윈도우 방화벽과 RPC

윈도우 서버들 간의 모니터링에 주로 사용되는 WMI(Windows Management Instrumentation)는 내부적으로 RPC(Remote Procedure Call)를 사용하여 정보를 얻어온다.

 

그런데 이 RPC는 TCP 135 포트를 사용하여 통신한다고 되어 있지만, 실제로는 135 포트 뿐만 아니라 1024 포트 이상의 동적 포트를 또 사용한다. (왜 그러는지는 알 수 없지만, 아무튼 그렇다.)

그런데 동적 포트를 사용하기 때문에 윈도우 방화벽 설정하는데 문제가 된다. 어떤 특정 포트를 사용하는 것이 아니기 때문에 윈도우 방화벽에서 어떻게 설정해 줄 방법이 없는 것이다! 게다 포트 범위를 지정할 수 없게 되어 있어 꽤 불편하기도 하다.

 

다음을 적용하면 동적 포트의 범위를 지정할 수 있어서 윈도우 방화벽 설정에 등록할 수 있다. (아무튼 골치아프다. 이놈의 방화벽은...)

 

1. 다음 키 아래에 Internet 키를 추가한다.

   HKEY_LOCAL_MACHINE\Software\Microsoft\Rpc

즉,

   HKEY_LOCAL_MACHINE\Software\Microsoft\Rpc\Internet

과 같이 레지스트리 키를 만든다.

2. Internet 키 아래에 값 "Ports" (MULTI_SZ), "PortsInternetAvailable" (REG_SZ) 및 "UseInternetPorts" (REG_SZ)를 추가한다.

이 예제에서 포트 5000-5100은 새 레지스트리 키를 구성하는 방법을 보여주기 위해 임의로 선택되었다. 예를 들어, 새 레지스트리 키는 다음과 같이 나타난다.

   Ports: REG_MULTI_SZ: 5000-5100
   PortsInternetAvailable: REG_SZ: Y
   UseInternetPorts: REG_SZ: Y

  
3. 서버를 다시 시작한다. RPC 동적 포트 할당을 사용하는 모든 응용 프로그램은 포트 5000-5100을 사용한다. 대부분의 환경에서 여러 시스템 서비스가 이러한 RPC 포트를 사용하여 서로 통신하기 때문에 포트를 최소한 100개 열어야 한다.

 

※ 방화벽 포트 설정까지 합해서 레지스트리 등록 파일을 만들어 첨부했다.

firewall-RPC-5000-5100(domain).reg

firewall-RPC-5000-5100.reg

(주의사항: 도메인 컨트롤러(AD)는 해당 방화벽 설정 레지스트리 값들이 DomainProfile이 아니라 StandardProfile 레지스트리 키 하위에 있어야 하므로 그대로 적용하면 안된다.) 

 

>> 출처: http://support.microsoft.com/default.aspx?scid=kb;ko-kr;154596