Konfigurieren von RPC für die Verwendung bestimmter Ports und Schützen dieser Ports mit IPsec

Verschieben und Reduzieren des dynamischen RPC-Portbereichs mit "RPCCfg.exe"

Gehen Sie folgendermaßen vor, um den dynamischen RPC-Portbereich mit "RPCCfg.exe" zu verschieben und zu reduzieren:

1. Kopieren Sie "RPCCfg.exe" auf den zu konfigurierenden Server.
   

2. Geben Sie an der Eingabeaufforderung rpccfg.exe -pe 5001-5021 -d 0 ein.
   Hinweis Dieser Portbereich wird für die Verwendung durch RPC-Endpunkte empfohlen, da es unwahrscheinlich ist, dass Ports in diesem Bereich für die Nutzung durch andere Anwendungen zugeordnet werden. Standardmäßig verwendet RPC den Portbereich zwischen 1024 und 5000 für die Zuordnung von Ports für Endpunkte. Ports in diesem Bereich werden jedoch auch für die Verwendung durch das Windows-Betriebssystem für alle Windows-Sockets-Anwendungen dynamisch zugewiesen und können auf stark belasteten Servern ausgeschöpft sein, z. B. auf Terminalservern und COM-Servern auf mittlerer Ebene, die viele ausgehende Anrufe an Remotesysteme durchführen.
   
   Wenn beispielsweise Internet Explorer Kontakt zu einem Webserver auf Port 80 aufnimmt, wartet er an einem Port im Bereich zwischen 1024 und 5000 auf die Antwort vom Server. Ein COM-Server auf mittlerer Ebene, der ausgehende Anrufe an andere Remoteserver durchführt, verwendet ebenfalls einen Port in diesem Bereich für die eingehende Antwort auf diesen Anruf. Durch das Verschieben des Portbereichs, den RPC für seine Endpunkte verwendet, in den 5001-Portbereich wird es weniger wahrscheinlich, dass diese Ports von anderen Anwendungen verwendet werden.
   Weitere Informationen zur Verwendung temporärer Ports in Windows-Betriebssystemen finden Sie auf folgenden Microsoft-Websites.
   

   • Für Windows 2000:

     http://technet.microsoft.com/de-de/library/bb726981.aspx

   • Für Windows Server 2003:

     http://technet.microsoft.com/de-de/library/cc758746(WS.10).aspx

Verwendung einer IPsec- oder Firewallrichtlinie zum Blockieren des Zugriffs auf die anfälligen Ports auf dem jeweiligen Host

In den Befehlen im folgenden Abschnitt steht Text, der zwischen Prozentzeichen (%) erscheint, für Text im Befehl, der vom Ersteller der IPsec-Richtlinie eingegeben werden muss. Beispielsweise sollte der Ersteller der Richtlinie den Text "%IPSECTOOL%", wo immer er erscheint, folgendermaßen ersetzen:

• Für Windows 2000 muss "%IPSECTOOL%" durch "ipsecpol.exe" ersetzt werden.

• Für Windows XP oder eine höhere Windows-Version muss "%IPSECTOOL%" durch "ipseccmd.exe" ersetzt werden.
  
  

Weitere Informationen zur Verwendung von IPsec zum Blockieren von Ports finden Sie im folgenden Artikel der Microsoft Knowledge Base:

813878 Blockieren bestimmter Netzwerkprotokolle und Ports mithilfe von IPSec

Blockieren des Zugriffs auf die RPC-Endpunktzuordnung für alle IP-Adressen

Verwenden Sie die folgende Syntax, um den Zugriff auf die RPC-Endpunktzuordnung für alle IP-Adressen zu blockieren:

Hinweis Verwenden Sie unter Windows XP und höheren Betriebssystemen das Programm "Ipseccmd.exe". Verwenden Sie unter Windows 2000 das Programm "Ipsecpol.exe".

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Block Inbound TCP 135 Rule" -f *=0:135:TCP -n BLOCK

Hinweis Geben Sie in diesem Befehl nicht "%IPSECTOOL%" ein. "%IPSECTOOL%" steht für den Teil des Befehls, der angepasst werden muss. Geben Sie beispielsweise unter Windows 2000 den folgenden Befehl aus einem Verzeichnis heraus ein, das "Ipsecpol.exe" enthält, um jeglichen Zugriff von außen auf TCP 135 zu blockieren:

ipsecpol.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 135 Rule" -f *=0:135:TCP -n BLOCK

Geben Sie unter Windows XP und höheren Betriebssystemen den folgenden Befehl aus einem Verzeichnis heraus ein, das "Ipseccmd.exe" enthält, um jeglichen Zugriff von außen auf TCP-Port 135 zu blockieren:

ipseccmd.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 135 Rule" -f *=0:135:TCP -n BLOCK

Blockieren des Zugriffs auf den dynamischen RPC-Portbereich für alle IP-Adressen

Verwenden Sie die folgende Syntax, um den Zugriff auf den dynamischen RPC-Portbereich für alle IP-Adressen zu blockieren:

Hinweis Verwenden Sie unter Windows XP und höheren Betriebssystemen das Programm "Ipseccmd.exe". Verwenden Sie unter Windows 2000 das Programm "Ipsecpol.exe".

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Block Inbound TCP %PORT% Rule" -f *=0:%PORT%:TCP -n BLOCK

Hinweis Geben Sie in diesem Befehl nicht "%IPSECTOOL%" oder "%PORT%" ein. "%IPSECTOOL%" und "%PORT%" stehen für die Teile des Befehls, die angepasst werden müssen. Geben Sie beispielsweise den folgenden Befehl auf Windows 2000-Hosts ein, um jeglichen Zugriff von außen auf TCP 5001 zu blockieren:

ipsecpol.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 5001 Rule" -f *=0:5001:TCP -n BLOCK

Geben Sie den folgenden Befehl auf Windows XP-Hosts und Hosts mit höheren Betriebssystemversionen ein, um jeglichen Zugriff von außen auf TCP 5001 zu blockieren:

ipseccmd.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 5001 Rule" -f *=0:5001:TCP -n BLOCK

Wiederholen Sie diesen Befehl für jeden zu blockierenden RPC-Port, indem Sie die Portnummer ändern, die in diesem Befehl angegeben ist. Zu blockierende Ports liegen im Bereich zwischen 5001 und 5021.

Hinweis Vergessen Sie nicht, die Portnummer im Regelnamen (Option -r) und im Filter (Option -f) zu ändern.

Optional: Zugriff auf die RPC-Endpunktzuordnung für bestimmte Subnetze gewähren, falls der Zugriff benötigt wird

Wenn Sie bestimmten Subnetzen den Zugriff auf die eingeschränkten RPC-Ports gewähren müssen, müssen Sie diesen Subnetzen zunächst den Zugriff auf die RPC-Endpunktzuordnung ermöglichen, die Sie zuvor blockiert haben. Verwenden Sie den folgenden Befehl, um einem bestimmten Subnetz Zugriff auf die RPC-Endpunktzuordnung zu gewähren:

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP 135 from %SUBNET% Rule" -f %SUBNET%/%MASK%=0:135:TCP -n PASS

Hinweis Für diesen Befehl gilt Folgendes:

• "%IPSECTOOL%" steht für den zu verwendenden Befehl. Der genaue Befehl lautet entweder "ipsecpol.exe" oder "ipseccmd.exe". Der zu verwendende Befehl hängt vom Betriebssystem ab, das Sie konfigurieren.

• "%SUBNET%" steht für das Remote-IP-Subnetz, dem Sie den Zugriff ermöglichen möchten, z. B. 10.1.1.0.

• "%MASK%" steht für die zu verwendende Subnetzmaske, z. B. 255.255.255.0.
  
  Beispielsweise ermöglicht der folgende Befehl allen Hosts aus dem Subnetz 10.1.1.0/255.255.255.0, eine Verbindung zum Port TCP 135 herzustellen. Allen anderen Hosts wird durch die Standardblockierungsregel, die zuvor für diesen Port erstellt wurde, die Verbindung verweigert.

  %IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP Port 135 from 10.1.1.0 Rule" -f 10.1.1.0/255.255.255.0=0:135:TCP -n PASS

Optional: Zugriff auf den neuen dynamischen RPC-Portbereich für bestimmte Subnetze gewähren, falls der Zugriff benötigt wird

Jedes Subnetz, dem zuvor der Zugriff auf die RPC-Endpunktzuordnung gewährt wurde, sollte auch Zugriff auf alle Ports im neuen dynamischen RPC-Portbereich (5001-5021) erhalten.

Wenn Sie es Subnetzen ermöglichen, auf die RPC-Endpunktzuordnung, aber nicht auf den dynamischen Portbereich zuzugreifen, kann es vorkommen, dass die Anwendung nicht mehr reagiert oder sonstige Probleme auftreten.

Durch den folgenden Befehl erhält ein bestimmtes Subnetz Zugriff auf einen Port im neuen dynamischen RPC-Portbereich:

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP %PORT% from %SUBNET% Rule" -f %SUBNET%/%MASK%=0:%PORT%:TCP -n PASS

Hinweis Für diesen Befehl gilt Folgendes:

• "%IPSECTOOL%" steht für den zu verwendenden Befehl. Der genaue Befehl lautet entweder "ipsecpol.exe" oder "ipseccmd.exe". Der zu verwendende Befehl hängt vom Betriebssystem ab, das Sie konfigurieren.

• "%PORT%" steht für den Port im dynamischen Portbereich, auf den der Zugriff ermöglicht werden soll.

• "%SUBNET%" steht für das Remote-IP-Subnetz, dem Sie den Zugriff ermöglichen möchten, z. B. 10.1.1.0.

• "%MASK%" steht für die zu verwendende Subnetzmaske, z. B. 255.255.255.0.
  
  Beispielsweise ermöglicht der folgende Befehl allen Hosts aus dem Subnetz 10.1.1.0/255.255.255.0, eine Verbindung zum Port TCP 5001 herzustellen. Allen anderen Hosts wird durch die Standardblockierungsregel, die zuvor für diesen Port erstellt wurde, die Verbindung verweigert.

  %IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP Port 5001 from 10.1.1.0 Rule" -f 10.1.1.0/255.255.255.0=0:5001:TCP -n PASS

Hinweis Dieser Befehl sollte für jedes Subnetz und jeden Port im neuen dynamischen RPC-Portbereich wiederholt werden.

Zuordnen der IPsec-Richtlinie

Hinweis Die Befehle in diesem Abschnitt werden sofort wirksam.

Ordnen Sie die Richtlinie über den folgenden Befehl zu, nachdem Sie alle Blockierregeln und alle optionalen Zulassungsregeln für die konfigurierten RPC-Ports erstellt haben:

%IPSECTOOL% -w REG -p "Block RPC Ports" –x

Hinweis Mit dem folgenden Befehl können Sie die Zuordnung der Richtlinie sofort zurücknehmen:

%IPSECTOOL% -w REG -p "Block RPC Ports" –y

Hinweis Mit dem folgenden Befehl können Sie die Richtlinie aus der Registrierung löschen:

%IPSECTOOL% -w REG -p "Block RPC Ports" -o

Sie müssen den Host neu starten, damit die Änderungen wirksam werden.

Hinweise

• Die Änderungen der RPC-Konfiguration erfordern einen Neustart.

• Die Änderungen der IPsec-Richtlinie werden sofort wirksam und erfordern keinen Neustart.

Nach dem Neustart der Arbeitsstation oder des Servers wird allen RPC-Schnittstellen, die die Protokollsequenz "cacn_ip_tcp" verwenden und keinen bestimmten TCP-Port für die Bindung angeben, durch die RPC-Laufzeit ein Port aus diesem Bereich zugewiesen, wenn der RPC-Server gestartet wird.

Hinweis Der Server benötigt eventuell mehr als 20 TCP-Ports. Mit dem Befehl rpcdump.exe können Sie die Anzahl der RPC-Endpunkte zählen, die an einen TCP-Port gebunden sind, und diese Anzahl bei Bedarf erhöhen. Weitere Informationen zum Beziehen des Dienstprogramms "RPC Dump" finden Sie auf der folgenden Microsoft-Website:

http://www.microsoft.com/downloads/details.aspx?displaylang=en&familyid=9d467a69-57ff-4ae7-96ee-b18c4790cffd