Настройка динамического назначения портов удаленного вызова процедур для взаимодействия с брандмауэром.
Внимание! Статья содержит сведения о внесении изменений в системный реестр. Перед внесением изменений рекомендуется создать архивную копию системного реестра и изучить процедуру его восстановления. Дополнительные сведения об архивации, восстановлении и изменении реестра см. в следующей статье базы знаний Майкрософт: Описание реестра Microsoft Windows
Аннотация Динамическое назначение портов удаленного вызова процедур (RPC) используется приложениями удаленного администрирования, например диспетчером протокола динамической конфигурации хоста (DHCP), диспетчером службы Интернет-имен для Windows (WINS) и т. п. Динамическое назначение портов RPC позволяет приложению RPC использовать определенный случайный порт с номером выше 1024.
При использовании брандмауэров может возникнуть необходимость в точном указании портов, используемых RPC, чтобы маршрутизатор брандмауэра можно было настроить на перенаправление только этих TCP-портов.
Следующие параметры реестра относятся к Windows NT 4.0 и более поздним версиям системы и не применимы к предыдущим версиям Windows NT. Несмотря на то что можно настроить порт, используемый клиентом, на подключение к серверу, клиент должен иметь возможность связаться с сервером с помощью действительного IP-адреса. Использование DCOM с брандмауэрами, осуществляющими преобразование сетевых адресов (например, клиент подключается к виртуальному адресу 198.252.145.1, который брандмауэр сопоставляет с реальным адресом сервера, допустим, 192.100.81.101), не допускается, потому что DCOM сохраняет IP-адреса в конвертах упакованных параметров интерфейса. Если клиенту не удается подключиться к адресу, указанному в конверте, адрес не работает.
Дополнительные сведения содержатся в документе Майкрософт Using Distributed COM with Firewalls (на английском языке). Для этого посетите веб-узел корпорации Майкрософт по адресу:
Дополнительная информация Параметры (и разделы Интернета), рассматриваемые ниже, не заносятся в реестр; их следует добавить вручную с помощью редактора реестра. Также следует иметь в виду, что для добавления параметра REG_MULTI_SZ необходимо использовать Regedt32.exe, а не Regedit.exe.
Предупреждение. Неправильное изменение параметров системного реестра с помощью редактора реестра или любым иным путем может привести к серьезным неполадкам, требующим переустановки операционной системы. Корпорация Майкрософт не гарантирует устранения этих неполадок. Ответственность за изменение реестра лежит на пользователе.
С помощью редактора реестра можно изменить следующие параметры для RPC. Перечисленные ниже параметры для RPC-портов находятся в следующем разделе реестра: HKEY_LOCAL_MACHINE\Software\Microsoft\Rpc\Internet\ Key Data Type
Ports REG_MULTI_SZ
Определяет диапазон IP-портов, состоящий либо из всех портов, доступных в Интернете, либо из всех портов, не доступных в Интернете. Каждая строка представляет собой отдельный порт либо диапазон портов. Например, отдельный порт может быть представлен строкой 5984, а диапазон портов – строкой 5000-5100. Если номер порта лежит за пределами диапазона 0 - 65535, либо в случае невозможности интерпретации строки исполняемый модуль RPC расценивает всю конфигурацию как недопустимую.
PortsInternetAvailable REG_SZ Y или N (без учета регистра)
При значении Y порты, перечисленные в разделе Ports, являются портами, доступными для данного компьютера в Интернете. При значении N порты, перечисленные в разделе Ports, являются портами, не доступными для данного компьютера в Интернете.
UseInternetPorts REG_SZ ) Y или N (без учета регистра)
Определяет системную политику по умолчанию.
При значении Y для процессов, использующих политику по умолчанию, назначаются порты из диапазона портов, доступных в Интернете, в соответствии с вышесказанным.
При значении N для процессов, использующих политику по умолчанию, назначаются порты из диапазона портов локальной сети.
Пример:
1. Добавьте раздел Интернета в следующий раздел: HKEY_LOCAL_MACHINE\Software\Microsoft\Rpc 2. В разделе Интернета добавьте параметры "Ports" (MULTI_SZ), "PortsInternetAvailable" (REG_SZ) и "UseInternetPorts" (REG_SZ).
В данном примере используются порты с 5000 по 5100 включительно, и новые параметры реестра будут выглядеть следующим образом:
Ports: REG_MULTI_SZ: 5000-5100 PortsInternetAvailable: REG_SZ: Y UseInternetPorts: REG_SZ: Y
3. Перезагрузите сервер. Все приложения, использующие динамическое назначение портов RPC, будут использовать порты с 5000 по 5100 включительно. В большинстве окружений должно быть открыто как минимум 100 портов, поскольку несколько системных служб используют эти RPC-порты для связи друг с другом.
Следует указывать диапазон портов с номерами, превышающими 5000. Порты с номерами менее 5000 могут уже использоваться другими приложениями, что может привести к конфликту с приложениями DCOM. Более того, опыт показывает, что должно быть открыто как минимум 100 портов, поскольку несколько системных служб используют эти RPC-порты для связи друг с другом.
Примечание. Минимальное число портов может быть различным в зависимости от конфигурации компьютера.
Дополнительные сведения содержатся в следующих статьях базы знаний Майкрософт:
Сетевые порты, которые используются службой удаленной справки (эта ссылка может указывать на содержимое полностью или частично на английском языке)
Настройка брандмауэра для установления доверительных отношений между доменами
Windows 2000 NAT не преобразует трафик Netlogon (эта ссылка может указывать на содержимое полностью или частично на английском языке)
Устройства преобразования сетевых адресов (NAT) блокируют трафик Netlogon (эта ссылка может указывать на содержимое полностью или частично на английском языке)
Назначение статического порта для трафика репликации FRS (Эта ссылка может указывать на содержимое полностью или частично на английском языке.)
В Windows Server 2003 для выполнения действий, описанных в данной статье, можно использовать средство настройки RPC (RPCCfg.exe) из состава Windows Server 2003 Resource Kit. Чтобы загрузить средство настройки RPC (RPCCfg.exe), посетите веб-узел Майкрософт по адресу:
Информация в данной статье применима к: • Microsoft Windows Server 2003 64-bit Enterprise Edition • Microsoft Windows Server 2003, Datacenter Edition for 64-Bit Itanium-Based Systems • Microsoft Windows Server 2003 Standard Edition • Microsoft Windows Server 2003 Enterprise Edition • Microsoft Windows Server 2003 Datacenter Edition • Операционная система Microsoft Windows 2000 Professional • операционная система Microsoft Windows 2000 Server • Microsoft Windows 2000 Advanced Server • Microsoft Windows 2000 Datacenter Server • Microsoft Windows NT Server 4.0 Standard Edition
