Какие "входящие" порты открыть для доверительных отношений между лесами доменов?

[superpalych]

Для того, чтобы максимально обезопаситься от штатных администраторов (только не спрашивайте о причинах) решил поднять в новом лесу собственный контролер доменов (естественно, перенести туда всех "своих") и закрыть его приличным межсетевым экраном. Для "чужих" пользователей я никакие ресурсы предоставлять не планирую, поэтому с помощью SPI-МЭ хочу ограничить входящие подключения. Какие порты нужно оставить открытыми? ОС - Windows Server.

[User001]

Какие порты нужно оставить открытыми? »Попробуйте пройтись по списку (https://technet.microsoft.com/ru-ru/library/dd772723%28v=ws.10%29.aspx).
его приличным межсетевым экраном »Какие МЭ нынче приличные / неприличные?

[superpalych]

Какие МЭ нынче приличные / неприличные? »NGFW