ДНС сервер содает большое количество динамических UDP портов

[Serega834]

Вот собтсвенно лог:

C:\Documents and Settings\Администратор>netstat -a |more

Активные подключения

Имя Локальный адрес Внешний адрес Состояние
TCP serega-net:nameserver serega-net.home.local:0 LISTENING
TCP serega-net:http serega-net.home.local:0 LISTENING
TCP serega-net:kerberos serega-net.home.local:0 LISTENING
TCP serega-net:nntp serega-net.home.local:0 LISTENING
TCP serega-net:epmap serega-net.home.local:0 LISTENING
TCP serega-net:ldap serega-net.home.local:0 LISTENING
TCP serega-net:microsoft-ds serega-net.home.local:0 LISTENING
TCP serega-net:kpasswd serega-net.home.local:0 LISTENING
TCP serega-net:nntps serega-net.home.local:0 LISTENING
TCP serega-net:http-rpc-epmap serega-net.home.local:0 LISTENING
TCP serega-net:ldaps serega-net.home.local:0 LISTENING
TCP serega-net:1026 serega-net.home.local:0 LISTENING
TCP serega-net:1027 serega-net.home.local:0 LISTENING
TCP serega-net:1052 serega-net.home.local:0 LISTENING
TCP serega-net:1054 serega-net.home.local:0 LISTENING
TCP serega-net:1061 serega-net.home.local:0 LISTENING
TCP serega-net:1332 serega-net.home.local:0 LISTENING
TCP serega-net:1608 serega-net.home.local:0 LISTENING
TCP serega-net:pptp serega-net.home.local:0 LISTENING
TCP serega-net:msft-gc serega-net.home.local:0 LISTENING
TCP serega-net:msft-gc-ssl serega-net.home.local:0 LISTENING
TCP serega-net:ms-wbt-server serega-net.home.local:0 LISTENING
TCP serega-net:5000 serega-net.home.local:0 LISTENING
TCP serega-net:5181 serega-net.home.local:0 LISTENING
TCP serega-net:netbios-ssn serega-net.home.local:0 LISTENING
TCP serega-net:domain serega-net.home.local:0 LISTENING
TCP serega-net:ldap serega-net.home.local:1035 ESTABLISHED
TCP serega-net:ldap serega-net.home.local:1036 ESTABLISHED
TCP serega-net:ldap serega-net.home.local:1037 ESTABLISHED
TCP serega-net:ldap serega-net.home.local:stt ESTABLISHED
TCP serega-net:1035 serega-net.home.local:ldap ESTABLISHED
TCP serega-net:1036 serega-net.home.local:ldap ESTABLISHED
TCP serega-net:1037 serega-net.home.local:ldap ESTABLISHED
TCP serega-net:1063 serega-net.home.local:0 LISTENING
TCP serega-net:1080 serega-net.home.local:0 LISTENING
TCP serega-net:stt serega-net.home.local:ldap ESTABLISHED
TCP serega-net:2335 serega-net.home.local:microsoft-ds TIME_WAIT
TCP serega-net:8080 serega-net.home.local:0 LISTENING
TCP serega-net:domain serega-net.home.local:0 LISTENING
TCP serega-net:netbios-ssn serega-net.home.local:0 LISTENING
TCP serega-net:ldap serega-net.mshome.net:1058 ESTABLISHED
TCP serega-net:ldap serega-net.mshome.net:2320 ESTABLISHED
TCP serega-net:microsoft-ds serega.home.local:54760 ESTABLISHED
TCP serega-net:microsoft-ds serega.home.local:54769 ESTABLISHED
TCP serega-net:1026 serega-net.mshome.net:1060 ESTABLISHED
TCP serega-net:1026 serega-net.mshome.net:opsmgr ESTABLISHED
TCP serega-net:1026 serega-net.mshome.net:2334 ESTABLISHED
TCP serega-net:1050 serega-net.mshome.net:ldap CLOSE_WAIT
TCP serega-net:1058 serega-net.mshome.net:ldap ESTABLISHED
TCP serega-net:1060 serega-net.mshome.net:1026 ESTABLISHED
TCP serega-net:1080 serega-net.home.local:0 LISTENING
TCP serega-net:opsmgr serega-net.mshome.net:1026 ESTABLISHED
TCP serega-net:1605 serega-net.mshome.net:ldap CLOSE_WAIT
TCP serega-net:2318 serega-net.mshome.net:epmap TIME_WAIT
TCP serega-net:2319 serega-net.mshome.net:1054 TIME_WAIT
TCP serega-net:2320 serega-net.mshome.net:ldap ESTABLISHED
TCP serega-net:2321 serega-net.mshome.net:epmap TIME_WAIT
TCP serega-net:2322 serega-net.mshome.net:1026 TIME_WAIT
TCP serega-net:2330 serega-net.mshome.net:microsoft-ds TIME_WAIT
TCP serega-net:2333 serega-net.mshome.net:epmap TIME_WAIT
TCP serega-net:2334 serega-net.mshome.net:1026 ESTABLISHED
TCP serega-net:ms-wbt-server serega-nbook.home.local:1086 ESTABLISHED
TCP serega-net:8080 serega-net.home.local:0 LISTENING
TCP serega-net:domain serega-net.home.local:0 LISTENING
TCP serega-net:1080 serega-net.home.local:0 LISTENING
TCP serega-net:8080 serega-net.home.local:0 LISTENING
UDP serega-net:nameserver *:*
UDP serega-net:microsoft-ds *:*
UDP serega-net:isakmp *:*
UDP serega-net:1064 *:*
UDP serega-net:1074 *:*
UDP serega-net:mzap *:*
UDP serega-net:3456 *:*
UDP serega-net:ipsec-msft *:*
UDP serega-net:49152 *:*
UDP serega-net:49158 *:*
UDP serega-net:49160 *:*
UDP serega-net:49166 *:*
UDP serega-net:49170 *:*
....................................
...................................
UDP serega-net:65419 *:*
UDP serega-net:65421 *:*
UDP serega-net:65426 *:*
UDP serega-net:65428 *:*
UDP serega-net:65429 *:*
UDP serega-net:65432 *:*
UDP serega-net:65433 *:*
UDP serega-net:65434 *:*
UDP serega-net:65436 *:*
UDP serega-net:65438 *:*
UDP serega-net:65439 *:*
UDP serega-net:65440 *:*
UDP serega-net:65441 *:*
UDP serega-net:65443 *:*
UDP serega-net:65444 *:*
UDP serega-net:65446 *:*
UDP serega-net:65447 *:*
UDP serega-net:65448 *:*
UDP serega-net:65449 *:*
UDP serega-net:65451 *:*
UDP serega-net:65452 *:*
UDP serega-net:65453 *:*
UDP serega-net:65454 *:*
UDP serega-net:65455 *:*
UDP serega-net:65456 *:*
UDP serega-net:65462 *:*
UDP serega-net:65463 *:*
UDP serega-net:65465 *:*
UDP serega-net:65466 *:*
UDP serega-net:65467 *:*
UDP serega-net:65468 *:*
UDP serega-net:65469 *:*
UDP serega-net:65470 *:*
UDP serega-net:65471 *:*
UDP serega-net:65473 *:*
UDP serega-net:65474 *:*
UDP serega-net:65482 *:*
UDP serega-net:65485 *:*
UDP serega-net:65486 *:*
UDP serega-net:65487 *:*
UDP serega-net:65488 *:*
UDP serega-net:65489 *:*
UDP serega-net:65490 *:*
UDP serega-net:65492 *:*
UDP serega-net:65495 *:*
UDP serega-net:65496 *:*
UDP serega-net:65497 *:*
UDP serega-net:65499 *:*
UDP serega-net:65500 *:*
UDP serega-net:65501 *:*
UDP serega-net:65502 *:*
UDP serega-net:65503 *:*
UDP serega-net:65504 *:*
UDP serega-net:65505 *:*
UDP serega-net:65506 *:*
UDP serega-net:65508 *:*
UDP serega-net:65509 *:*
UDP serega-net:65510 *:*
UDP serega-net:65511 *:*
UDP serega-net:65513 *:*
UDP serega-net:65515 *:*
UDP serega-net:65516 *:*
UDP serega-net:65520 *:*
UDP serega-net:65527 *:*
UDP serega-net:65528 *:*
UDP serega-net:65529 *:*
UDP serega-net:65530 *:*
UDP serega-net:65533 *:*
UDP serega-net:65534 *:*
UDP serega-net:kerberos *:*
UDP serega-net:ntp *:*
UDP serega-net:netbios-ns *:*
UDP serega-net:netbios-dgm *:*
UDP serega-net:389 *:*
UDP serega-net:kpasswd *:*
UDP serega-net:kerberos *:*
UDP serega-net:ntp *:*
UDP serega-net:389 *:*
UDP serega-net:kpasswd *:*
UDP serega-net:domain *:*
UDP serega-net:ntp *:*
UDP serega-net:999 *:*
UDP serega-net:1034 *:*
UDP serega-net:1045 *:*
UDP serega-net:1047 *:*
UDP serega-net:1053 *:*
UDP serega-net:1057 *:*
UDP serega-net:1065 *:*
UDP serega-net:1072 *:*
UDP serega-net:1073 *:*
UDP serega-net:1092 *:*
UDP serega-net:1097 *:*
UDP serega-net:1105 *:*
UDP serega-net:1150 *:*
UDP serega-net:1606 *:*
UDP serega-net:3456 *:*
UDP serega-net:49806 *:*
UDP serega-net:domain *:*
UDP serega-net:bootps *:*
UDP serega-net:bootpc *:*
UDP serega-net:kerberos *:*
UDP serega-net:ntp *:*
UDP serega-net:netbios-ns *:*
UDP serega-net:netbios-dgm *:*
UDP serega-net:389 *:*
UDP serega-net:kpasswd *:*
UDP serega-net:999 *:*
UDP serega-net:2535 *:*
UDP serega-net:domain *:*
UDP serega-net:kerberos *:*
UDP serega-net:ntp *:*
UDP serega-net:389 *:*
UDP serega-net:kpasswd *:*
UDP serega-net:999 *:*

При отключении службы ДНС сервер все эти порты с 49152 по 65535 пропадают

[monkkey]

Практически все сервисы AD зависят от DNS. У вас серверная машина или это клиент?

[Serega834]

У меня Windows 2003 сервер. Подняты службы: Active Directory, DNS, DHCP, Wins, RRAS(поднят VPN сервер и настроен НАТ),IIS

[serg33]

Аналогичная картина. Смущает огромное количество открытых портов в диапазоне >49000. Что это и как с этим бороться? Или это нормально?

[OKN]

У друга похожая ситуация.
windows 2003 SP2 OEM со всеми обновлениями, контроллер домена

не работает (не запескается) встроенный фаервол

DNS Server создаёт огромное количество UDP портов на локальном компьютере в диапазоне 49ххх и выше

При этом не получается подключиться к серверу по сети и при подключении ремоут десктопом пишет что неправильный пароль.

Авторизация пользователей домена проходит без ошибок.

Кто-то сталкивался? Чем лечится?

[dmitryst]

Смущает огромное количество открытых портов в диапазоне >49000. Что это и как с этим бороться? Или это нормально? »
вроде как не криминал... у меня 2003 с последними обновлениями, АД+ДНС + файлопомойка, тоже огромное количество открытых портов. Однако, проблем с доступом нет :)

При этом не получается подключиться к серверу по сети и при подключении ремоут десктопом пишет что неправильный пароль. »
кем заходите? Администратором?

[OKN]

вроде как не криминал... »
Там сотни открытых портов

кем заходите? Администратором? »
Администратором и пользователем с правами администратора. Оба есть в группе для удалённого доступа.

[dmitryst]

Администратором и пользователем с правами администратора. Оба есть в группе для удалённого доступа. »
администраторам доступ и так дают. Два подключения одновременно. Пароль, случаем, не пустой? Да и в журнале событий обычно ведется аудит, кто, куда и когда ;)

Там сотни открытых портов »
у меня тоже.

This is normal, post DNS vulnerability patches. Basically, in order to
alleviate the DNS spoofing problems, Microsoft make DNS bind to lots of
ports so that it can be more random in the source port. There are some
registry keys you can set to mitigate this behaviour (thank goodness,
since binding hundreds of ports forever is just lame).

http://blogs.technet.com/sseshad/ar...y-bug.aspx

covers the key points, and gives an easy way to configure DNS to reduce
the number of ports it grabs.

You may also want to use:

812873 How to reserve a range of ephemeral ports on a computer that is
running Windows Server 2003 or Windows 2000 Server
http://support.microsoft.com/?id2873

to list any ports/port ranges that other applications (like Trend) require
for themselves, so that DNS doesn't get them.

Steve Foster [SBS MVP]
стырено с первой ссылки (http://us.generation-nt.com/too-dns-exe-connections-help-143176851.html) гугла :). Если не понимаете, переведу :)

[OKN]

администраторам доступ и так дают. Два подключения одновременно. Пароль, случаем, не пустой? Да и в журнале событий обычно ведется аудит, кто, куда и когда »
- второй пользователь делался для проверки, после того как перестало пускать администратора.
- пароль не пустой, при локальном наборе пароля всё проходит
- аудит ничего криминального не показывает (может нужно пустить аудит чего-то конкретно?)
Единственная запись - попытка удалённого подключения с неправильным паролем (как-то так), но не в аудите а в запуске приложения удалённого доступа

у меня тоже. »
Был удивлён. Посмотрел у себя на контроллере windows 2000 server - та-же картина
UDP 0.0.0.0:49152 *:*
UDP 0.0.0.0:49155 *:*
UDP 0.0.0.0:49161 *:*
...
UDP 0.0.0.0:65506 *:*
UDP 0.0.0.0:65509 *:*
UDP 0.0.0.0:65514 *:*
UDP 0.0.0.0:65527 *:*
UDP 0.0.0.0:65529 *:*
UDP 0.0.0.0:65533 *:*


Спасибо, успокоил. Тогда остаётся бороться с незапускающимся фаерволом и заблокированным доступом по сети (в групповых политиках смотрел, явного запрета не нашёл). По умолчанью стоял NTLM, я заменил на NTLM2 (не принудительный).

з\ы - первая сЦылка битая - вот оригинал http://blogs.technet.com/sseshad/archive/2008/12/03/windows-dns-and-the-kaminsky-bug.aspx

[dmitryst]

Посмотрел у себя на контроллере windows 2000 server - та-же картина »
нну дык... Сам мелкософт патч наложил :)

з\ы - первая сЦылка битая »
не смотрел...

В логах будет событие с источником netlogon - вот его надо отловить (хотя у меня администратор всегда нормально заходил и заходит)

[OKN]

не получается подключиться к серверу по сети и при подключении ремоут десктопом пишет что неправильный пароль »

Оказалось что на сервере был использован триальный способ терминального подключения. Срок вышел и ремоут десктоп тоже перестал работать.

Странно что небыло ни одного сообщения предупреждающего о причине проблемы. Только сообщение о неправильном пароле.