고급 방화벽 서버(예: ISA)가 인트라넷 방화벽이기도 한 경우(고급 방화벽과 프런트 엔드 서버 사이에 추가 방화벽이 있는 경우) 고급 방화벽 서버가 요청을 전달하려면 인트라넷 방화벽에서 필요한 프로토콜 포트를 열어야 합니다.

고급 방화벽 서버가 요청을 전달하는 데 필요한 프로토콜 포트

고급 방화벽이 사용자 인증과 같은 작업을 수행할 경우 추가 포트가 필요할 수 있습니다. 자세한 내용은 고급 방화벽 설명서를 참조하십시오.

참고:
IP 조각화를 위해 개별 제품에 대한 추가 구성을 설정하도록 권장하는 방화벽 공급업체도 있습니다.

주변 네트워크에 배치된 프런트 엔드 서버는 백 엔드 서버 및 Active Directory® 디렉터리 서비스 서버에 대한 연결을 시작할 수 있어야 합니다. 따라서, 주변 네트워크에서 회사 네트워크로의 인바운드 포트 80 트래픽을 허용하는 규칙에 따라 내부 방화벽을 구성합니다. 이 규칙은 회사 네트워크에서 프런트 엔드 서버로의 아웃바운드 포트 80 트래픽을 허용하지 않습니다. 이후의 모든 포트 설명은 주변 네트워크의 서버에서 백 엔드 서버로 트래픽을 전달하는 인바운드 포트를 나타냅니다.

참고:
프런트 엔드 서버를 백 엔드 서버가 있는 인트라넷에 배치하고 고급 방화벽을 주변 네트워크로 사용하는 배포 방법이 주로 사용됩니다. Exchange 프런트 엔드 서버를 주변 네트워크에 배치해야 하는 특정 요구 사항이 있는 경우에만 이 섹션을 따르십시오.

모든 경우에 지원되는 프로토콜 포트가 모두 내부 방화벽에서 열려 있어야 합니다. 프런트 엔드 서버와 백 엔드 서버 사이의 통신에는 SSL이 사용되지 않으므로 SSL 포트는 열 필요가 없습니다. 다음 표에서는 인트라넷 방화벽에 필요한 포트를 보여 줍니다. 이러한 포트는 프런트 엔드 서버에서 백 엔드 서버로의 인바운드 트래픽에 국한됩니다.

인트라넷 방화벽에 필요한 프로토콜 포트

참고:
이 표에서 "인바운드"는 주변 네트워크에서 고급 방화벽 서버와 같은 컴퓨터가 회사 네트워크의 프런트 엔드 서버에 대한 연결을 시작하도록 방화벽을 구성해야 한다는 의미입니다. 프런트 엔드 서버는 주변 네트워크의 컴퓨터에 대한 연결을 시작할 필요가 없습니다. 프런트 엔드 서버는 주변 네트워크의 컴퓨터가 시작한 연결에만 응답합니다.

Active Directory와 통신하려면 Exchange 프런트 엔드 서버가 LDAP 포트를 열어야 합니다. 프런트 엔드 서버의 Windows는 389/UDP LDAP 요청을 도메인 컨트롤러에 보내 사용 가능한지를 확인하고, 이후의 LDAP 트래픽에서 TCP를 사용하기 때문에 TCP와 UDP가 모두 필요합니다. 또한, Windows Kerberos 인증이 사용되기 때문에 Kerberos 포트를 열어야 합니다. Windows는 기본적으로 UDP/88을 사용하지만 데이터가 UDP의 최대 패킷 크기보다 클 경우 TCP를 사용하기 때문에 Kerberos에도 TCP와 UDP가 모두 필요합니다. 다음 표에서는 Active Directory 및 Kerberos와 통신하는 데 필요한 포트를 보여 줍니다.

Active Directory 통신 및 Kerberos에 필요한 포트

방화벽에서 열 수 있는 옵션 포트 집합이 두 개 있습니다. 포트를 열지 여부는 회사의 정책에 따라 다릅니다. 포트를 열 경우 보안, 관리, 기능 등의 측면에서 손실이 발생할 수 있습니다.

프런트 엔드 서버는 서버 이름을 올바르게 조회하려면(예: 서버 이름을 IP 주소로 변환) DNS 서버에 액세스해야 합니다. 다음 표에서는 액세스하는 데 필요한 포트를 보여 줍니다.

이러한 포트를 열지 않으려면 프런트 엔드 서버에서 DNS 서버를 설치하고 연결해야 할 모든 서버에 대해 IP 매핑에 적합한 이름을 입력해야 합니다. 또한, 프런트 엔드에서 도메인 컨트롤러를 찾을 수 있어야 하기 때문에 모든 Active Directory SRV 레코드를 구성해야 합니다. DNS 서버를 설치하도록 선택했다면 구성이 변경될 경우 이러한 매핑을 최신 상태로 유지해야 합니다.

DNS 서버에 액세스하는 데 필요한 포트

참고:
대부분의 서비스는 DNS 조회에 UDP를 사용하고 쿼리가 최대 패킷 크기보다 큰 경우에만 TCP를 사용합니다. 그러나 Exchange SMTP 서비스는 기본적으로 DNS 조회에 TCP를 사용합니다. 자세한 내용은 Microsoft 기술 자료 문서 263237, "XCON: Windows 2000 및 Exchange 2000 SMTP는 TCP DNS 쿼리를 사용한다"를 참조하십시오.

다음 표에서는 인트라넷 방화벽을 통한 IPSec 트래픽 허용을 위한 요구 사항을 보여 줍니다. 구성한 프로토콜에 적용되는 포트만 사용해야 합니다. 예를 들어, ESP를 사용하도록 선택한 경우 방화벽을 통해 IP 프로토콜 50만 허용해야 합니다.

IPSec에 필요한 포트

DSAccess는 Active Directory 서비스 검색을 위해 더 이상 RPC를 사용하지 않습니다. 그러나, 프런트 엔드 서버가 요청을 인증하도록 구성되어 있기 때문에 IIS는 요청을 인증하기 위해 Active Directory에 RPC로 액세스해야 합니다. 따라서, 아래 "인증에 필요한 RPC 포트" 표에 나열된 RPC 포트를 열어야 합니다.

잠긴 주변 네트워크가 있어서 프런트 엔드 서버에서 사용자를 인증할 수 없는 경우 아래 "인증에 필요한 RPC 포트" 표에 나열된 RPC 포트를 열 수 없습니다. 이러한 RPC 포트가 없는 경우 프런트 엔드 서버가 인증할 수 없습니다. 익명 액세스를 허용하도록 프런트 엔드 서버를 구성할 수 있지만 그럴 경우의 위험에 대해 잘 알고 있어야 합니다. 자세한 내용은 HTTP 인증 메커니즘을 참조하십시오.

모든 RPC 트래픽을 중지하는 대신 다음 섹션에서 설명하는 것처럼 포트 하나를 열어 RPC 트래픽을 제한하는 것이 좋습니다.

인증, 암시적 로그온 등과 같이 RPC를 필요로 하는 기능을 원하지만 1024를 초과하는 광범위한 포트를 열지 않으려면 모든 RPC 트래픽에 대해 알려진 단일 포트를 사용하도록 도메인 컨트롤러 및 글로벌 카탈로그 서버를 구성할 수 있습니다. RPC 트래픽 제한 방법에 대한 자세한 내용은 Microsoft 기술 자료 문서 224196 "Active Directory 복제 트래픽을 특정 포트로 제한"을 참조하십시오.

클라이언트를 인증하려면 프런트 엔드 서버가 글로벌 카탈로그 서버와 같은 RPC와 연결할 수 있는 모든 서버에서 레지스트리 키(위 기술 자료 문서 및 아래 목록 참조)를 설정해야 합니다. 다음 레지스트리 키를 특정 포트(예: 1600)로 설정합니다.

HKEY_LOCAL_MACHINE\CurrentControlSet\Services\NTDS\Parameters

레지스트리 값: TCP/IP 포트 값 유형: REG_DWORD 값 데이터: (사용 가능한 포트)

주변 네트워크와 인트라넷 사이의 방화벽에서 두 포트 — RPC portmapper(135) 및 지정한 포트(아래 표에 나열된 포트 1600)만을 RPC 통신용으로 열어야 합니다. 프런트 엔드 서버는 먼저 포트 135를 통해 RPC로 백 엔드 서버 연결을 시도하고, 백 엔드 서버는 실제로 사용 중인 RPC 포트에 응답합니다.

참고:
Exchange System Administrator는 RPC를 사용하여 Exchange 서버를 관리합니다. 프런트 엔드 서버에서 Exchange System Administrator를 사용하여 백 엔드 서버를 관리하려면 프런트 엔드 서버에서 각 백 엔드 서버로의 RPC 액세스를 구성해야 하므로 이 방법은 사용하지 않는 것이 좋습니다. 대신 Exchange 클라이언트 컴퓨터 또는 백 엔드 서버에서 Exchange System Administrator를 사용하여 백 엔드 서버를 관리하십시오. 여전히 프런트 엔드 서버에서 Exchange System Administrator를 사용하여 프런트 엔드 서버 자체를 관리할 수 있습니다.

인증에 필요한 RPC 포트