Todos los puertos de controlador de dominio necesarios
Los controladores de dominio son una parte vital de su red. Para protegerlos, debe asegurarse de que el firewall esté habilitado y que solo estén abiertos los puertos necesarios para su controlador de dominio. ¿Pero qué puertos son esos?
La función principal del controlador de dominio es, por supuesto, Active Directory. Para que los clientes puedan comunicarse con el AD, es necesario abrir algunos puertos en el firewall.
En este artículo, veremos qué puertos son necesarios para el controlador de dominio.
Puertos del controlador de dominio
El firewall de Windows se configura automáticamente cuando instala un nuevo controlador de dominio. Todos los puertos necesarios para su Active Directory se agregan automáticamente. Pero cuando, por ejemplo, desee segmentar su red con VLAN, deberá asegurarse de que estén abiertos los puertos correctos entre su controlador de dominio y los clientes.
Primero echemos un vistazo a los puertos que necesita abrir en su controlador de dominio:
| Port | Protocol | Service |
|---|---|---|
| 53 | TCP/UDP | DNS |
| 88 | TCP/UDP | Kerberos authentication |
| 123 | UDP | W32Time |
| 135 | TCP | RPC Endpoint Mapper |
| 137/138 * | UDP | NetBIOS |
| 139 * | TCP | NetBIOS |
| 389 | TCP/UDP | LDAP |
| 445 | TCP | SMB |
| 464 | TCP/UDP | Kerberos password change |
| 636 | TCP | LDAP SSL |
| 3268/3269 | TCP | LDAP Global Catalog / LDAP GC SSL |
| 49152-65535 | TCP | RPC Ephemeral Ports |
* Si ejecuta Windows 2012 o superior, los puertos NetBIOS ya no son necesarios. Netbios se reemplaza por SMB (Samba).
Si planea utilizar el módulo Active Directory PowerShell o el Centro administrativo de Active Directory, deberá asegurarse de que el puerto 9389 también esté abierto.
Consejo
Asegúrese de consultar también mi script de informes sobre el estado del controlador de dominio.
El rango de puerto RPC de 49152-65535 es necesario para la comunicación entre los clientes y el controlador de dominio. El número de puerto se asigna aleatoriamente al cliente. Es posible limitar el rango mediante una clave de registro, pero en realidad no se recomienda hacerlo porque podría romperse más de lo deseado.
Puerto 53 - DNS
La comunicación del Sistema de nombres de dominio (DNS) se realiza a través del puerto 53 TCP y UDP. La resolución de DNS es fundamental para la ubicación del controlador de dominio y la resolución de nombres.
Puerto 88 - Kerberos
Kerberos es un protocolo de autenticación utilizado por Windows. Opera en el puerto 88 TCP y UDP. Es esencial para una autenticación segura dentro del dominio.
Puerto 123 -W32Hora
Si bien no está directamente relacionado con las operaciones del controlador de dominio, el puerto 123 desempeña un papel crucial en el mantenimiento de la sincronización del tiempo en una red. El cronometraje preciso es esencial en los entornos de TI, especialmente en Active Directory, ya que garantiza una autenticación y un control de acceso consistentes y seguros.
Puerto 135: asignador de puntos finales RPC
El puerto 135 es un puerto cliente/servidor crítico utilizado por numerosos servicios de Microsoft. En este proceso, el cliente se conecta inicialmente al servicio de mapeador RPC en el puerto 135 para determinar el rango de puertos dinámicos en el que escucha el servicio deseado. Luego, el asignador RPC responde con la información del puerto, lo que permite al cliente establecer una conexión.
Puerto 389 - LDAP
El protocolo ligero de acceso a directorios (LDAP) opera en el puerto TCP y UDP 389. Se utiliza para consultas LDAP básicas y actualizaciones de directorios. LDAP es la columna vertebral de Active Directory y facilita la autenticación de usuarios y las búsquedas en directorios.
Puerto 445 - PyME
El puerto 445 se utiliza para el protocolo SMB. Lo utiliza Active Directory para obtener información de GPO. Además de eso, el protocolo también se utiliza para compartir archivos e impresoras.
Puerto 636 - LDAP
Para mayor seguridad, LDAPS (LDAP sobre SSL) opera en el puerto TCP 636. LDAPS cifra los datos transmitidos entre controladores de dominio, salvaguardando la información confidencial.
Puerto 3268/3269 - Catálogo global LDAP
Los puertos 3268 y la versión segura 3269 (que usa SSL) se utilizan para consultar el catálogo global LDAP.
Puerto 49152-65535 - Puertos efímeros RPC
Un puerto en este rango se asigna al cliente después del contacto inicial con RPC Mapper en el puerto 135.
Puertos ADFS
Si está utilizando Servicios de federación de Active Directory (ADFS), deberá asegurarse de que los siguientes puertos también estén abiertos:
| Port | Protocol | Service |
|---|---|---|
| 80 | TCP/UDP | HTTP |
| 443 | TCP/UDP | HTTPS |
| 5985 | TCP/UDP | WinRM Listener |
| 49443 | TCP | Active Directory Federations Services (ADFS) |
El puerto 5985 es necesario cuando se utilizan servidores Azure AD Connect o Federation/WAP. El puerto 49443 es necesario para ADFS cuando se utiliza la autenticación basada en certificados.
Terminando
El Firewall de Windows en su controlador de dominio está configurado correctamente de forma predeterminada cuando instala los servicios de Active Directory. Si está utilizando un firewall de terceros en su controlador de dominio o planea usar VLAN, deberá asegurarse de que los puertos enumerados estén abiertos.
Como se mencionó, los puertos NetBIOS ya no son necesarios, por lo que es mejor bloquearlos si no tienes ninguna aplicación que los use.
Espero que este artículo te haya resultado útil. Si tienes alguna pregunta, deja un comentario a continuación.