（質問）
信頼関係を結んでいる二つのドメインで使用する動的ポートについて
信頼関係を結んでいる二つのドメイン間で開放する必要のある動的ポートについての質問です。
OS：Windows Server 2003及びWindows Server 2008 R2 SP1
Windows Server 2003のDC2台で管理されているドメインとWindows Server 2008 R2のDC2台で管理されているドメインが信頼関係（フォレストの信頼）を結んでいます。信頼関係は2008R2ドメイン内のファイルサーバーに2003DCに属するコンピュータから2003DCのアカウントでシングルサインオンでアクセスする用途のためだけに結んでいます。
下記のサイトを参照すると、ADで使用する動的ポートとしては2003では1024-65535を2008では49152-65535を使用するとのことですので、本環境では二つのバージョンの動的ポートを網羅するため以下のそれぞれの箇所にあるファイアウォールで1024-65535を解放している状況でした。
1.2003ドメインと2008R2ドメインの間
2.2003ドメイン内
3.2008R2ドメイン内
しかし、そうすると開放しているポートがあまりに広範囲となるため、ためしに以上の３つの地点で1024-65535を解放していたものを49152-65535に狭めたら、特にADの動作に問題はありませんでした。
これにより、信頼関係を結んでいる相手のファイルサーバにアクセスするだけの用途であれば2003で必要な1024-49151が開放されている必要はないのかもしれないと解釈しているのですが、このままの環境にしておいて何か想定される問題はありますでしょうか
ご回答頂けると大変うれしいです。
（回答）
●●●●です。
片方向のみへのアクセス、という意味での信頼でしょうか？リクツとしては2003側のRPCサービス(エンドポイントマッパからの2次接続)にアクセスしない、ということならこの設定で大丈夫だと思うのですが、本当にそれで問題ないかどうかは、実際に想定する操作を一通り行って確認した方がいいと思います。RPCがどのポートを使っているかは、portqryuiツールで確認できます。
http://support.microsoft.com/kb/832919/ja
RPCポートのせいでFWが全開になってしまうのがちょっと、ということなら、RPC2次ポート範囲を明示的に指定し、その範囲だけFWを通す、という対応はどうでしょうか。したの情報を参考に設定を行ってください。ただし、ポートの範囲は数百個は必要なので、そこは注意してください。
http://support.microsoft.com/kb/154596
(MSのプログ)
ドメイン環境で使用されるポートについて
(MSのページ)
Active Directory および Active Directory ドメイン サービスのポートの要件
（参考ページ）
http://www.infraexpert.com/study/tea5.htm
http://www.cman.jp/network/term/port.html
http://www.vwnet.jp/mura/PortNumbers/tcpip-port.asp
（過去ログ）
http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/529fa9f2-3b6e-4584-a87b-44f4ad6bbbd3/#43fcbc02-653b-49ed-afd4-7d27594f707c
http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/f6c6e5c1-0199-4244-89dc-f95ce3663250
http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/65ee97fc-fe41-4ae5-92d5-c387a5a9a166
[0回]
PR
