☰

Фильтрация RPC-соединения без использования брандмауэров

tag-icon • tag-icon windows-7 firewall tcp windows-domain rpc
Фильтрация RPC-соединения без использования брандмауэров

У меня есть рабочая станция ( PC1), которая не может связаться с контроллером домена по протоколу RPC (TCP/135).

C:\PortQryV2> portqry.exe -n 192.168.1.1 -p tcp -o 135

Querying target system called:

 192.168.1.1

Attempting to resolve IP address to a name...

IP address resolved to dc.domain.local

querying...

TCP port 135 <epmap service>: FILTERED

Выполнение той же команды на другой рабочей станции ( PC2) в той же подсети и VLAN отобразит LISTENINGвсе конечные точки RPC сервера.

C:\>netsh int ipv4 show dynamicport tcp

Protocol tcp Dynamic Port Range
---------------------------------
Start Port      : 49152
Number of Ports : 16384

Диапазон динамических портов одинаков для обоих PC1и PC2.

Оба PC1работают PC2под управлением Windows 7 Enterprise SP1.

Программное обеспечение McAfee Host Intrusion Prevention (HIPS) было установлено на , PC1но было удалено в процессе устранения неполадок. Оно остается установленным на PC2. Оба PC1и PC2использовали одну и ту же политику HIPS.

В настоящее время брандмауэр Windows отключен PC1.

C:\>netsh advfirewall show allprofiles

Domain Profile Settings:
----------------------------------------------------------------------
State                                 OFF
Firewall Policy                       AllowInbound,AllowOutbound
LocalFirewallRules                    N/A (GPO-store only)
LocalConSecRules                      N/A (GPO-store only)
InboundUserNotification               Enable
RemoteManagement                      Disable
UnicastResponseToMulticast            Enable

Logging:
LogAllowedConnections                 Disable
LogDroppedConnections                 Disable
FileName                              %systemroot%\system32\LogFiles\Firewall\pfirewall.log
MaxFileSize                           4096


Private Profile Settings:
----------------------------------------------------------------------
State                                 OFF
Firewall Policy                       AllowInbound,AllowOutbound
LocalFirewallRules                    N/A (GPO-store only)
LocalConSecRules                      N/A (GPO-store only)
InboundUserNotification               Enable
RemoteManagement                      Disable
UnicastResponseToMulticast            Enable

Logging:
LogAllowedConnections                 Disable
LogDroppedConnections                 Disable
FileName                              %systemroot%\system32\LogFiles\Firewall\pfirewall.log
MaxFileSize                           4096


Public Profile Settings:
----------------------------------------------------------------------
State                                 OFF
Firewall Policy                       AllowInbound,AllowOutbound
LocalFirewallRules                    N/A (GPO-store only)
LocalConSecRules                      N/A (GPO-store only)
InboundUserNotification               Enable
RemoteManagement                      Disable
UnicastResponseToMulticast            Enable

Logging:
LogAllowedConnections                 Disable
LogDroppedConnections                 Disable
FileName                              %systemroot%\system32\LogFiles\Firewall\pfirewall.log
MaxFileSize                           4096

Ok.

Я захватил соединение RPC с portqry.exeпомощью Wireshark и обнаружил, что TCP SYNDPU был отправлен, но не ACKполучен. TCP SYN был отправлен еще дважды, отображаясь в Wireshark как [TCP Retransmission]. Позже я захватил то же самое соединение RPC на контроллере домена с помощью Wireshark. Я видел входящий, TCP SYNно не видел SYN ACKответа. Это как будто контроллер домена произвольно игнорирует только этот компьютер только на этом порту. Обратите внимание, что запрос Kerberos (UDP/88) отлично работает из PC1.

Я также пробовал перестроить стек TCP/IP на PC1, но безрезультатно.

Есть ли идеи, что может мешать этому общению?

решение1

После долгих поисков и устранения неисправностей мне удалось определить, что в брандмауэре Windows было включено правило, которое разрешало только соединения извне PC1и TCP/135только TCP/1027в том случае, если соединение было защищено.Брандмауэр Windows с расширенной безопасностью->Входящие правила, я зашел в свойства подозрительного правила. На вкладке Общие, в разделе Действие,Разрешите соединение, если оно безопаснобыл выбран. На экране настройки,Разрешить соединение, если оно аутентифицировано и целостность защищена.был выделен. Описание этого элемента следующее:

Allow only connections that are both authenticated and integrity-protected 
by using IPsec.  Compatible with Windows Vista and later.

введите описание изображения здесь

Каким-то образом это правило было установлено через групповую политику в домене. Скорее всего, это правило создал администратор; однако возможно, что программное обеспечение, используемое на , PC1требующее этого взаимодействия, могло создать правило, если оно было установлено с использованием учетной записи администратора домена.

Связанный контент