域控制器部署时必须精准放行入站（如53、88、389、445、动态RPC端口49152–65535）和出站端口（如53、88、123、445），并区分通信方向，通过组策略统一配置防火墙规则，禁用防火墙服务将导致IPsec等安全机制失效。
域控制器部署时，防火墙必须放行特定端口，否则客户端无法加入域、身份验证失败、组策略不生效、dns解析异常等问题会集中出现。关键不是“开多少端口”，而是按角色和通信方向精准放开必需端口，并区分入站/出站规则。
明确域控制器的核心通信需求
域控制器（DC）既是服务提供方（如LDAP、Kerberos），也需主动发起出站连接（如同步时间、查询其他DC、向DNS服务器注册记录）。因此防火墙策略需同时配置入站允许（供客户端访问DC）和出站允许（供DC访问外部资源），不能只设入站。
必须放行的入站端口（TCP/UDP，作用于DC本机）
- 53：DNS 查询与区域传输（TCP+UDP）
- 88：Kerberos 身份验证（TCP+UDP）
- 135：RPC 终结点映射器（TCP）
- 389：LDAP 目录访问（TCP+UDP）；若启用全局编录，则还需 3268（TCP）
- 445：SMB 文件共享与安全通道（TCP）
- 636：LDAPS（仅当启用证书并强制SSL时才需开，TCP）
- 3269：GC over SSL（同上，TCP）
- 动态 RPC 端口范围：49152–65535（TCP/UDP）——这是 Windows Server 2008 及之后版本的默认动态端口段，LSA、SAM、NetLogon 等关键RPC服务均在此范围内分配端口
注意：旧版环境（如含 Windows Server 2003 DC）可能仍用 1024–5000 范围，但新部署一律按 49152–65535 配置；混合环境需兼顾两者或统一升级。
不可忽略的出站端口（DC主动访问所需）
直播间话术巡检-windows
下载
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
- 53（UDP/TCP）：DC作为DNS客户端向上游DNS服务器查询（如转发器或根提示）
- 88（UDP/TCP）：与其他域控制器做 Kerberos 交叉认证
- 123（UDP）：NTP 时间同步（通常指向域内PDC Emulator或外部NTP源）
- 389 / 636 / 3268 / 3269：跨林信任或复制时，DC需主动连接对端DC的LDAP服务
- 445（TCP）：AD 复制使用 SMB 协议传输更改数据
推荐配置方式：用组策略批量下发，而非手动逐台设置
- 在域控制器所在OU的GPO中，路径为：
计算机配置 → 策略 → Windows 设置 → 安全设置 → Windows 防火墙与高级安全 - 创建「入站规则」：针对上述端口，协议选TCP/UDP，作用域设为「域网络」，操作为「允许连接」
- 创建「出站规则」：同样按端口和服务定义，避免使用「允许所有出站」这种宽泛策略
- 启用日志记录（可选但建议）：在「监视」节点下开启「入站连接」和「丢弃的数据包」日志，路径
%SystemRoot%\System32\LogFiles\Firewall\pfirewall.log
不建议禁用Windows防火墙服务（MpsSvc），也不建议通过停用服务来“绕过”配置。微软明确指出，禁用将导致IPsec策略、服务强化、启动时间筛选等安全机制失效。
