Eu tinha uma configuração estranha hoje em dia em que queria ativar o Firewall do Windows em um computador com Windows 2003 R2 SP2 que funcionasse como um controlador de domínio do Active Directory.
Eu não vi um recurso na Internet que listou o que seria necessário para fazer isso, então eu pensei em listá-los aqui e ver se alguém tem algo a acrescentar / vê algo que não seja necessário.
Portas para abrir com o escopo "sub-rede":
Portas a serem abertas com o escopo "Qualquer" (para DHCP)
TAMBÉM Você precisa restringir o RPC para usar portas fixas em vez de tudo > 1024. Para isso, você precisa adicionar duas chaves de registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
Registry value: TCP/IP Port
Value type: REG_DWORD
Value data: <-- pick a port like 1600 and put it here
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
Registry value: DCTcpipPort
Value type: REG_DWORD
Value data: <-- pick another port like 1650 and put it here
... não se esqueça de adicionar entradas no firewall para permitir aquelas em (TCP, escopo de sub-rede).
Depois de fazer tudo isso, consegui adicionar um computador cliente ao domínio do AD (atrás do Firewall do Windows) e fazer login com êxito.
Se desejar, você pode restringir os intervalos de porta RPC de duas maneiras:
Eu fiz isso com essas portas. Já faz um tempo e eu não tenho certeza se juntei ao domínio ou melhor, se isso permite que a máquina se comunique com o DC depois de entrar na mesma sub-rede.
portas TCP:
135 139 389 445 1026
Portas UDP:
53 88 123 389