☰

방화벽 없이 필터링된 RPC 연결

tag-icon • tag-icon windows-7 firewall tcp windows-domain rpc
방화벽 없이 필터링된 RPC 연결

PC1RPC(TCP/135)를 통해 도메인 컨트롤러와 통신할 수 없는 워크스테이션( )이 있습니다 .

C:\PortQryV2> portqry.exe -n 192.168.1.1 -p tcp -o 135

Querying target system called:

 192.168.1.1

Attempting to resolve IP address to a name...

IP address resolved to dc.domain.local

querying...

TCP port 135 <epmap service>: FILTERED

PC2동일한 서브넷 및 VLAN 에 있는 다른 워크스테이션( )에서 동일한 명령을 실행하면 LISTENING서버의 모든 RPC 엔드포인트와 함께 표시됩니다.

C:\>netsh int ipv4 show dynamicport tcp

Protocol tcp Dynamic Port Range
---------------------------------
Start Port      : 49152
Number of Ports : 16384

동적 포트 범위는 PC1및 에서 모두 동일합니다 PC2.

PC1및 둘 다 PC2Windows 7 Enterprise SP1을 실행하고 있습니다.

McAfee Host Intrusion Prevention(HIPS) 소프트웨어는 에 설치되어 있었지만 PC1문제 해결 프로세스 중에 제거되었습니다. 에 설치된 상태로 유지됩니다 PC2. PC1둘 다 PC2동일한 HIPS 정책을 사용했습니다.

현재 에서 Windows 방화벽이 비활성화되어 있습니다 PC1.

C:\>netsh advfirewall show allprofiles

Domain Profile Settings:
----------------------------------------------------------------------
State                                 OFF
Firewall Policy                       AllowInbound,AllowOutbound
LocalFirewallRules                    N/A (GPO-store only)
LocalConSecRules                      N/A (GPO-store only)
InboundUserNotification               Enable
RemoteManagement                      Disable
UnicastResponseToMulticast            Enable

Logging:
LogAllowedConnections                 Disable
LogDroppedConnections                 Disable
FileName                              %systemroot%\system32\LogFiles\Firewall\pfirewall.log
MaxFileSize                           4096


Private Profile Settings:
----------------------------------------------------------------------
State                                 OFF
Firewall Policy                       AllowInbound,AllowOutbound
LocalFirewallRules                    N/A (GPO-store only)
LocalConSecRules                      N/A (GPO-store only)
InboundUserNotification               Enable
RemoteManagement                      Disable
UnicastResponseToMulticast            Enable

Logging:
LogAllowedConnections                 Disable
LogDroppedConnections                 Disable
FileName                              %systemroot%\system32\LogFiles\Firewall\pfirewall.log
MaxFileSize                           4096


Public Profile Settings:
----------------------------------------------------------------------
State                                 OFF
Firewall Policy                       AllowInbound,AllowOutbound
LocalFirewallRules                    N/A (GPO-store only)
LocalConSecRules                      N/A (GPO-store only)
InboundUserNotification               Enable
RemoteManagement                      Disable
UnicastResponseToMulticast            Enable

Logging:
LogAllowedConnections                 Disable
LogDroppedConnections                 Disable
FileName                              %systemroot%\system32\LogFiles\Firewall\pfirewall.log
MaxFileSize                           4096

Ok.

portqry.exeWireshark를 사용하여 RPC 연결을 캡처 한 결과 TCP SYNDPU가 전송되었지만 ACK수신되지 않은 것으로 나타났습니다. TCP SYN이 두 번 더 전송되어 Wireshark에 [TCP Retransmission]. 나중에 Wireshark를 사용하여 도메인 컨트롤러에서 동일한 RPC 통신을 캡처했습니다. 들어오는 것을 보았지만 응답이 TCP SYN없었습니다 SYN ACK. 이는 도메인 컨트롤러가 이 포트에서 이 컴퓨터만 임의로 무시하는 것과 같습니다. Kerberos(UDP/88) 쿼리는 PC1.

또한 에서 TCP/IP 스택을 재구축하려고 시도했지만 PC1소용이 없었습니다.

무엇이 이 의사소통을 방해할 수 있는지에 대한 아이디어가 있습니까?

답변1

많은 문제 해결 후에 PC1외부 연결만 허용 TCP/135하고 TCP/1027연결이 안전한지 확인하는 Windows 방화벽 규칙이 활성화되어 있음을 확인할 수 있었습니다. ~ 안에고급 보안이 포함된 Windows 방화벽->인바운드 규칙, 의심되는 규칙 속성으로 들어갔습니다. 일반 탭의 작업 아래에서안전하다면 연결을 허용하세요선정되었습니다. 사용자 정의 화면에서인증되고 무결성이 보호된 경우 연결을 허용합니다.강조되었습니다. 해당 항목에 대한 설명은 다음과 같습니다.

Allow only connections that are both authenticated and integrity-protected 
by using IPsec.  Compatible with Windows Vista and later.

여기에 이미지 설명을 입력하세요

어떻게든 이 규칙은 도메인의 그룹 정책을 통해 설정되었습니다. 관리자가 이 규칙을 만들었을 가능성이 높습니다. 그러나 PC1이 통신이 필요한 에서 사용된 소프트웨어가 도메인 관리자 계정을 사용하여 설치된 경우 규칙을 생성했을 가능성이 있습니다 .

관련 정보