트가 있을 수 있습니다 유의 하십시오. 따라서 포트 규칙은 미러링할 수 할 수 있습니다.

Windows Server 2008 및 Windows Server 2008 R2 나가는 연결에 대 한 동적 클라이언트 포트 범위는 증가 했습니다. 새 기본 시작 포트 49152, 이며 기본 끝 포트 65535입니다. 따라서 방화벽에서 RPC 포트 범위를 늘려야 합니다. 인터넷 할당 번호 기관 (IANA) 권장 사항에 따라 변경 되었습니다. 이 기본 동적 포트 범위는 1025부터 5000은 Windows Server 2003 도메인 컨트롤러, Windows 2000 Server 기반 도메인 컨트롤러 또는 레거시 클라이언트 구성 된 혼합 모드 도메인에서 다릅니다.

동적 포트 범위 변경 Windows Server 2008 및 Windows Server 2008 r 2에 대 한 자세한 내용은 다음 리소스를 참조 하십시오.

Microsoft 기술 자료 문서 929851: 기본 동적 포트 범위에 대 한 TCP/IP Windows Vista 및 Windows Server 2008에서 변경
(http://support.microsoft.com/kb/929851)
디렉터리 서비스 팀 블로그 문서를 요청 하십시오.Windows Server 2008 및 Windows Vista에서 동적 클라이언트 포트
(http://blogs.technet.com/askds/archive/2007/08/24/dynamic-client-ports-in-windows-server-2008-and-windows-vista-or-how-i-learned-to-stop-worrying-and-love-the-iana.aspx)

표 축소표 확대

클라이언트 포트	서버 포트	서비스
49152-65535/UDP	123/UDP	W32Time
49152-65535/TCP	135/TCP	RPC 끝점 매퍼
49152-65535/TCP	464/TCP/UDP	Kerberos 암호 변경
49152-65535/TCP	TCP/49152-65535	RPC에 대 한 LSA, SAM, Netlogon (*)
49152-65535/TCP/UDP	389/TCP/UDP	LDAP
49152-65535/TCP	TCP 636 /	LDAP SSL
49152-65535/TCP	3268/TCP	LDAP GC
49152-65535/TCP	3269/TCP	GC LDAP SSL
53, 49152-65535/TCP/UDP	UDP/TCP/53	DNS
49152-65535/TCP	49152-65535/TCP	FRS RPC (*)
49152-65535/TCP/UDP	88/TCP/UDP	Kerberos
49152-65535/TCP/UDP	445/TCP	SMB
49152-65535/TCP	TCP/49152-65535	DFSR RPC (*)

도메인 트러스트만 NETBIOS 기반 통신을 지 원하는 구성 되어 있으면 NETBIOS 포트 Windows NT 나열 된 Windows 2000 및 2003 서버에 대 한 필수 이기도 합니다. 예 Samba를 기반으로 하는 타사 도메인 컨트롤러 또는 Windows NT 기반 운영 체제입니다.

(*) LSA RPC 서비스에서 사용 되는 RPC 서버 포트를 정의 하는 방법에 대 한 내용은 Microsoft 기술 자료의 다음 문서를 참조 하십시오.

224196: 제한 Active Directory 복제 트래픽과 클라이언트 RPC 트래픽을 특정 포트로
(http://support.microsoft.com/kb/224196)
"도메인 컨트롤러 및 Active Directory"에서 섹션832017: 서비스 개요 및 네트워크 포트 요구 사항 Windows 서버 시스템에 대 한
(http://support.microsoft.com/kb/832017)

그림 축소그림 확대

참고:?외부 트러스트 123/UDP 수동으로 동기화 하도록 Windows 시간 서비스 서버와 외부 트러스트를 통해 구성 된 경우에 필요 합니다.

Active Directory

Click here to show/hide solution

Active Directory 그룹 정책 클라이언트 방화벽을 통해 제대로 작동할 수 있도록 Windows 2000 및 Windows XP에서 인터넷 제어 메시지 프로토콜 (ICMP) 방화벽을 통해 클라이언트에서 도메인 컨트롤러에 허용 되어야 합니다. ICMP는 링크가 느린 링크 인지 빠른 링크 인지 여부를 확인 하는 데 사용 됩니다.

Windows Server 2008 및 이후 버전에서는 네트워크 위치 인식 서비스 트래픽을 다른 스테이션에서 네트워크를 기반으로 예상 대역폭을 제공 합니다. 트래픽이 생성에 대 한 추정치입니다.

또한 Windows 리디렉터가 ICMP 사용 하 여 서버 IP를 연결 하기 전에, 및 DFS를 사용 하 여 서버에 있는 경우 DNS 서비스에서 해결 되었는지 확인 합니다. SYSVOL 액세스 도메인 구성원에 적용 됩니다.

ICMP 트래픽을 최소화 하려는 경우 다음 사용할 수 있습니다. 방화벽 규칙 샘플:

<any> ICMP -> DC IP addr = allow

TCP 프로토콜 계층 및 UDP와 달리 프로토콜 계층 ICMP 포트 번호가 없습니다. ICMP 이기 때문입니다. IP 계층에서 직접 호스트.

기본적으로 Windows Server 2003 및 Windows 2000 Server DNS 서버는 다른 DNS 서버에 쿼리할 때 임시 클라이언트쪽 포트를 사용 합니다. 그러나이 문제는 특정 레지스트리 설정으로 변경할 수 있습니다. 자세한 내용은 Microsoft 기술 자료 문서를 참조 하십시오. 260186: 예상 대로 SendPort DNS 레지스트리 키 작동 하지 않는다

(http://support.microsoft.com/kb/260186)

Active Directory와 방화벽 구성에 대 한 자세한 내용은 참조 하십시오 있는 Active Directory에서 네트워크 방화벽으로 분리

(http://www.microsoft.com/downloads/details.aspx?FamilyID=c2ef3846-43f0-4caf-9767-a9166368434e&displaylang=en)

Microsoft 백서입니다.또는 지점간 터널링 프로토콜 (PPTP) 필수 터널을 통해 트러스트를 설정할 수 있습니다. 이 방화벽을 열 수 있는 포트 수를 제한 합니다. PPTP에 대 한 다음 포트를 설정 해야 합니다.

표 축소표 확대

클라이언트 포트	서버 포트	프로토콜
TCP/1024-65535	1723/TCP	PPTP

또한 IP 프로토콜 47을 사용 하도록 설정 해야 합니다. (GRE)입니다.

그림 축소그림 확대

참고 트러스트 된 도메인의 사용자가 트러스팅 도메인의 리소스 사용 권한을 추가할 때 Windows 2000 및 Windows NT 4.0 동작 사이 약간의 차이가 있습니다. 컴퓨터가 원격 도메인 사용자의 목록을 표시할 수 없으면 다음 문제를 고려해 야 합니다.

Windows NT 4.0에서 수동으로 입력 한 이름을 확인 하려고 PDC 원격 사용자의 도메인 (UDP 138)에 대해 문의 합니다. 해당 하는 경우 통신 실패 Windows NT 4.0 기반 컴퓨터는 자신의 PDC에 연결 하 고 다음 이름 확인을 요청합니다.
Windows 2000 및 Windows Server 2003 해결 방법에 대 한 UDP 138을 통해 원격 사용자의 PDC에 연결할 시도 합니다. 그러나 이들은 자신의 PDC를 사용 하 여 의존 하지 않습니다. 모든 Windows 2000 기반 구성원 서버와 Windows Server 2003 기반 구성원 서버 리소스에 액세스를 부여 합니다 원격 PDC에 UDP 138 연결 되어 있는지 확인 합니다.

위로 가기 | 피드백 보내기

속성

기술 자료: 179442 - 마지막 검토: 2012년 8월 10일 금요일 - 수정: 4.0

본 문서의 정보는 다음의 제품에 적용됩니다.

Windows Server 2008 Datacenter
Windows Server 2008 Enterprise
Windows Server 2008 Standard
Windows Server 2008 R2 Datacenter
Windows Server 2008 R2 Enterprise
Windows Server 2008 R2 Standard
Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows 2000 Server
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Professional Edition
Microsoft Windows NT Server 4.0 Standard Edition
Windows Server 2008 Datacenter without Hyper-V
Windows Server 2008 Enterprise without Hyper-V
Windows Server 2008 for Itanium-Based Systems
Windows Server 2008 Foundation
Windows Web Server 2008 R2

kbenv kbhowto kbnetwork kbmt KB179442 KbMtko

기계 번역된 문서

중요: 본 문서는 전문 번역가가 번역한 것이 아니라 Microsoft 기계 번역 소프트웨어로 번역한 것입니다. Microsoft는 번역가가 번역한 문서 및 기계 번역된 문서를 모두 제공하므로 Microsoft 기술 자료에 있는 모든 문서를 한글로 접할 수 있습니다. 그러나 기계 번역 문서가 항상 완벽한 것은 아닙니다. 따라서 기계 번역 문서에는 마치 외국인이 한국어로 말할 때 실수를 하는 것처럼 어휘, 구문 또는 문법에 오류가 있을 수 있습니다. Microsoft는 내용상의 오역 또는 Microsoft 고객이 이러한 오역을 사용함으로써 발생하는 부 정확성, 오류 또는 손해에 대해 책임을 지지 않습니다. Microsoft는 이러한 문제를 해결하기 위해 기계 번역 소프트웨어를 자주 업데이트하고 있습니다.

이 문서의 영문 버전 보기:179442

(http://support.microsoft.com/kb/179442/en-us/ )

위로 가기 | 피드백 보내기