【認証も】ADサーバのポート許可設定【信頼関係も】

利用ポート一覧

ActiveDirectoryサーバで必要なポートは下記の通りです。ドメインがグローバルに展開されていたり外部信頼を構成する場合のファイアウォール穴あけにご活用ください。

ドメインメンバーとの通信ポート

※一時ポート：49152-65535
（サポートが終了したWindowsXPやWindows2003以前のOSでは1025-5000となります。）

※LDAP SSL、LDAP GC SSL、AD DS Web Servicesについてはこれらを利用するアプリケーションを実装している場合のみ必要となります。

ドメインコントローラ間との通信ポート

※一時ポート：49152-65535
（サポートが終了したWindowsXPやWindows2003以前のOSでは1025-5000となります。）

※WINSはNetBIOSの解決としてWINSサーバを構成している場合のみ必要です。

※DFSRのポート5722はWindows Server 2012以上のドメイン コントローラーでは使用されません。

NAT構成の注意点

ActiveDirectoryの構成にNATを使う場合には注意が必要です。というのも、NATに関してはMicrosoftは明確に「推奨しない」ことを掲げているためです。

NAT 経由の Active Directory のサポート - Windows Server

NAT 経由の Active Directory のサポート境界について説明します。 さらに、このシナリオは Active Directory ではテストされません。

learn.microsoft.com

上記URLに名確に
「NAT 経由の Active Directory はお勧めしません。」
という記載があります。

ただし下記にも掲載がある通り、NAT構成をしたからと言ってトラブルサポートを断る、ということでもないそうです。

ドメイン コントローラーの構築時に言われないと気付かないこと

本記事はマイクロソフト社員によって公開されております。 こんにちは。Windows Commercial Support Directory Services チームです。ドメイン コントローラーは多くの組織で利用されておりますので、今まで...

jpwinsup.github.io

現実問題としてActiveDirectoryサーバがローカルIPセグメント（192.168.0.0/24など）で構成されている場合は通常外部からのルーティングは構成できないので、他社との信頼関係を結ぶ場合はNATを構成し外部アドレスとして公開した上で信頼関係を設定する必要があります。

信頼関係については下記の記事でもご紹介しているので参考にしてください。

【ADの信頼関係とは？】信頼関係の基本知識

信頼関係とは？人間社会の世界でも信頼はとても大切なものですよね。相手を信頼することで相手からの立ち入りをある程度許可し、また相手から信頼されることで逆もまたしかりです。友達どうしの信頼があれば物の貸し借りをすることもありますが、この時にいち...

mattari-ad.com

2024.11.12

やむごとなき理由でNATを構成する場合はきちんと検証を行った上で導入を検討する必要がある事を認識しましょう。

ぺりこ

弊社でもActiveDirectoryの信頼関係上のネットワークにはNAT構成が取り入れられていますが、5年以上トラブルは発生していません。参考になれば。。。