Oturum a�

Select the product you need help with

RPC belirli ba�lant� noktalar�n� kullanacak bi�imde nas�l yap�land�r�l�r ve bu ba�lant� noktalar�n�n g�venli�i IPsec kullan�larak nas�l sa�lan�r

Makale numaras�: 908472 - Bu makalenin ge�erli oldu�u �r�nleri g�r�n.

�zet

Bu makalede, RPC'nin belirli bir dinamik ba�lant� noktas� aral��n� kullanacak bi�imde nas�l yap�land�r�laca�� ve Internet Protokol� g�venli�i (IPsec) ilkesi kullan�larak bu aral�ktaki ba�lant� noktalar�n�n g�venli�inin nas�l sa�lanaca�� anlat�lmaktad�r. Varsay�lan olarak RPC, TCP u� noktas� �zerinde dinleme yapmas� gereken RPC uygulamalar�na ba�lant� noktalar� atarken ge�ici ba�lant� noktas� aral��ndaki (1024-5000) ba�lant� noktalar�n� kullan�r. Bu davran��, a� y�neticilerinin bu ba�lant� noktalar�na eri�imi s�n�rlamalar�n� zorla�t�rabilir. Bu makalede, RPC uygulamalar�n�n kullanabilece�i ba�lant� noktas� say�s�n� azaltma yollar� ve kay�t defteri tabanl� IPsec ilkesini kullanarak bu ba�lant� noktalar�na eri�imin nas�l s�n�rland�r�laca�� anlat�lmaktad�r.

Bu makaledeki ad�mlar bilgisayar�n yeniden ba�lat�lmas�n� gerektiren bilgisayar genelindeki de�i�iklikler i�erdi�inden, bu de�i�ikliklerin sonucu olarak ortaya ��kabilecek olas� uygulama uyumlulu�u sorunlar�n� belirlemek i�in, bu ad�mlar�n t�m�n�n �nce �retim i�ermeyen ortamlarda ger�ekle�tirilmesi gerekir.

Daha fazla bilgi

RPC ba�lant� noktalar�na eri�imin konumunu de�i�tirmek, eri�imi azaltmak ve s�n�rland�rmak i�in tamamlanmas� gereken birka� yap�land�rma g�revi vard�r.

�lk olarak, RPC dinamik ba�lant� noktas� aral��n�n bir g�venlik duvar� veya IPsec ilkesi kullan�larak engellenmesi daha kolay ve b�ylece y�netilmesi daha zahmetsiz olan daha k��k bir ba�lant� noktas� aral��yla s�n�rlanmas� gerekir. Varsay�lan olarak RPC, hangi ba�lant� noktas�n� dinleyece�ini belirtmeyen u� noktalara 1024-5000 aral��ndaki ba�lant� noktalar�n� dinamik olarak ay�r�r.

Not Bu makalede, ge�ici ba�lant� noktalar�n�n t�kenmesinden ka��nmak ve RPC u� noktalar�n�n kulland�� ba�lant� noktalar�n�n say�s�n� 3.976'dan 20'ye azaltmak i�in 5001-5021 ba�lant� noktas� aral�� kullan�lmaktad�r.

Daha sonra, bu ba�lant� noktas� aral��na eri�imi, a� �zerindeki t�m ana bilgisayarlara eri�imi reddedecek bi�imde s�n�rland�rmak i�in bir IPsec ilkesi olu�turulmal�d�r.

Son olarak, belirli IP adreslerinin veya a�daki alt a�lar�n engellenmi� RPC ba�lant� noktalar�na eri�mesini sa�layacak ve t�m di�erlerini d��layacak bi�imde IPsec ilkesi g�ncelle�tirilebilir.

RPC dinamik ba�lant� noktas� aral��n� yeniden yap�land�rma g�revine ba�lamak i�in RPC Configuration Tool'u (RPCCfg.exe) kar��dan y�kleyin ve yeniden yap�land�r�lacak i� istasyonuna veya sunucuya kopyalay�n. Bunu yapmak i�in, a�a��daki Microsoft Web sitesini ziyaret edin:

http://www.microsoft.com/downloads/details.aspx?FamilyID=0f9cde2f-8632-4da8-ae70-645e1ddaf369&DisplayLang=en

(http://www.microsoft.com/downloads/details.aspx?FamilyID=0f9cde2f-8632-4da8-ae70-645e1ddaf369&DisplayLang=en)

IPsec ilkesi olu�turmakla ilgili sonraki g�revleri ger�ekle�tirmek i�in, Internet Protokol� G�venlik �lkeleri Arac�'n� (Ipsecpol.exe) kar��dan y�kleyin ve yeniden yap�land�r�lacak i� istasyonuna veya sunucuya kopyalay�n. Bunu yapmak i�in, a�a��daki Microsoft Web sitesini ziyaret edin:

http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=7D40460C-A069-412E-A015-A2AB904B7361

(http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=7D40460C-A069-412E-A015-A2AB904B7361)

Not Microsoft Windows XP veya Windows i�letim sisteminin sonraki bir s�r�m� i�in IPsec ilkesi olu�turmak amac�yla Ipseccmd.exe arac�n� kullan�n. Ipseccmd.exe, Windows XP destek ara�lar�n�n bir par�as�d�r. IPseccmd.exe arac�n�n s�zdizimi ve kullan�m� Ipsecpol.exe'nin s�zdizimi ve kullan�m�yla ayn�d�r. Windows XP destek ara�lar� hakk�nda daha fazla bilgi i�in, Microsoft Bilgi Bankas�'ndaki makaleyi g�r�nt�lemek �zere a�a��daki makale numaras�n� t�klat�n:

838079

(http://support.microsoft.com/kb/838079/ )

Windows XP Service Pack 2 Destek Ara�lar�

RPCCfg.exe arac�n� kullanarak RPC dinamik ba�lant� noktas� aral��n� yeniden konumland�rma ve k��ltme

RPCCfg.exe arac�n� kullanarak RPC dinamik ba�lant� noktas� aral��n� yeniden konumland�rmak ve k��ltmek i�in a�a��daki ad�mlar� izleyin:

RPCCfg.exe arac�n� yap�land�r�lacak sunucuya kopyalay�n.
Komut isteminde, rpccfg.exe -pe 5001-5021 -d 0 yaz�n.
Not Bu aral�ktaki ba�lant� noktalar�n�n di�er uygulamalar taraf�ndan kullan�lmak �zere ayr�lmalar� pek m�mk�n olmad��ndan, RPC u� noktalar�n�n kullan�m� i�in bu ba�lant� noktas� aral�� nerilir. Varsay�lan olarak RPC, u� noktalara ba�lant� noktalar� ay�rmak i�in 1024-5000 ba�lant� noktas� aral��n� kullan�r. Ancak, bu aral�ktaki ba�lant� noktalar� ayn� zamanda Windows i�letim sistemi taraf�ndan t�m Windows yuva uygulamalar�na da dinamik olarak ayr�l�r ve uzak sistemlere bir�ok ba�lant�lar kuran terminal sunucular ve orta katman sunucular� gibi yo�un olarak kullan�lan sunucular �zerinde t�kenebilir.

�rne�in, Internet Explorer ba�lant� noktas� 80 �zerinden bir Web sunucusuyla ba�lant� kurdu�unda, sunucunun yan�t�n� 1024-5000 aral��ndaki bir ba�lant� noktas� �zerinden dinler. Di�er uzak sunucularla ba�lant� kuran bir orta katman COM sunucusu da bu aral�ktaki bir ba�lant� noktas�n� o �a�r�ya gelen yan�t i�in kullan�r. RPC'nin kendi u� noktalar� i�in kulland�� ba�lant� noktalar�n�n aral��n� 5001 ba�lant� noktas� aral��na ta��mak, bu ba�lant� noktalar�n�n di�er uygulamalar taraf�ndan kullan�lma olas�l��n� azalt�r.
Windows i�letim sistemlerinde ge�ici ba�lant� noktas� kullan�m� hakk�nda daha fazla bilgi i�in, a�a��daki Microsoft Web sitelerini ziyaret edin.
- Windows 2000 i�in:
  http://technet.microsoft.com/tr-tr/library/bb726981.aspx
  (http://technet.microsoft.com/tr-tr/library/bb726981.aspx)
- Windows Server 2003 i�in:
  http://technet.microsoft.com/tr-tr/library/cc758746(WS.10).aspx
  (http://technet.microsoft.com/tr-tr/library/cc758746(WS.10).aspx)

Etkilenen ana bilgisayarda g�venlik a��ndan etkilenen ba�lant� noktalar�na eri�imi engellemek i�in IPsec veya g�venlik duvar� ilkesi kullanma

A�a��daki b�l�mdeki komutlarda, y�zde (%) i�aretleri aras�nda g�r�nen her metnin, IPsec ilkesini olu�turan ki�i taraf�ndan girilmesi gereken komut i�indeki metni g�stermesi ama�lanm��t�r. �rne�in, "%IPSECTOOL%" metninin ge�ti�i yerlerde, ilkeyi olu�turan ki�inin metni ��yle de�i�tirmesi gerekir:

Windows 2000 i�in, "%IPSECTOOL%" yerine "ipsecpol.exe" yaz�n.
Windows XP veya Windows'un sonraki bir s�r�m� i�in, "%IPSECTOOL%" yerine "ipseccmd.exe" yaz�n.

Ba�lant� noktalar�n� engellemek i�in IPsec'i kullanma hakk�nda daha fazla bilgi i�in, Microsoft Bilgi Bankas�'ndaki makaleyi g�r�nt�lemek �zere a�a��daki makale numaras�n� t�klat�n:

813878

(http://support.microsoft.com/kb/813878/ )

IPsec kullan�larak belirli a� protokolleri ve ba�lant� noktalar� nas�l engellenir (Bu ba�lant�, bir k�sm� veya tamam� �ngilizce olan i�eri�e i�aret edebilir)

RPC U� Noktas� E�le�tiricisi'ne eri�imi t�m IP adresleri i�in engelleme

T�m IP adreslerinin RPC U� Noktas� E�le�tiricisi'ne eri�imini engellemek i�in a�a��daki s�zdizimini kullan�n.

Not Windows XP'de sonraki i�letim sistemlerinde, Ipseccmd.exe arac�n� kullan�n. Windows 2000'de, Ipsecpol.exe (Windows 2000) arac�n� kullan�n.

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Block Inbound TCP 135 Rule" -f *=0:135:TCP -n BLOCK

Not Bu komutta "%IPSECTOOL%" yazmay�n. "%IPSECTOOL%" ifadesi, komutun �zelle�tirilmesi gereken k�sm�n� g�sterir. �rne�in, Windows 2000'de, TCP 135'e gelen t�m eri�imleri engellemek i�in, Ipsecpol.exe arac�n� i�eren dizinin i�indeyken a�a��daki komutu yaz�n:

ipsecpol.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 135 Rule" -f *=0:135:TCP -n BLOCK

Windows XP veya sonraki i�letim sistemlerinde, TCP 135'e gelen t�m eri�imleri engellemek i�in, Ipseccmd.exe arac�n� i�eren dizinin i�indeyken a�a��daki komutu yaz�n:

ipseccmd.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 135 Rule" -f *=0:135:TCP -n BLOCK

RPC dinamik ba�lant� noktas� aral��na eri�imi t�m IP adresleri i�in engelleme

T�m IP adreslerinin RPC dinamik ba�lant� noktas� aral��na eri�imini engellemek i�in a�a��daki s�zdizimini kullan�n.

Not Windows XP'de sonraki i�letim sistemlerinde, Ipseccmd.exe arac�n� kullan�n. Windows 2000'de, Ipsecpol.exe (Windows 2000) arac�n� kullan�n.

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Block Inbound TCP %PORT% Rule" -f *=0:%PORT%:TCP -n BLOCK

Not Bu komutta "%IPSECTOOL%" veya "%PORT%" yazmay�n. "%IPSECTOOL%" ve "%PORT%" ifadeleri, komutun �zelle�tirilmesi gereken k�s�mlar�n� g�sterir. �rne�in, TCP 5001'e gelen t�m eri�imleri engellemek i�in Windows 2000 ana bilgisayarlar�nda a�a��daki komutu yaz�n:

ipsecpol.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 5001 Rule" -f *=0:5001:TCP -n BLOCK

TCP 5001'e gelen t�m eri�imleri engellemek i�in, Windows XP ana bilgisayarlar�nda ve Windows i�letim sistemlerinin sonraki s�r�mlerini �al��t�ran ana bilgisayarlarda a�a��daki komutu yaz�n:

ipseccmd.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 5001 Rule" -f *=0:5001:TCP -n BLOCK

Bu komutta listelenen ba�lant� noktas� numaras�n� de�i�tirerek, engellenmesi gereken her RPC ba�lant� noktas� i�in bu komutu yineleyin. Engellenmesi gereken ba�lant� noktalar� 5001-5021 aral��ndad�r.

Not Ba�lant� noktas� numaras�n� kural ad�nda (-r anahtar�) ve filtrede (-f anahtar�) de�i�tirmeyi unutmay�n.

�ste�e ba�l�: Eri�im gerekiyorsa, baz� alt a�lara RPC U� Noktas� E�le�tiricisi'ne eri�im izni verme

Baz� alt a�lara s�n�rlanm�� RPC ba�lant� noktalar�na eri�im izni vermeniz gerekiyorsa, ilk olarak bu alt a�lara daha �nce engelledi�iniz RPC U� Noktas� E�le�tiricisi'ne eri�im izni vermelisiniz. Belirli bir alt a�a RPC U� Noktas� E�le�tiricisi'ne eri�im izni vermek i�in a�a��daki komutu kullan�n:

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP 135 from %SUBNET% Rule" -f %SUBNET%/%MASK%=0:135:TCP -n PASS

Not Bu komutta, a�a��daki ifadeler ge�erlidir:

"%IPSECTOOL%" kullan�lacak komutu temsil eder. Bu, "ipsecpol.exe" veya "ipseccmd.exe" komutudur. Hangi komutun kullan�laca��, hangi i�letim sistemini yap�land�rd��n�za ba�l�d�r.
"%SUBNET%" ifadesi, eri�im vermek istedi�iniz uzak IP alt a��n� (�rne�in, 10.1.1.0) g�sterir.
"%MASK%" ifadesi, kullan�lacak alt a� maskesini (�rne�in, 255.255.255.0) g�sterir.

�rne�in, a�a��daki komut, 10.1.1.0/255.255.255.0 alt a��ndaki t�m ana bilgisayarlar�n TCP 135 ba�lant� noktas�na ba�lanmalar�na olanak verir. T�m di�er ana bilgisayarlar�n ba�lant�lar�, bu ba�lant� i�in daha �nce olu�turulmu� olan varsay�lan engelleme kural� taraf�ndan reddedilir.
%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP Port 135 from 10.1.1.0 Rule" -f 10.1.1.0/255.255.255.0=0:135:TCP -n PASS

�ste�e ba�l�: Eri�im gerekiyorsa, baz� alt a�lara yeni RPC dinamik ba�lant� noktas� aral��na eri�im izni verme

Daha �nce RPC U� Noktas� E�le�tiricisi'ne eri�im izni verilmi� her alt a�a, ayn� zamanda yeni RPC dinamik ba�lant� noktas� aral��ndaki (5001-5021) t�m ba�lant� noktalar�na eri�im izni verilmelidir.

Alt a�lar�n RPC U� Noktas� E�le�tiricisi'ne eri�melerine izin verip dinamik ba�lant� noktas� aral��n� engellerseniz, uygulama yan�t vermeyebilir veya ba�ka sorunlarla kar��la�abilirsiniz.

A�a��daki komut, belirli bir alt a�a yeni RPC dinamik ba�lant� noktas� aral��ndaki bir ba�lant� noktas�na eri�im izni verir:

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP %PORT% from %SUBNET% Rule" -f %SUBNET%/%MASK%=0:%PORT%:TCP -n PASS

Not Bu komutta, a�a��daki ifadeler ge�erlidir:

"%IPSECTOOL%" kullan�lacak komutu temsil eder. Bu, "ipsecpol.exe" veya "ipseccmd.exe" komutudur. Hangi komutun kullan�laca��, hangi i�letim sistemini yap�land�rd��n�za ba�l�d�r.
"%PORT%" ifadesi, dinamik ba�lant� noktas� aral��ndaki eri�im verilecek ba�lant� noktas�n� g�sterir.
"%SUBNET%" ifadesi, eri�im vermek istedi�iniz uzak IP alt a��n� (�rne�in, 10.1.1.0) g�sterir.
" %MASK%" ifadesi kullan�lacak alt a� maskesini (�rne�in, 255.255.255.0) g�sterir.

�rne�in, a�a��daki komut, 10.1.1.0/255.255.255.0 alt a��ndaki t�m ana bilgisayarlar�n TCP 5001 ba�lant� noktas�na ba�lanmalar�na olanak verir. T�m di�er ana bilgisayarlar�n ba�lant�lar�, bu ba�lant� i�in daha �nce olu�turulmu� olan varsay�lan engelleme kural� taraf�ndan reddedilir.
%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP Port 5001 from 10.1.1.0 Rule" -f 10.1.1.0/255.255.255.0=0:5001:TCP -n PASS

Not Bu komut, yeni RPC dinamik ba�lant� noktas� aral��ndaki her alt a� ve ba�lant� noktas� i�in yinelenmelidir.

IPsec ilkesini atama

Not Bu b�l�mdeki komutlar hemen etkinle�ir.

Yap�land�r�lm�� RPC ba�lant� noktalar� i�in t�m engelleme kurallar�n� ve t�m iste�e ba�l� izin verme kurallar�n� olu�turduktan sonra, a�a��daki komutu kullanarak ilkeyi atay�n:

%IPSECTOOL% -w REG -p "Block RPC Ports" �x

Not �lke atamas�n� hemen kald�rmak i�in, a�a��daki komutu kullan�n:

%IPSECTOOL% -w REG -p "Block RPC Ports" �y

Not �lkeyi kay�t defterinden silmek i�in, a�a��daki komutu kullan�n:

%IPSECTOOL% -w REG -p "Block RPC Ports" -o

De�i�ikliklerin etkinle�mesi i�in ana bilgisayar� yeniden ba�latmal�s�n�z.

Notlar

RPC yap�land�rma de�i�iklikleri yeniden ba�latma gerektirir.
IPsec ilke de�i�iklikleri hemen etkinle�ir ve yeniden ba�latma gerektirmez.

�� istasyonu veya sunucu yeniden ba�lat�ld�ktan sonra, ncacn_ip_tcp protokol s�ras�n� kullanan ve ba�lanacak belirli bir TCP ba�lant� noktas� belirtmeyen her RPC arabirimine, RPC sunucusu a��ld��nda RPC �al��ma zaman� taraf�ndan bu aral�k i�inden bir ba�lant� noktas� ayr�l�r.

Not Sunucu 20'nin �zerinde TCP ba�lant� noktas� gerektirebilir. Bir TCP ba�lant� noktas�na ba�lanm�� RPC u� noktalar�n�n say�s�n� saymak ve zorunlu kal�nd��nda bu say�y� art�rmak i�in, rpcdump.exe komutunu kullanabilirsiniz. RPC D�k�m� arac�n� edinme hakk�nda daha fazla bilgi i�in, a�a��daki Microsoft Web sitesini ziyaret edin:

http://www.microsoft.com/downloads/details.aspx?displaylang=en&familyid=9d467a69-57ff-4ae7-96ee-b18c4790cffd

(http://www.microsoft.com/downloads/details.aspx?displaylang=en&familyid=9d467a69-57ff-4ae7-96ee-b18c4790cffd)

�zellikler

Makale numaras�: 908472 - Son G�zden Ge�irme: 06 Kas�m 2009 Cuma - G�zden ge�irme: 6.0

Bu makaledeki bilginin uyguland�� durum:

Microsoft Windows Server 2003 Service Pack 1, Ne zaman ne ile kullanilir:

Microsoft Windows Server 2003 Datacenter Edition
Microsoft Windows Server 2003 Enterprise Edition
Microsoft Windows Server 2003 Standard Edition
Microsoft Windows Server 2003 Web Edition

Microsoft Windows 2000 Server SP4, Ne zaman ne ile kullanilir:

Microsoft Windows 2000 Professional Edition
Microsoft Windows 2000 Server

Microsoft Windows XP Home Edition SP2
Microsoft Windows XP Media Center Edition 2005
Microsoft Windows XP Professional SP2
Microsoft Windows XP Tablet PC Edition 2005

kbinfo KB908472

�ste | Geri Bildirim Ver

Geri Bildirim Ver

�ste

Select the product you need help with

RPC belirli ba�lant� noktalar�n� kullanacak bi�imde nas�l yap�land�r�l�r ve bu ba�lant� noktalar�n�n g�venli�i IPsec kullan�larak nas�l sa�lan�r

�zet

Daha fazla bilgi

RPCCfg.exe arac�n� kullanarak RPC dinamik ba�lant� noktas� aral��n� yeniden konumland�rma ve k��ltme

Etkilenen ana bilgisayarda g�venlik a��ndan etkilenen ba�lant� noktalar�na eri�imi engellemek i�in IPsec veya g�venlik duvar� ilkesi kullanma

RPC U� Noktas� E�le�tiricisi'ne eri�imi t�m IP adresleri i�in engelleme

RPC dinamik ba�lant� noktas� aral��na eri�imi t�m IP adresleri i�in engelleme

�ste�e ba�l�: Eri�im gerekiyorsa, baz� alt a�lara RPC U� Noktas� E�le�tiricisi'ne eri�im izni verme

�ste�e ba�l�: Eri�im gerekiyorsa, baz� alt a�lara yeni RPC dinamik ba�lant� noktas� aral��na eri�im izni verme

IPsec ilkesini atama

�zellikler

Bu makaledeki bilginin uyguland�� durum:

Anahtar Kelimeler:�

Geri Bildirim Ver

Makale �evirileri

Select the product you need help with

RPC belirli ba�lant� noktalar�n� kullanacak bi�imde nas�l yap�land�r�l�r ve bu ba�lant� noktalar�n�n g�venli�i IPsec kullan�larak nas�l sa�lan�r

�zet

Daha fazla bilgi

RPCCfg.exe arac�n� kullanarak RPC dinamik ba�lant� noktas� aral���n� yeniden konumland�rma ve k���ltme

Etkilenen ana bilgisayarda g�venlik a����ndan etkilenen ba�lant� noktalar�na eri�imi engellemek i�in IPsec veya g�venlik duvar� ilkesi kullanma

RPC U� Noktas� E�le�tiricisi'ne eri�imi t�m IP adresleri i�in engelleme

RPC dinamik ba�lant� noktas� aral���na eri�imi t�m IP adresleri i�in engelleme

�ste�e ba�l�: Eri�im gerekiyorsa, baz� alt a�lara RPC U� Noktas� E�le�tiricisi'ne eri�im izni verme

�ste�e ba�l�: Eri�im gerekiyorsa, baz� alt a�lara yeni RPC dinamik ba�lant� noktas� aral���na eri�im izni verme

IPsec ilkesini atama

�zellikler

Bu makaledeki bilginin uyguland��� durum:

Anahtar Kelimeler:�

Geri Bildirim Ver

Makale �evirileri

RPCCfg.exe arac�n� kullanarak RPC dinamik ba�lant� noktas� aral��n� yeniden konumland�rma ve k��ltme

Etkilenen ana bilgisayarda g�venlik a��ndan etkilenen ba�lant� noktalar�na eri�imi engellemek i�in IPsec veya g�venlik duvar� ilkesi kullanma

RPC dinamik ba�lant� noktas� aral��na eri�imi t�m IP adresleri i�in engelleme

�ste�e ba�l�: Eri�im gerekiyorsa, baz� alt a�lara yeni RPC dinamik ba�lant� noktas� aral��na eri�im izni verme

Bu makaledeki bilginin uyguland�� durum: