必须开放TCP/UDP 53、88，TCP 389/636/445，TCP 135+49152–65535，UDP 123等端口并限制远程IP为可信DC或管理网段，RPC需覆盖动态端口范围，多DC环境须双向配置且禁用非必要端口。
要让ad域控制器之间正常通信，防火墙必须放行关键服务端口，不能只靠“开放全部域控流量”这种模糊操作。核心是按协议类型、方向和作用域精准配置入站规则，尤其注意rpc动态端口和高可用场景下的双向通信需求。
必须开放的入站端口及用途
域控制器默认只监听入站连接，客户端或其它DC主动发起请求。以下端口需在每台DC的Windows防火墙中添加入站规则（出站通常默认允许）：
- TCP/UDP 53：DNS查询与区域传输，若DNS与AD共存于同一服务器，此端口必须开放；作用域建议限制为管理网段（如10.10.20.0/24）
- TCP/UDP 88：Kerberos身份验证，所有域内登录、服务票据请求都依赖它
- TCP 389 / TCP 636：LDAP（明文）和LDAPS（加密），用于目录查询、用户同步、组策略读取；636需证书支持，建议生产环境优先启用
- TCP 445：SMB协议，用于SYSVOL共享分发、组策略对象（GPO）复制、计算机启动脚本执行
- TCP 135 + 动态端口范围（49152–65535）：RPC端点映射器及后续分配的临时端口，DC间复制（如FRS或DFS-R）、WMI查询、远程管理均需此组合；不可仅开135而忽略动态范围
- UDP 123：Windows Time服务（w32time），确保多DC间时间偏差≤5分钟，否则Kerberos认证会失败
针对多域控环境的特殊处理
当存在多个DC时，彼此既是客户端也是服务端，因此规则不能只面向“客户端网段”，而要覆盖所有DC的IP地址：
- 在“作用域→远程IP地址”中，明确填写各DC的静态IP（如10.10.20.10, 10.10.20.11, 10.10.20.12），而非整个子网——避免将非DC设备误纳入信任范围
- 若使用站点（Site）划分，还需开放TCP 3268 / 3269（全局编录GC端口），供跨域查询使用；同样需限制访问源为可信DC或管理主机
- 检查“NTDS Settings”下的复制连接对象，确认目标DC的IP已在防火墙允许列表中；可通过
dcdiag /test:replications验证复制状态
配置方式与验证要点
推荐使用PowerShell批量部署规则，避免图形界面遗漏：
- 用
New-NetFirewallRule创建规则，指定-Direction Inbound、-Protocol TCP、-LocalPort 389,636,445等参数，-RemoteAddress填DC管理网段或具体IP - 对RPC动态端口，单独建一条规则：
-LocalPort 49152-65535 -Protocol TCP，并设置-DisplayName "AD-RPC-Dynamic"便于识别 - 配置后运行
netsh advfirewall firewall show rule name=all | findstr "AD"确认规则已启用；再用Test-NetConnection -ComputerName [目标DC] -Port 389逐项验证连通性 - 不要忽略ICMP：添加一条允许
IPv4 echo request的入站规则，方便日常ping检测网络层可达性
安全边界与最小权限原则
开放端口不等于降低安全性。实际部署中应：
- 禁用NetBIOS相关端口（137–139）除非存在老旧系统依赖；现代AD环境完全可基于DNS+LDAP+SMB运行
- 将DNS端口（53）的
-RemoteAddress严格限定为DC、DNS转发器及管理工作站，禁止对全网段开放 - 如使用LDAPS（636），确保证书由企业CA签发且已导入DC本地计算机证书存储，避免自签名证书导致客户端拒绝连接
- 定期导出防火墙规则：
Export-NetFirewallRule -Path C:\ad-fw-rules.xml，作为基线比对依据
