Gerekli tüm Etki Alanı Denetleyicisi Bağlantı Noktaları

Etki alanı denetleyicileri ağınızın hayati bir parçasıdır. Bunları korumak için güvenlik duvarının etkinleştirildiğinden ve yalnızca Etki Alanı Denetleyiciniz için gerekli bağlantı noktalarının açıldığından emin olmalısınız. Peki bunlar hangi limanlar?

Etki alanı denetleyicisinin birincil işlevi elbette Active Directory'dir. İstemcilerin AD ile iletişim kurabilmesi için güvenlik duvarında bazı bağlantı noktalarının açılması gerekir.

Bu yazımızda domain denetleyicisi için hangi portların gerekli olduğuna bakacağız.

Etki Alanı Denetleyicisi Bağlantı Noktaları

Yeni bir Etki Alanı Denetleyicisi yüklediğinizde Windows güvenlik duvarı otomatik olarak yapılandırılır. Active Directory'niz için gerekli tüm bağlantı noktaları otomatik olarak eklenir. Ancak örneğin ağınızı VLAN'larla bölümlere ayırmak istediğinizde, etki alanı denetleyiciniz ile istemciler arasında doğru bağlantı noktalarının açık olduğundan emin olmanız gerekir.

Öncelikle domain denetleyicinizde açmanız gereken portlara bir göz atalım:

* Windows 2012 veya üstünü çalıştırıyorsanız artık NetBIOS bağlantı noktalarına gerek yoktur. Netbios'un yerini SMB (Samba) aldı.

Active Directory PowerShell modülünü veya Active Directory Yönetim Merkezi'ni kullanmayı planlıyorsanız 9389 numaralı bağlantı noktasının da açık olduğundan emin olmanız gerekir.

Tavsiye

Etki Alanı Denetleyicisi Sağlık raporlama komut dosyamı da kontrol ettiğinizden emin olun.

İstemcilerle etki alanı denetleyicisi arasındaki iletişim için 49152-65535 RPC Bağlantı Noktası aralığı gereklidir. Bağlantı noktası numarası istemciye rastgele atanır. Aralığı bir kayıt defteri anahtarı aracılığıyla sınırlamak mümkündür, ancak bunu yapmanız gerçekten önerilmez çünkü istediğinizden daha fazlasını bozabilir.

Bağlantı Noktası 53 - DNS

Etki Alanı Adı Sistemi (DNS) iletişimi, TCP ve UDP bağlantı noktası 53 üzerinden gerçekleşir. DNS çözümlemesi, etki alanı denetleyicisinin konumu ve ad çözümlemesi için kritik öneme sahiptir.

Bağlantı Noktası 88 - Kerberos

Kerberos, Windows tarafından kullanılan bir kimlik doğrulama protokolüdür. TCP ve UDP bağlantı noktası 88'de çalışır. Etki alanı içinde güvenli kimlik doğrulama için gereklidir.

Bağlantı Noktası 123 -W32Time

Doğrudan etki alanı denetleyicisi işlemleriyle ilgili olmasa da, bağlantı noktası 123, ağdaki zaman senkronizasyonunun sürdürülmesinde çok önemli bir rol oynar. Tutarlı ve güvenli kimlik doğrulama ve erişim kontrolü sağladığından, BT ortamlarında, özellikle de Active Directory'de doğru zaman işleyişi çok önemlidir.

Bağlantı Noktası 135 - RPC Uç Nokta Eşleştiricisi

Bağlantı Noktası 135, çok sayıda Microsoft hizmeti tarafından kullanılan kritik bir istemci/sunucu bağlantı noktasıdır. Bu süreçte istemci, istenen hizmetin dinlediği dinamik bağlantı noktası aralığını belirlemek için ilk olarak 135 numaralı bağlantı noktasındaki RPC eşleyici hizmetine bağlanır. RPC eşleyicisi daha sonra bağlantı noktası bilgileriyle yanıt vererek istemcinin bir bağlantı kurmasına olanak tanır.

Bağlantı Noktası 389 - LDAP

Basit Dizin Erişim Protokolü (LDAP), TCP ve UDP bağlantı noktası 389'da çalışır. Temel LDAP sorguları ve dizin güncellemeleri için kullanılır. LDAP, Active Directory'nin omurgasıdır ve kullanıcı kimlik doğrulamasını ve dizin aramalarını kolaylaştırır.

Bağlantı Noktası 445 - KOBİ

SMB Protokolü için Bağlantı Noktası 445 kullanılır. Active Directory tarafından GPO bilgilerini almak için kullanılır. Bunun yanı sıra protokol dosya ve yazıcı paylaşımı için de kullanılıyor.

Bağlantı Noktası 636 - LDAP

Gelişmiş güvenlik için LDAPS (SSL üzerinden LDAP), TCP bağlantı noktası 636'da çalışır. LDAPS, etki alanı denetleyicileri arasında iletilen verileri şifreleyerek hassas bilgileri korur.

Bağlantı Noktası 3268/3269 - LDAP Küresel Kataloğu

LDAP Genel Kataloğunu sorgulamak için 3268 numaralı bağlantı noktaları ve 3269 numaralı güvenli sürüm (SSL kullanır) kullanılır.

Bağlantı Noktası 49152-65535 - RPC Geçici Bağlantı Noktaları

Bu aralıktaki bir bağlantı noktası, 135 numaralı bağlantı noktasında RPC Eşleyicisi ile ilk iletişimin ardından istemciye tahsis edilir.

ADFS Bağlantı Noktaları

Active Directory Federasyon Hizmetleri'ni (ADFS) kullanıyorsanız aşağıdaki bağlantı noktalarının da açık olduğundan emin olmanız gerekir:

Azure AD Connect veya Federasyon/WAP sunucuları kullanılırken Bağlantı Noktası 5985 gereklidir. Sertifika tabanlı kimlik doğrulama kullanılırken ADFS için 49443 numaralı bağlantı noktası gereklidir.

Kapanış

Etki alanı denetleyicinizdeki Windows Güvenlik Duvarı, Active Directory hizmetlerini yüklediğinizde varsayılan olarak doğru şekilde yapılandırılır. Etki alanı denetleyicinizde üçüncü taraf güvenlik duvarı kullanıyorsanız veya VLAN kullanmayı planlıyorsanız listelenen bağlantı noktalarının açık olduğundan emin olmanız gerekir.

Daha önce de belirtildiği gibi, NetBIOS bağlantı noktalarına artık gerçekten ihtiyaç duyulmuyor, bu nedenle bunları kullanan herhangi bir uygulamanız yoksa bunları engellemek daha iyidir.

Umarım bu makaleyi faydalı bulmuşsunuzdur, herhangi bir sorunuz varsa aşağıya yorum bırakmanız yeterli.