Windows Server дээр Firewall-ийн нийтлэг дүрмүүдийг хэрхэн тохируулах вэ?
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Галт хана (Firewall)-г идэвхжүүлэхээс өмнө бодлогын дүрмийн багц серверийн сүлжээний урсгалын шаардлагад нийцэж байгаа эсэхийг шалгана. Дүрмийн багцад Firewall модуль болон серверийн үйлдлийн системийн янз бүрийн бүрэлдэхүүн, серверт суулгасан программуудын ашигладаг шаардлагатай сүлжээний порт, протокол, үйлчилгээ орсон байх ёстой.
Тэмдэглэл: Портын дугаар оноогдсон нь тухайн программ, бүтээгдэхүүнийг баталгаажуулсан гэсэн үг биш. Бүртгэлтэй портоор сүлжээний урсгал орж гарч байгаа нь тэр урсгал «аюулгүй» гэсэн үг ч биш, оноогдсон үйлчилгээтэй заавал таарна гэсэн үг ч биш.
Галт хана болон системийн администраторууд системээ портын дугаар бүртгэлтэй эсэхээр биш, тухайн урсгалын талаарх өөрсдийн мэдлэгт тулгуурлан тохируулах ёстой.
Галт хана болон системийн администраторууд системээ портын дугаар бүртгэлтэй эсэхээр биш, тухайн урсгалын талаарх өөрсдийн мэдлэгт тулгуурлан тохируулах ёстой.
Галт ханыг идэвхжүүлэхээс өмнө системийн аюулгүй байдал, үйл ажиллагааны шаардлагыг харгалзан сүлжээний харилцааны аль хэлбэрийг зөвшөөрөх, хязгаарлахыг нарийвчлан үнэлж, дүрмээ тогтоохыг администраторуудад зөвлөдөг. Үүнд сервер болон түүн дээрх программуудад шаардлагатай харилцааны хэв маягийг үнэлэх хэсэг багтана.
Анхааруулга: Сегментчилсэн сүлжээнд сүлжээний холболт хийхийн тулд таны үзүүлж буй үйлчилгээнээс хамааран доорх дүрэм, протоколуудын нэг буюу хэд хэдийг зөвшөөрөх шаардлагатай байж болно. Портууд ирээдүйд өөрчлөгдөж болно, эсвэл үйлчилгээг өөр порт ашиглахаар тохируулсан байж болно. Тодорхой программуудад оноогдсон портуудын талаар дэлгэрэнгүйг IANA.org сайтаас үзнэ.
Microsoft Windows Server дээрх Microsoft-ийн клиент болон серверийн үйлдлийн систем, серверийн программууд, тэдгээрийн дэд бүрэлдэхүүнүүдийн ашигладаг сүлжээний порт, протокол, үйлчилгээний талаар дэлгэрэнгүйг энэ хуудаснаас үзнэ.
Microsoft Windows Server дээрх Microsoft-ийн клиент болон серверийн үйлдлийн систем, серверийн программууд, тэдгээрийн дэд бүрэлдэхүүнүүдийн ашигладаг сүлжээний порт, протокол, үйлчилгээний талаар дэлгэрэнгүйг энэ хуудаснаас үзнэ.
Доорх жагсаалтын дүрмүүд нь зөвлөмж юм. Өөрийн программд тохирох дүрмийг зөв сонгох нь чухал.
- Allow `svchost.exe` — Local port: 1024-65535; Remote port: Any; Protocol: UDP / TCP; Path:
%system%\svchost.exe; Direction: Both; системийн гарах урсгалыг зөвшөөрнө. - Allow `system` — Local port: 1024-65535; Remote port: Any; Protocol: UDP / TCP; Path:
system; Direction: Both; Windows-ийн дэд системд сүлжээний нөөцөд хандахыг зөвшөөрнө. - Allow `lsass` — Local port: 1024-65535; Remote port: 1024-65535; Protocol: TCP; Path:
%system%\lsass.exe; Direction: Both; Local Security Authority Subsystem Service (LSASS)-д сүлжээний нөөцөд хандахыг зөвшөөрнө. - Allow `spoolsv` — Local port: 1024-65535; Remote port: 53; Protocol: UDP / TCP; Path:
%system%\spoolsv.exe; Direction: Both; хэвлэх үйлчилгээ (printer spooler)-д сүлжээний нөөцөд холбогдохыг зөвшөөрнө. - Allow `explorer` — Local port: 1024-65535; Remote port: 53 / 135; Protocol: UDP / TCP; Path:
%windir%\explorer.exe; Direction: Both; хэвлэх үйлчилгээ (printer spooler)-д сүлжээний нөөцөд холбогдохыг зөвшөөрнө. - Allow `alg.exe` for DNS and on TCP protocol — Local port: 1024-65535; Remote port: 53; Protocol: UDP / TCP; Path:
%system%\alg.exe; Direction: Both; Application Layer Gateway Service-д сүлжээний нөөцөд хүрэхийг зөвшөөрнө. - Allow `mcx2prov` on the specific ports — Local port: 1024-65535; Remote port: 53; Protocol: UDP; Path:
%windir%\ehome\mcx2prov.exe; Direction: Both; MCX2 Provisioning сангийн урсгал (ихэвчлэн Microsoft Media Server-д хэрэглэгддэг)-д сүлжээний нөөцөд хандахыг зөвшөөрнө. - Allow `ehshell` on the specific ports. — Local port: 1024-65535; Remote port: 53; Protocol: UDP; Path:
%windir%\ehome\ehshell.exe; Direction: Both; MCX2 Provisioning сангийн урсгал (ихэвчлэн Microsoft Media Server-д хэрэглэгддэг)-д сүлжээний нөөцөд хандахыг зөвшөөрнө. - Allow `svchost.exe` for DNS — Local port: 53; Remote port: 1024-65535; Protocol: TCP; Path:
%system%\svchost.exe; Direction: Both; орох системийн урсгалыг зөвшөөрнө. - Allow `svchost` for DNS — Local port: 53; Remote port: 1024-65535; Protocol: UDP / TCP; Path:
%system%\svchost.exe; Direction: Both; орох DNS урсгалыг зөвшөөрнө. - Allow `svchost.exe` for DHCP — Local port: 67; Remote port: 68; Protocol: UDP; Path:
%system%\svchost.exe; Direction: Both; орох DHCP урсгалыг зөвшөөрнө. - Allow `svchost.exe` for DHCP — Local port: 68; Remote port: 67; Protocol: UDP; Path:
%system%\svchost.exe; Direction: Both; орох DHCP урсгалыг зөвшөөрнө. - Allow `lsass` for kerberos — Local port: 88; Remote port: 1024-65535; Protocol: Any; Path:
%system%\lsass.exe; Direction: Both; Local Security Authority Subsystem Service (LSASS)-д сүлжээний нөөцөд хандахыг зөвшөөрнө. - Allow `svchost` for NTP — Local port: 123; Remote port: 88; Protocol: UDP; Path:
%system%\svchost.exe; Direction: Both; орох NTP урсгалыг зөвшөөрнө. - Allow `svchost` for epmap — Local port: 135; Remote port: Any; Protocol: TCP; Path:
%system%\svchost.exe; Direction: Both; орох Microsoft EPMAP урсгалыг зөвшөөрнө. - Allow `system` for epmap — Local port: 135; Remote port: Any; Protocol: TCP; Path:
system; Direction: Both; орох DCE үйлчилгээний урсгалыг зөвшөөрнө. - Allow `system` for netbios-ns — Local port: 137; Remote port: 137; Protocol: UDP; Path:
system; Direction: Both; орох NETBIOS урсгалыг зөвшөөрнө. - Allow `system` for netbios-dgm — Local port: 138; Remote port: 138; Protocol: UDP; Path:
system; Direction: Both; орох NETBIOS Datagram үйлчилгээний урсгалыг зөвшөөрнө. - Allow `system` for netbios-ssn — Local port: 139; Remote port: Any; Protocol: TCP; Path:
system; Direction: Both; орох NETBIOS Session үйлчилгээний урсгалыг зөвшөөрнө. - Allow `system` for microsoft-ds — Local port: 445; Remote port: Any; Protocol: TCP; Path:
system; Direction: Both; орох Microsoft DS (Active Directory SMB) үйлчилгээний урсгалыг зөвшөөрнө. - Allow `svchost` for ISAKMP/IKE — Local port: 500; Remote port: 500; Protocol: UDP; Path:
%system%\svchost.exe; Direction: Both; ISAKMP/IKE урсгалыг зөвшөөрнө. - Allow `system` for ISAKMP/IKE — Local port: 500; Remote port: 1024-65535; Protocol: UDP; Path:
system; Direction: Both; ISAKMP/IKE урсгалыг зөвшөөрнө. - Allow `lsass` for L2F — Local port: 500; Remote port: 500; Protocol: UDP; Path:
%system%\lsass.exe; Direction: Both; Local Security Authority Subsystem Service (LSASS)-д сүлжээний нөөцөд хандахыг зөвшөөрнө. - Allow `svchost` for L2TP — Local port: 1701; Remote port: 1701; Protocol: UDP; Path:
%system%\svchost.exe; Direction: Both; L2TP урсгалыг зөвшөөрнө. - Allow `system` for NTP — Local port: 1701; Remote port: 1024-65535; Protocol: UDP; Path:
system; Direction: Both; L2TP урсгалыг зөвшөөрнө. - Allow `system` for pptp — Local port: 1723; Remote port: 1024-65535; Protocol: TCP; Path:
system; Direction: Both; PPTP урсгалыг зөвшөөрнө. - Allow `svchost` for and SSDP — Local port: 1900; Remote port: Any; Protocol: UDP; Path:
%system%\svchost.exe; Direction: Both; орох SSDP урсгалыг зөвшөөрнө. - Allow `svchost` for and qwave — Local port: 2177; Remote port: Any; Protocol: UDP / TCP; Path:
%system%\svchost.exe; Direction: Both; орох qWave урсгалыг зөвшөөрнө. - Allow RDP — Local port: 3389; Remote port: Any; Protocol: UDP; Path:
Any; Direction: Both; орох RDP урсгалыг зөвшөөрнө. - Allow `system` for ms-wbt-server — Local port: 3389; Remote port: 3389; Protocol: TCP; Path:
system; Direction: Both; орох RDP урсгалыг зөвшөөрнө. - Allow `svchost` for and dsc — Local port: 3390; Remote port: Any; Protocol: TCP; Path:
%system%\svchost.exe; Direction: Both; орох RDP урсгалыг зөвшөөрнө. - Allow `svchost` for and ipsec-nat-t — Local port: 4500; Remote port: 4500; Protocol: UDP; Path:
%system%\svchost.exe; Direction: Both; IPSEC NAT Traversal урсгалыг зөвшөөрнө. - Allow `system` for ipsec-nat-t — Local port: 4500; Remote port: 1024-65535; Protocol: UDP; Path:
system; Direction: Both; IPSEC NAT Traversal урсгалыг зөвшөөрнө.
Энэ хуудсанд гарсан нэр томъёо
- Network
- Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)