windows server 2008 RPC dynamic ports

[Vincent17]

Ik zit hier met 200 clients en een windows server 2008. Hiertussen zit een firewall.Ik heb alle gangbare poorten open gezet op de firewall die nodig zijn voor clients om te communiceren met een domain controller. Wat ik niet voor elkaar krijg zijn de juiste poorten voor RPC verkeer.

Windows doet random poorten toewijzen voor RPC verkeer. In windows 2008 begint dat vanaf poort 49152.
Nou dacht ik dat het voorheen mogelijk was om in de registry aan te passen welke poorten hij precies gebruikt. Ik kan dergelijke documenten wel vinden voor windows 2003, maar deze sleutels in het registry komen niet overheen op windows 2008 servers.

Weet iemand hoe dit precies zit? Het lijkt mij vreemd om een hele range aan poorten open te zetten.

[_Arthur]

The default dynamic port range for TCP/IP has changed in Windows Vista and in Windows Server 2008: The default dynamic port range for TCP/IP has changed in Windows Vista and in Windows Server 2008

In dit KB artikel staat onder andere hoe je je RPC poorten kan configureren om een bepaalde range poorten te gebruiken.

Stukje uit de betreffende KB:

This command sets the dynamic port range for TCP. The start port is number, and the total number of ports is range. The following are sample commands:
netsh int ipv4 set dynamicport tcp start=10000 num=1000
netsh int ipv4 set dynamicport udp start=10000 num=1000
netsh int ipv6 set dynamicport tcp start=10000 num=1000
netsh int ipv4 set dynamicport udp start=10000 num=1000

Naast dit, zou ik dit document ook doorlezen: Service overview and network port requirements for the Windows Server system zodat je begrijpt wat je aanpast en welke services van rpc gebruik maken.

[Vincent17]

Het is dus daadwerkelijk nodig om een hele reeks aan poorten open te zetten?

Dit is niet onwenselijk vanuit security oogpunt?

[_Arthur]

Vincent17 schreef op donderdag 26 maart 2009 @ 08:42:
Het is dus daadwerkelijk nodig om een hele reeks aan poorten open te zetten?

255 poorten als minimum. Zoals je ook in de links had kunnen lezen.

Dit is niet onwenselijk vanuit security oogpunt?

Dan zet je ze toch alleen open vanaf een bepaalde range naar bepaalde ip-adressen?

[alt-92]

\o/ lang leve de Advanced Windows Firewall met ipsec policies \o/