在 Active Directory 环境中打开端口 135 有什么用？

Question

在网络审查期间，我们注意到一些加入域的 Surface Hub 没有打开端口 135 (msrpc)。

打开135端口的Surface Book和其他的有什么区别？考虑到两者都在 Active Directory 环境中完美工作。

谢谢。

Answer 1

端口 135 是 RPC Endpoint Mapper 服务。它是一项服务，允许其他系统发现计算机上通告的服务以及在哪个端口上找到它们。它主要与远程访问和远程管理相关。

它是一个敏感端口，与大量安全漏洞相关，永远不应该暴露在互联网上。

但是，在活动目录和服务器/客户端环境中，许多服务需要端口 135 才能正常运行。对于客户端（例如 Surface），可以安全地关闭端口，因为依赖于端口 135 的服务通常在服务器上公开。但是，这确实带来了一些缺点，即某些远程管理功能将被关闭 - 特别是WMI访问将被阻止。因此，作为负责“远程”管理这些设备的管理员，出于安全目的，您可能希望将端口保持打开状态，但在 Windows 防火墙上将对其的访问限制为仅您的本地 IP 地址。

您将无法在 Active Directory 服务器上阻止此端口，否则会造成破坏。

如果您想了解哪些服务依赖于端口 135，您可以查看此文档：

Windows 的服务概述和网络端口要求