Cara mengkonfigurasi RPC menggunakan port tertentu dan untuk membantu mengamankan port tersebut dengan menggunakan IPsec

Pindah dan mengurangi rentang dinamis port RPC menggunakan RPCCfg.exe

Untuk memindahkan dan mengurangi rentang dinamis port RPC menggunakan RPCCfg.exe, ikuti langkah-langkah berikut:

1. Salin RPCCfg.exe ke server yang dikonfigurasi
   

2. Pada prompt perintah, ketik rpccfg.exe-pe 5001-5021 - d 0.
   Catatan Kisaran port ini dianjurkan untuk digunakan oleh RPC akhir karena Port dalam kisaran ini tidak mungkin akan dialokasikan untuk digunakan oleh aplikasi lainnya. Secara default, RPC menggunakan port kisaran 1024 5000 untuk mengalokasikan Port untuk akhir. Namun, Port dalam kisaran ini juga dinamis dialokasikan untuk digunakan oleh sistem operasi Windows untuk semua Windows soket aplikasi dan dapat habis server sangat digunakan seperti terminal server dan server tingkat menengah yang membuat banyak panggilan keluar ke sistem jarak jauh.
   
   Misalnya, saat Internet Explorer menghubungi server Web pada port 80, itu didengarkan port dalam kisaran 1024-5000 respons dari server. Tingkat menengah COM server yang membuat panggilan keluar ke server jauh lainnya juga menggunakan port dalam kisaran ini untuk membalas panggilan yang masuk. Memindahkan kisaran port yang menggunakan RPC untuk ke akhir 5001 port kisaran akan mengurangi kemungkinan bahwa Port ini akan digunakan oleh aplikasi lainnya.
   Untuk informasi selengkapnya tentang penggunaan port sementara di sistem operasi Windows, kunjungi situs Web Microsoft berikut ini.
   

   • Untuk Windows 2000:

     http://technet.microsoft.com/library/bb726981.aspx

   • Untuk Windows Server 2003:

     http://technet2.microsoft.com/WindowsServer/en/library/823ca085-8b46-4870-a83e-8032637a87c81033.mspx?mfr=true

Gunakan Kebijakan IPsec atau firewall untuk memblokir akses ke Port rentan di host yang terpengaruh

Di perintah di bagian berikut ini, teks apa pun yang muncul antara tanda persen (%) dimaksudkan mewakili teks di perintah yang harus dimasukkan oleh orang yang membuat kebijakan IPsec. Misalnya, di mana pun teks "% IPSECTOOL %" muncul, orang yang membuat kebijakan harus mengganti teks sebagai berikut:

• Untuk Windows 2000, gantilah "% IPSECTOOL %" dengan "ipsecpol.exe."

• Untuk Windows XP atau versi Windows yang lebih baru, gantilah "% IPSECTOOL %" dengan "ipseccmd.exe."
  
  

Untuk informasi selengkapnya tentang cara menggunakan IPsec untuk memblokir Port, klik nomor artikel berikut ini untuk melihat artikel di Pangkalan Pengetahuan Microsoft:

813878 cara memblokir Port dan protokol jaringan tertentu dengan menggunakan IPSec

Memblokir akses ke RPC Endpoint pemetaan untuk semua alamat IP

Untuk memblokir akses ke RPC Endpoint pemetaan untuk semua alamat IP, gunakan sintaks berikut ini.

Catatan Di Windows XP dan sistem operasi yang lebih baru, gunakan Ipseccmd.exe. Pada Windows 2000, gunakan Ipsecpol.exe (Windows 2000).

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Block Inbound TCP 135 Rule" -f *=0:135:TCP -n BLOCK

Catatan Jangan mengetik "% IPSECTOOL %" dalam perintah ini. "% IPSECTOOL %" dimaksudkan mewakili bagian perintah yang harus disesuaikan. Misalnya, di Windows 2000, ketik perintah berikut dari direktori yang berisi Ipsecpol.exe untuk memblokir semua akses masuk ke TCP 135:

ipsecpol.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 135 Rule" -f *=0:135:TCP -n BLOCK

Di Windows XP dan sistem operasi yang lebih baru, ketik perintah berikut dari direktori yang berisi Ipseccmd.exe untuk memblokir semua akses masuk ke TCP 135:

ipseccmd.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 135 Rule" -f *=0:135:TCP -n BLOCK

Memblokir akses ke kisaran dinamis port RPC untuk semua alamat IP

Untuk memblokir akses ke kisaran dinamis port RPC untuk semua alamat IP, gunakan sintaks berikut ini.

Catatan Di Windows XP dan sistem operasi yang lebih baru, gunakan Ipseccmd.exe. Pada Windows 2000, gunakan Ipsecpol.exe (Windows 2000).

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Block Inbound TCP %PORT% Rule" -f *=0:%PORT%:TCP -n BLOCK

Catatan Tidak ketik "IPSECTOOL %" atau "PORT %" perintah ini. "% IPSECTOOL %" dan "PORT %" dimaksudkan mewakili bagian dari perintah yang harus disesuaikan. Sebagai contoh, ketik perintah berikut pada Windows 2000 host untuk memblokir semua akses masuk ke TCP 5001:

ipsecpol.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 5001 Rule" -f *=0:5001:TCP -n BLOCK

Untuk memblokir semua akses masuk ke TCP 5001, ketik perintah berikut pada Windows XP tuan rumah dan host dari sistem operasi Windows yang lebih baru:

ipseccmd.exe -w REG -p "Block RPC Ports" -r "Block Inbound TCP 5001 Rule" -f *=0:5001:TCP -n BLOCK

Ulangi perintah ini untuk setiap RPC port yang harus diblokir dengan mengubah nomor port yang tercantum dalam perintah ini. Port yang harus diblokir berada dalam kisaran 5001 5021.

Catatan Jangan lupa untuk mengubah nomor port pada nama aturan (berganti - r ) dan filter (berganti -f ).

Opsional: Memberikan akses ke RPC Endpoint pemetaan untuk subnet tertentu jika akses diperlukan

Jika Anda harus memberikan akses subnet tertentu ke Port RPC terbatas, Anda harus terlebih dahulu memberikan akses subnet tersebut ke pemetaan Endpoint RPC yang Anda diblokir sebelumnya. Untuk memberikan akses khusus subnet RPC Endpoint pemetaan, gunakan perintah berikut ini:

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP 135 from %SUBNET% Rule" -f %SUBNET%/%MASK%=0:135:TCP -n PASS

Catatan Dalam perintah ini, pernyataan berikut ini:

• "% IPSECTOOL %" mewakili perintah untuk menggunakan. Perintah ini adalah "ipsecpol.exe" atau "ipseccmd.exe." Perintah yang digunakan bergantung pada sistem operasi yang Anda mengkonfigurasi.

• "SUBNET %" mewakili jauh subnet IP yang ingin Anda beri akses, misalnya, 10.1.1.0.

• "MASK %" mewakili subnet mask untuk menggunakan, misalnya, 255.255.255.0.
  
  Sebagai contoh, perintah berikut ini memungkinkan semua host dari 10.1.1.0/255.255.255.0 subnet untuk menyambung ke port TCP 135. Semua host akan memiliki koneksi mereka ditolak oleh aturan blok default yang dibuat sebelumnya untuk port ini.
  

  %IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP Port 135 from 10.1.1.0 Rule" -f 10.1.1.0/255.255.255.0=0:135:TCP -n PASS

Opsional: Memberikan akses ke kisaran dinamis port RPC baru untuk subnet tertentu jika akses diperlukan

Setiap subnet yang diberi akses ke RPC Endpoint pemetaan sebelumnya juga akan diberi akses ke semua Porta di kisaran dinamis port RPC baru (5001-5021).

Jika Anda mengaktifkan subnet untuk mencapai akhir RPC pemetaan tetapi tidak kisaran port dinamis, aplikasi dapat berhenti merespons, atau Anda mungkin mengalami masalah lain.

Perintah berikut ini memberikan akses subnet tertentu ke port dalam kisaran RPC dinamis port yang baru:

%IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP %PORT% from %SUBNET% Rule" -f %SUBNET%/%MASK%=0:%PORT%:TCP -n PASS

Catatan Dalam perintah ini, pernyataan berikut ini:

• "% IPSECTOOL %" mewakili perintah untuk menggunakan. Perintah ini adalah "ipsecpol.exe" atau "ipseccmd.exe." Perintah yang digunakan bergantung pada sistem operasi yang Anda mengkonfigurasi.

• "PORT %" mewakili port dalam kisaran dinamis port yang memberikan akses.

• "SUBNET %" mewakili jauh subnet IP yang ingin Anda beri akses, misalnya, 10.1.1.0.

• "MASK %" mewakili subnet mask untuk menggunakan, misalnya, 255.255.255.0.
  
  Sebagai contoh, perintah berikut ini memungkinkan semua host dari 10.1.1.0/255.255.255.0 subnet untuk menyambung ke port TCP 5001. Semua host akan memiliki koneksi mereka ditolak oleh aturan blok default yang dibuat sebelumnya untuk port ini.
  

  %IPSECTOOL% -w REG -p "Block RPC Ports" -r "Allow Inbound TCP Port 5001 from 10.1.1.0 Rule" -f 10.1.1.0/255.255.255.0=0:5001:TCP -n PASS

Catatan Perintah ini harus mengulangi untuk setiap subnet dan port dalam kisaran RPC dinamis port yang baru.

Tetapkan kebijakan IPsec

Catatan Perintah di bagian ini akan berlaku segera.

Setelah Anda membuat semua blok aturan dan semua opsional memungkinkan aturan dikonfigurasi RPC Port, tetapkan kebijakan dengan menggunakan perintah berikut ini:

%IPSECTOOL% -w REG -p "Block RPC Ports" –x

Catatan Untuk segera unassign kebijakan, gunakan perintah berikut ini:

%IPSECTOOL% -w REG -p "Block RPC Ports" –y

Catatan Untuk menghapus kebijakan dari registri, gunakan perintah berikut ini:

%IPSECTOOL% -w REG -p "Block RPC Ports" -o

Anda harus me-restart host agar perubahan diterapkan.

Catatan

• Perubahan konfigurasi RPC memerlukan mulai ulang.

• Perubahan kebijakan IPsec langsung berlaku dan tidak memerlukan mulai ulang.

Setelah workstation atau server dimulai ulang, antarmuka RPC apa pun yang menggunakan protokol ncacn_ip_tcp urutan dan tidak menetapkan TCP port khusus yang mengikat akan memiliki port yang dialokasikan dari kisaran ini dengan RPC runtime saat RPC server dimulai.

Catatan Server mungkin memerlukan lebih dari 20 port TCP. Anda dapat menggunakan perintah rpcdump.exe untuk menghitung jumlah akhir RPC yang dibatasi ke TCP port dan meningkatkan jumlah ini jika Anda harus. Untuk informasi selengkapnya tentang cara mendapatkan alat RPC Dump, kunjungi situs Web Microsoft berikut ini:

http://www.microsoft.com/downloads/details.aspx?displaylang=en&familyid=9d467a69-57ff-4ae7-96ee-b18c4790cffd