Schritt 1: Überprüfen Sie die Systemanforderungen
MBSA kann keinen Remotecomputer überprüfen, der von einer Firewall geschützt wird, es sei denn, die Firewall wird so konfiguriert, dass die Ports geöffnet werden, die MBSA für die Kommunikation mit dem Computer verwendet. Der Windows Update-Agent implementiert eine auf DCOM basierende Remoteüberprüfungsschnittstelle. Das für die Überprüfung verwendete Konto muss über die Berechtigungen eines lokalen Administrators verfügen. Der Computer muss außerdem so konfiguriert sein, dass die folgenden Bedingungen erfüllt sind:
- Der Serverdienst, der Remoteregistrierungsdienst und der Datei- und Druckfreigabedienst müssen auf dem Remotecomputer ausgeführt werden.
- Die erforderlichen Ports müssen in der Firewall geöffnet sein.
- Der Windows Update-Agent muss installiert sein, und der Dienst „Automatische Updates“ darf nicht deaktiviert sein.
Die Überprüfungen von Remotecomputern werden mit dem TCP-Port 135, einem dynamischen oder statischen DCOM-Port und den Ports 139 und 445 durchgeführt. Wo eine Firewall oder ein Filterrouter zwei Netzwerke trennt, müssen die TCP-Ports 135, 139 und 445 sowie die UDP-Ports 137 und 138 geöffnet sein, damit MBSA eine Verbindung zum überprüften Remotecomputer herstellen und authentifizieren kann. Sie müssen diesen Ports ermöglichen, in der Remotefirewall geöffnet zu sein, falls Sie eine persönliche Firewall verwenden.
Hinweis: Die Verwendung von DCOM für die Remoteüberprüfung über die Windows-Firewall auf allen Versionen von Windows XP erfordert gegebenenfalls einen Post-SP2-Hotfix, wie im Microsoft Knowledge Base-Artikel 895200 beschrieben. Kunden können jetzt diese Problembehebung durch Installieren des COM+-Updates implementieren (Microsoft Knowledge Base-Artikel 902400), indem sie folgendermaßen vorgehen:
- Laden Sie das Update im Microsoft Download Center unter http://www.microsoft.com/downloads/details.aspx?FamilyId=20F79CE7-D4DB-42D7-8E57-58656A3FB2F7 herunter.
- Kopieren Sie das Update auf den Computer, den Sie aktualisieren, und öffnen Sie eine Eingabeaufforderung auf diesem Computer.
- Führen Sie das Update aus, indem Sie die Befehlszeilenoptionen verwenden, wie im Microsoft Knowledge Base-Artikel 824994 beschrieben (vor allem die Befehlszeilenoption „/B:SP2QFE“). Dadurch werden alle Problembehebungen in Windows XP COM+ Hotfix Rollup Package 9 zusätzlich zu den im Sicherheitsbulletin MS05-051 veröffentlichten Problembehebungen installiert.
Schritt 2: Konfigurieren Sie nicht verwaltete Computer
DCOM ordnet einen dynamischen Port standardmäßig zu, aber eine Firewall blockiert den Zugriff auf diese Ports, es sei denn, sie werden explizit mithilfe des folgenden Verfahrens geöffnet:
- Öffnen Sie den Port 135 und einen benutzerdefinierten Port in Ihrer Firewall (einige Firewalls ermöglichen Port 135 standardmäßig). Der ausgewählte Port muss geprüft werden, um sicherzustellen, dass er sich eignet oder dass er nicht anderen Anwendungen zugeordnet ist.
- Konfigurieren Sie den Windows Update-Agent, um diesen statischen benutzerdefinierten Port zu verwenden, indem Sie einen Registrierungsschlüssel wie folgt festlegen: HKEY_LOCAL_MACHINE\Software\Classes \AppID\{B366DEBE-645B-43A5-B865-DDD82C345492}\Endpoints REG_MULTI_SZ “ncacn_ip_tcp,0,n” (wobei n die Portnummer darstellt, die Sie verwenden möchten). Sie können auch den Endpunkt konfigurieren, der die Anwendung „Komponentendienste“ in der Systemsteuerung verwendet. Der Endpunkt Windows Update-Agent – Remotezugriff befindet sich im Pfad Komponentendienste\Computer\Arbeitsplatz\DCOM Config. Klicken Sie mit der rechten Maustaste, und wählen Sie Eigenschaften aus. Konfigurieren Sie dann auf der Registerkarte Endpunkte der Eigenschaftenseite den statischen Port.
Schritt 3: Konfigurieren Sie verwaltete Computer
Verwenden Sie die Gruppenrichtlinie, um bestimmte administrative Firewall- und COM+-Einstellungen für Zielcomputer bereitzustellen. Sie können den Gruppenrichtlinien-Editor verwenden, um die nötigen Konfigurationseinstellungen zu erstellen, wie unter Bereitstellen der Windows-Firewalleinstellungen für Microsoft Windows XP Service Pack 2 im Abschnitt „Bereitstellen von Einstellungen für die Windows-Firewall mit Gruppenrichtlinien“ dokumentiert.
Windows-Firewalleinstellungen: Die folgenden Windows-Firewalleinstellungen werden empfohlen:
- Windows-Firewall: Remoteverwaltungsausnahme zulassen. Wird zur Aktivierung von Remotekonfigurationstools, wie z. B. Microsoft Management Console (MMC) und Windows-Verwaltungsinstrumentation (WMI), verwendet.
- Windows-Firewall: Ausnahme für Datei- und Druckerfreigabe zulassen. Wird verwendet, um anzugeben, ob der Datenverkehr über die Datei- und Druckerfreigabe zugelassen ist.
- Windows-Firewall: Portausnahmen festlegen. Wird verwendet, um den Ausnahmedatenverkehr im Hinblick auf die TCP- und UDP-Ports anzugeben. Definieren Sie in diesem Schritt die gleichen Ports, die Sie für nicht verwaltete Computer und in den Systemanforderungen ausgewählt haben.
Weitere Informationen zu den Einstellungen, die innerhalb der administrativen Vorlage für die Windows-Firewall verfügbar sind, wurden unter Verwenden der Windows-Firewall-INF-Datei in Microsoft Windows XP Service Pack 2 in den Abschnitten „Aktivieren der Remoteverwaltung“ und „Hinzufügen statischer Ports zur Liste der Standardausnahmen der Windows-Firewall“ dokumentiert.
COM+-Einstellungen: Die COM+-Endpunktregistrierungseinstellungen für den Windows Update-Agent können durch die Gruppenrichtlinie als Teil eines Startskripts konfiguriert werden. Einen Leitfaden für das Zuweisen von Startskripts finden Sie auf der Microsoft-Website http://technet.microsoft.com/de-de/library/cc779329.aspx. Das Skript muss den folgenden Befehl enthalten: reg add HKLM\Software\Classes\AppID\{B366DEBE-645B-43A5-B865-DDD82C345492} /v Endpoints /t REG_MULTI_SZ /d ncacn_ip_tcp,0,n /f (wobei n die Portnummer darstellt, die Sie verwenden möchten).
Hinweis: Denken Sie beim Verwenden dieser Methode daran, dass gegebenenfalls zusätzliche Einstellungen für die Administratorvorlage erforderlich werden, um diese Registrierungseinstellung zu entfernen, wenn die Funktionalität nicht mehr gewünscht ist.