Openstaande Poorten DC naar Memberserver

Een diepgaand overzicht van de essentiële netwerkpoorten in een Active Directory-omgeving

Belangrijkste Inzichten

• Essentiële Communicatiepoorten: DNS, Kerberos, LDAP, RPC, SMB en dynamische RPC-poorten vormen de kern van de communicatie.
• Veiligheid en Firewallconfiguratie: Het is cruciaal dat de juiste poorten bidirectioneel openstaan en dat strenge firewallreguleringen getroffen worden.
• Optionele en Aanvullende poorten: Global Catalog, LDAPS en aanvullende diensten kunnen extra poorten vereisen afhankelijk van specifieke configuraties.

Inleiding

In een Active Directory (AD)-omgeving is het cruciaal dat alle componenten op een veilige en efficiënte manier met elkaar communiceren. De domeincontroller (DC) fungeert als de centrale autoriteit voor authenticatie, autorisatie en algemene netwerkbeheertaken. Een memberserver, die lid is van het domein, moet toegang hebben tot specifieke diensten die door de DC worden aangeboden. Om deze communicatie goed te laten verlopen, moeten bepaalde netwerkpoorten openstaan tussen de DC en de memberserver.

In dit uitgebreide overzicht behandelen we de noodzakelijke en optioneel aanbevolen poorten, hun protocolstandaarden en de specifieke functies die ze vervullen. We zullen niet alleen de basiscommunicatiepoorten belichten, maar ook extra poorten die in bepaalde configuraties van belang kunnen zijn, naast details over firewallconfiguratie en de kritieke aandachtspunten die u in uw netwerkbeveiliging dient te implementeren.

Essentiële Poorten en Hun Functies

DNS (Domain Name System)

DNS is de hoeksteen van elk netwerk dat gebaseerd is op domeinnamen, waaronder Active Directory-omgevingen. De domeincontroller fungeert als een DNS-server die naamresolutie biedt voor zowel interne als externe resources. Hierdoor kunnen clients binnen het netwerk namen omzetten naar IP-adressen.

Poorten voor DNS

Zowel TCP als UDP op poort 53 moeten openstaan om de juiste werking van DNS mogelijk te maken. Terwijl UDP vaak wordt gebruikt voor de meeste query’s en snelle communicatie, zorgt TCP voor betrouwbaardere overdracht van grotere hoeveelheden data, zoals zone transfers.

Kerberos Authenticatie

Kerberos is het primaire authenticatieprotocol binnen Active Directory. Het biedt een veilig middel voor tickets en token-gebaseerde authenticatie, waardoor gebruikers en services kunnen verifiëren zonder herhaaldelijk wachtwoorden te hoeven verzenden over het netwerk.

Belangrijke Poorten voor Kerberos

Voor Kerberos-authenticatie moeten zowel TCP als UDP op poort 88 openstaan. Daarnaast is het belangrijk dat de communicatie rondom wachtwoordwijzigingen even soepel verloopt. Hiervoor is poort 464 (TCP en UDP) vereist, omdat dit specifiek bedoeld is voor Kerberos wachtwoordwijzigingen.

LDAP (Lightweight Directory Access Protocol)

Het LDAP-protocol fungeert als de ruggengraat voor directory-services binnen een AD-omgeving. Via dit protocol kunnen clients queries en updates uitvoeren op de directory, zoals het zoeken naar gebruikers, groepen en andere objecten.

LDAP Poorten

De primaire poort voor LDAP is 389, beschikbaar via zowel TCP als UDP. Indien u een versleutelde verbinding via SSL (LDAPS) wenst te implementeren, kan ook poort 636 (TCP) gebruikt worden, alhoewel dit optioneel is afhankelijk van uw beveiligingsbehoeften.

RPC (Remote Procedure Call)

RPC is een fundamentele methodologie voor interprocess-communicatie, die het mogelijk maakt om functies op afstand uit te voeren. Binnen een Active Directory-omgeving wordt RPC met name gebruikt voor de communicatie tussen de DC en andere leden in het netwerk, zoals voor groepsbeleidupgrades en softwaredistributie.

Noodzakelijke RPC Poorten

De standaardpoort voor RPC is 135 (TCP, soms UDP ook) voor de RPC Endpoint Mapper, die helpt bij het lokaliseren van services die op dynamische poorten draaien. Verder maakt RPC gebruik van een reeks dynamische poorten; in moderne Windows-versies, zoals vanaf Windows Server 2008 en Windows Vista, ligt dit bereik tussen TCP-poort 49152 tot 65535. Het correct configureren van deze poorten is van belang om te voorkomen dat essentiële AD-communicatie wordt geblokkeerd.

SMB (Server Message Block)

SMB vormt een essentieel protocol voor bestands- en printerdeling binnen netwerken, inclusief een verantwoordelijk rol in domeincommunicatie en groepsbeleid-updates. De DC gebruikt SMB voor taken zoals het naar clients pushen van beleidsupdates.

Verplichte SMB-poort

SMB opereert doorgaans op TCP poort 445, die zowel voor bestandsdeling als voor andere vormen van communicatie binnen een Windows-netwerk wordt ingezet. Het is cruciaal dat deze poort niet alleen lokaal maar ook bidirectioneel toegankelijk is binnen de AD-omgeving.

Dynamische RPC-Poorten

Naast de specifieke poorten voor de RPC Endpoint Mapper is het essentieel dat de dynamische RPC-poorten openstaan. Dit dynamische bereik zorgt ervoor dat wanneer een service op een willekeurige poort start, de communicatie niet wordt belemmerd.

Dynamische Range Details

Voor moderne Windows-omgevingen lopen deze poorten doorgaans van 49152 tot 65535. Bij oudere systemen, zoals Windows Server 2003 of Windows XP, kan dit bereik tussen 1025 en 5000 liggen. Het afstemmen van firewallregels op dit dynamische bereik is van essentieel belang voor een vlotte communicatie.

Optionele en Aanvullende Poorten

Afhankelijk van uw specifieke configuratie en de vereisten van uw netwerk, kunnen er aanvullende poorten van belang zijn. Deze extra poorten zorgen voor verbeterde beveiliging, meer functionaliteiten en betere integratie van aanvullende services binnen de Active Directory-omgeving.

Global Catalog Poorten

De Global Catalog (GC) is een cruciale component voor zoekopdrachten binnen een Active Directory-omgeving. Het biedt de mogelijkheid om gebruikers en groepen sneller te vinden, zelfs als de volledige directory niet doorzocht hoeft te worden.

Voor toegang tot de globale catalogus moeten meestal TCP poort 3268 openstaan, terwijl TCP poort 3269 gebruikt kan worden wanneer encryptie via SSL vereist is.

DNS Tijdssynchronisatie (NTP)

Tijdsynchronisatie in een netwerk is van groot belang om issues te vermijden met authenticatieprotocollen zoals Kerberos, die sterk afhankelijk zijn van nauwkeurige tijdsinformatie. UDP poort 123 wordt dan ook veelal door NTP (Network Time Protocol) gebruikt om de tijdsynchronisatie te garanderen tussen de DC, de memberserver en andere netwerkcomponenten.

Active Directory Web Services

In specifieke configuraties, vooral bij beheer op afstand en moderne toepassingen, kunnen poorten zoals TCP 9389 (voor Active Directory Web Services) een aanvullende rol spelen. Deze poort biedt ondersteuning aan bepaalde webgebaseerde services die integraal zijn voor de juiste werking van AD.

Overzicht in Tabelvorm

Om een helder overzicht te bieden van alle belangrijke en optionele poorten, volgt hieronder een tabel die de poortnummers, protocollen en hun functies samenvat:

Firewallconfiguratie en Beveiligingsoverwegingen

Het openstellen van de juiste poorten is slechts één aspect van het ontwerpen van een robuuste Active Directory-omgeving. Even belangrijk is de configuratie van firewalls die de toegang tot deze poorten beheren. In netwerkconfiguraties waar de domeincontroller en de memberserver in gescheiden subnetten of zelfs in DMZ’s (Demilitarized Zones) opereren, is het essentieel dat de firewallreguleringen zorgvuldig worden ingericht.

Bidirectionele Toegang

Ten eerste is het van belang dat de poorten zowel intern als extern in beide richtingen beschikbaar zijn. Dit betekent dat in- en uitgaand verkeer op deze poorten niet gefilterd of geblokkeerd mag worden, tenzij er specifieke beveiligingsmaatregelen zijn getroffen die communication tunneling of VPN’s vereisen.

Beveiligingsrichtlijnen

Er dienen strikte beleidsregels te gelden, met name:

• Alle essentiële poorten moeten exclusief binnen het interne netwerk beschikbaar worden gesteld en nooit direct blootgesteld worden aan het internet.
• In omgevingen met strikte segmentatie, zoals bij scheiding tussen productie- en bedrijfssystemen, kunnen extra tunneling of VPN-oplossingen vereist zijn om de integriteit van de communicatie te garanderen.
• Regelmatige audits van firewallregels en monitoring van netwerkverkeer zijn noodzakelijk voor het vroegtijdig detecteren van ongeautoriseerde toegang of anomalieën.

Deze maatregelen helpen ervoor te zorgen dat uw AD-communicatie niet alleen functioneel is, maar ook veilig tegen externe bedreigingen en interne fouten.

Specifieke Implementatie Scenario's

In de praktijk kan de exacte poortconfiguratie enigszins variëren op basis van het netwerkontwerp en de architectuur van uw organisatie. Hier zijn enkele scenario's die u in overweging kunt nemen:

Standaard Configuratie

In een standaard Active Directory-omgeving, waar de domeincontroller en de memberserver in dezelfde lokale netwerksegmenten zitten, moet u de eerder genoemde poorten openstellen zonder noodzaak voor extra aanpassingen. Dit omvat de essentiële poorten voor DNS, Kerberos, LDAP, RPC, SMB en dynamische RPC-poorten.

Segmentatie en DMZ's

Wanneer uw infrastructuur gebruik maakt van netwerksegmentatie of de memberservers zich in een DMZ bevinden, is extra aandacht vereist. In zulke gevallen wordt de communicatie vaak beschermd door aanvullende firewallregels. Toegang tot noodzakelijke poorten moet beperkt worden door IP-adres restricties, en indien mogelijk moeten VPN-verbindingen of tunnelingmethoden worden ingezet.

Legacy Omgevingen

In oudere of legacy omgevingen waarin verouderde systemen zoals Windows Server 2003 of Windows XP nog operationeel zijn, bestaat er een kans dat er aanvullende legacy poorten worden gebruikt, waaronder poorten voor NetBIOS. Hierbij zijn:

• UDP poort 137 – Naamservices
• UDP poort 138 – Datagram services
• TCP poort 139 – Sessies

Zeker wanneer moderne volledig functionerende opstellingen binnen Active Directory verwacht worden, zou het gebruik van FQDN's (fully qualified domain names) deze legacy vereisten kunnen elimineren. Toch is het van belang deze opties te testen in omgevingen waar oudere systemen nog actief zijn.

Aanvullende Overwegingen

Naast het openstellen van de bovengenoemde poorten is het noodzakelijk om de communicatie binnen een volledig beheerd en gecontroleerd netwerk te plaatsen. Enkele voorbereidende stappen om rekening mee te houden:

Monitoring en Logging

Het implementeren van monitoring tools en logging systemen is van vitaal belang voor de veiligheid en performance van uw netwerk. Door regelmatig het verkeer te monitoren dat op deze poorten plaatsvindt, kunnen afwijkingen in het netwerkverkeer snel gedetecteerd worden. Dit is essentieel voor het identificeren van mogelijke beveiligingsincidenten voordat deze ernstige schade veroorzaken.

Tools en Methodologieën

Het gebruik van netwerk monitoring tools, zoals SIEM (Security Information and Event Management), gecombineerd met inbraakdetectiesystemen (IDS) en inbraakpreventiesystemen (IPS), kan helpen om verdachte activiteiten te signaleren. Het loggen van alle toegangspogingen, succesvolle als falende, biedt daarnaast waardevolle inzichten die van cruciaal belang zijn tijdens incidentresponse en forensisch onderzoek.

Configuratie van Firewallbeleid

Het instellen van firewallregels moet zorgvuldig gebeuren, met gedetailleerde policies die zowel de inkomende als uitgaande communicatie op de relevante poorten toestaan. Dit wordt vergezeld door:

• Het definiëren van toegestane IP-adressen en netwerksegmenten.
• Het gebruik van stateful inspection voor het controleren van het netwerkverkeer.
• Het implementeren van time-outs op dynamische RPC-poorten om langdurige verbindingen die niet actief zijn te beëindigen.

Door deze stappen te volgen, verzekert u dat alleen legitiem verkeer toegankelijk is en dat er een maximale bescherming is tegen ongeautoriseerde toegang.

Beheer van Dynamische Poorten

Omdat de dynamische RPC-poorten een breed bereik beslaan, is het belangrijk dat deze goed worden beheerd. Dit kan worden bereikt door:

• Het toewijzen van een specifiek bereik binnen de dynamische poorten aan de Active Directory-services, zodat de firewallregels gericht kunnen worden ingesteld.
• Configuratiemogelijkheden in Windows (via groepsbeleid of registerinstellingen) gebruiken om het bereik waar nodig te beperken volgens de behoeften van de organisatie.

Samenvatting en Best Practices

Om effectief de communicatie tussen een domeincontroller en een memberserver in een Active Directory-omgeving te waarborgen, is het cruciaal dat de volgende poorten correct worden geconfigureerd en openstaan:

• DNS: TCP/UDP 53 voor naamresolutie en zone transfers.
• Kerberos: TCP/UDP 88 voor authenticatie en TCP/UDP 464 voor wachtwoordwijzigingen.
• RPC: TCP/UDP 135 voor de endpoint mapper, plus een dynamisch bereik (49152-65535 op moderne systemen).
• LDAP: TCP/UDP 389 voor directory services en optioneel TCP 636 voor LDAPS.
• SMB: TCP 445 voor bestands- en domeincommunicatie.
• NTP: UDP 123 voor nauwkeurige tijdssynchronisatie (optioneel maar aanbevolen).
• Global Catalog: TCP 3268 (en optioneel TCP 3269 voor SSL).
• Active Directory Web Services: TCP 9389 (indien van toepassing).

Daarnaast is het in legacy configuraties mogelijk dat extra poorten (zoals voor NetBIOS: UDP 137, UDP 138, en TCP 139) een rol gaan spelen. Beheerders dienen deze dus alleen te activeren indien de situatie dit vereist, en indien FQDN's (fully qualified domain names) niet gebruikt worden.

Het hanteren van een geïntegreerde benadering, waarbij de configuratie van firewallregels, monitoring en logging centraal staat, zorgt voor een veilige en betrouwbare Active Directory-omgeving. Het is aanbevolen om regelmatig de documentatie en configuratie van uw netwerk te herzien, omdat zowel software-updates als veranderende bedrijfsbehoeften tot nieuwe eisen in netwerkcommunicatie kunnen leiden.

Conclusie

In deze uitgebreide analyse hebben we de noodzakelijke poorten besproken die open moeten zijn voor een correcte en veilige communicatie tussen een domeincontroller en een memberserver binnen een Active Directory-omgeving. Voor standaard configuraties moet men DNS (53), Kerberos (88 en 464), LDAP (389, optioneel 636), RPC (135 en dynamische RPC-poorten 49152-65535), SMB (445) en, indien nodig, NTP (123) openstellen. Daarnaast biedt het openstellen van Global Catalog poorten (3268/3269) en Active Directory Web Services (9389) extra functionaliteit voor specifieke scenarios.

Het inrichten van een veilige netwerkcommunicatie vereist nauwkeurige firewallregels, bidirectionele toegang en continue monitoring. Beheerders dienen waakzaam te blijven over de mogelijke risico’s en regelmatig de configuratie te herzien om zich aan te passen aan nieuwe eisen en beveiligingsbedreigingen. Het uiteindelijke doel is een robuust en betrouwbaar netwerk dat zowel efficiënt als beveiligd communiceert.

Referenties

• Active Directory Domain Controller to Client Requirements - Microsoft
• TCP and UDP Ports for Active Directory Communication - Microsoft
• Domain Controller Ports Overview - Lazy Admin
• Ports Required for Active Directory and PKI - SSL Insights
• Active Directory Ports - Cloud Infrastructure Services
• Configuring Firewalls for AD Domains and Trusts - Microsoft Troubleshoot
• Service Overview and Network Port Requirements - Microsoft
• Which Ports Should Be Opened from Domain Controller to Client? - Spiceworks
• Active Directory Ports Used: Client to Server - Active Directory Pro
• Firewall Ports for Active Directory Domain Join - Essington ITs

Aanbevolen Vragen voor Verdere Verkenning

Hoe configureer ik firewallregels voor Active Directory?

Wat zijn de beste practices voor RPC en dynamische poorten in Windows?

Hoe optimaliseer ik tijdsynchronisatie in Active Directory-netwerken?

Wanneer en waarom moet ik Global Catalog poorten openstellen?

Wat zijn de risico's van NetBIOS in moderne netwerken?