![在域上和 Internet 上打开哪些端口](https://linux22.com/image/505184/%E5%9C%A8%E5%9F%9F%E4%B8%8A%E5%92%8C%20Internet%20%E4%B8%8A%E6%89%93%E5%BC%80%E5%93%AA%E4%BA%9B%E7%AB%AF%E5%8F%A3.png)
我有一个 Web 服务器/数据库/域控制器。我注意到所有机器上的公用 IP 和专用 IP 上的端口 137 和 138 均已打开,0.0.0.0 上还有其他开放端口(即 135、2002)
我可以并且应该只关闭公共 IP 上的 137-139 吗?这会影响任何服务吗?
答案1
监听服务应该明确启用,而不是像大多数服务器上的核心服务那样隐式启用。如果您不需要端口 137、138 等,则禁用这些服务,这样它们就不会监听。谷歌搜索“禁用 TCP 上的 netbios”。您可以根据每个网络适配器禁用 netbios 服务。因此,一定要在 WAN 上禁用它们。
第一个谷歌结果:
http://www.petri.co.il/disable_netbios_in_w2k_xp_2003.htm
此外,如前所述,您应仅在 Web 服务器上公开监听,并且只监听您实际使用的端口。使用基于 Windows 主机的防火墙丢弃除 http(80)、https(443)、DNS(53)(UDP) 的 TCP 请求之外的所有内容。
另外,这个内部网络是您自己独有的吗?如果它与其他“专用”服务器客户或其他部门共享,您可能希望限制内部接口上源 IP 对任何 netbios、核心 windows 服务的访问。
答案2
这完全基于您提供的信息,我无法满足您描述之外的内容:
您应该锁定外部接口,以便唯一具有出站访问权限的机器是 Web 服务器,位于端口 80 和 443 上(如果您提供 SSL 页面)
如果您的内部 AD DNS 需要解析外部 DNS 条目,您可能还需要在它和 Web 之间打开端口 53。
澄清一下:您指的是 Windows 防火墙本身的锁定吗?如果是,请检查这些服务器和互联网链接之间的硬件防火墙上的设置。这是锁定网络流量的最常见位置,您无需在本地机器上重复这些规则。
不过要明确一点,你应该绝对限制 137-139 端口上的互联网访问。同时检查 445 端口!