动态RPC端口是如何运作的呢?以MAIP客户端与Exchange Server之间的通信为例来说:如图2-1所示,客户端Outlook先连接Exchange Server的RPC Endpoint Mapper (RPC Locator Services,TCP端口135);RPC Endpoint Mapper再通知客户端应该要连接的端口(它是动态的,范围在1024~65535之间),客户端Outlook 再连接Exchange Server的这个动态端口。
![](https://i-blog.csdnimg.cn/blog_migrate/25393972f0f1b02e8e02f2897f022117.png)
Active Directory数据库的复制、outlook(MAPI客户端)与Exchange Server之间的通信、文件复制服务(File Replication Service ,FRS)、分布式文件系统(Distributed File System ,DFS)等默认都是使用动态RPC端口,也就是没有固定端口,这将造成在防火墙设置的难度。还好动态RPC端口可以被限制在一个较小的范围内,因此只要在防火墙上开放这段范围的端口即可。(微软的ISA 防火墙可以很好支持RPC动态端口,无需管理员限制RPC端口是范围)
1、限制所有服务的动态RPC端口
以下介绍如何将计算机所有使用的动态端口限制在指定的范围内。建议从端口号5000开始,因为很多应用程序都用使用RPC端口,因此建议至少包含20个以上的端口。端口号最大为65535
我们需要修改注册表的方式来将动态RPC端口限制在指定范围内。到要限制动态RPC端口范围的计算机上运行注册表编辑程序REGEDIT.EXE,然后通过以下路径来设置:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Rpc
步骤1:在上述路径下添加一个名为Internet的项
步骤2:请在Internet的项之下添加如下三个数值
数值名称<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />
|
数据类型
|
数值
|
Ports
|
REG_MULTI_SZ(
多字符串值
)
|
自定义,例如
5000
~
5020
|
PortsInternetAvailable
|
REG_SZ(
字符串值
)
|
Y
|
UseInternetPorts
|
REG_SZ(
字符串值
)
|
Y
|
步骤3:完成修改后,重新启动计算机,检查计算机内所有用到动态RPC端口的程序,是否都会使用5000~5020之间的端口
C:\> netstat –n
2、限制Active Directory数据库复制使用指定的静态端口
若域功能级别不是windows Server 2008,则同一个域的域控制器之间在复制SYSVOL文件夹时,会使用FRS(File Replication Service).FRS默认使用动态RPC端口,但是我可以指定一个静态端口。到域控制器上运行注册表比编辑程序REGEDIT.EXE,然后通过以下路径来设置:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
在上述路径添加一个如下表所示的数值,我们将端口号设置为45678,注意此端口不可以与其他服务所使用的端口相同.完成后重新启动。以后这台域控制器的FRS服务所使用的端口将会是45678.
数值名称
|
数据类型
|
数值
|
RPC TCP/IP Port Assignment
|
REG_DWORD
|
自定义,例如
45678
|
3、限制FRS使用指定的静态端口
若域功能级别为Windows Server 2008,则Windows Server 2008域控制器之间在复制SYSVOL文件夹时需要利用DFS复制服务,而DFS也是采用动态RPC端口,但是我们可以使用DFSRDIAG.EXE程序来将其设置到一个静态端口。到域控制器上打开命令提示符,然后执行以下命令:
C:\> dfsrdiag staticRPC /port:34567
注意:此端口不可以与其他服务所用的端口相同。完成后,重新起动这台域控制器,以后DFS复制服务所使用的端口为34567.
附注:Microsoft从Windows Server 2003 R2开始提供此程序。
转载于:https://blog.51cto.com/shangwen/252376