Вопрос или проблема
Я знаю, что для входящего трафика нужен порт 1688… но мне интересно, какой порт нужно открыть для исходящего?
…и мне интересно, какие диапазоны IP мне нужно установить
Любая помощь будет очень признательна
Вам нужно разрешить ответный трафик клиенту, обращающемуся к KMS-серверу. Ничего другого.
Соединение будет установлено исключительно клиентом, который должен получить ответ. Есть небольшой обмен данными, но всё инициируется как TCP-соединение со стороны клиента, а KMS-сервер просто отвечает.
Так что что-то вроде:
разрешить tcp <диапазон клиента> kms-сервер eq 1688
разрешить tcp kms-сервер <диапазон клиента>
Ответ или решение
Для настройки исходящих правил брандмауэра для сервера активации KMS (Key Management Service) на Windows, необходимо учитывать несколько ключевых аспектов. Как вы правильно отметили, активное соединение инициируется клиентом, который обращается к KMS-серверу для активации. Исходя из этого, ваш брандмауэр должен разрешать исходящий и ответный трафик.
Необходимые исходящие правила брандмауэра:
-
Порт для KMS:
- Разрешите исходящие соединения по TCP на порт 1688, который используется KMS для связи с клиентами.
permit tcp <client range> <kms-server> eq 1688
- Разрешите исходящие соединения по TCP на порт 1688, который используется KMS для связи с клиентами.
-
Ответный трафик:
- Дополнительно следует разрешить возвратный трафик от KMS-сервера к клиентским машинам. Это правило может быть выражено следующим образом:
permit tcp <kms-server> <client range>
- Дополнительно следует разрешить возвратный трафик от KMS-сервера к клиентским машинам. Это правило может быть выражено следующим образом:
IP-диапазоны:
- IP-диапазон клиентов: Обязательно укажите IP-диапазон, который используется клиентами для связи с KMS-сервером. Это могут быть как статические IP, так и динамические диапазоны, в зависимости от вашей сетевой архитектуры.
Например, если ваши клиенты находятся в подсети 192.168.1.0/24, ваши правила будут выглядеть следующим образом:
permit tcp 192.168.1.0 0.0.0.255 <kms-server> eq 1688
permit tcp <kms-server> 192.168.1.0 0.0.0.255Дополнительные рекомендации:
-
Ведите журналы: Настройте ведение журналов для мониторинга всех соединений, чтобы иметь возможность отслеживать активность и выявлять возможные проблемы с активацией.
-
Тестируйте настройки: После применения правил, протестируйте процесс активации на клиентах, чтобы убедиться, что они могут связываться с KMS-сервером и активироваться без проблем.
-
Обновления и изменения: Регулярно проверяйте и обновляйте правила брандмауэра, особенно в случае изменения сети или добавления новых клиентских машин.
Следуя этим рекомендациям, вы сможете правильно настроить исходящие правила брандмауэра для вашего KMS-сервера, обеспечив корректную активацию клиентов.