Zapora systemu Windows: zezwalaj na przychodzący wyjątek administracji zdalnej

Zezwala na zdalne administrowanie tym komputerem przy użyciu narzędzi administracyjnych, takich jak program Microsoft Management Console (MMC) i Instrumentacja zarządzania Windows (WMI, Windows Management Instrumentation). W tym celu Zapora systemu Windows otwiera porty 135 i 445 protokołu TCP. Usługi zwykle używają tych portów do komunikacji przy użyciu zdalnego wywoływania procedur (RPC, Remote Procedure Calls) i modelu DCOM (Distributed Component Object Model). Ponadto w systemie Windows XP Professional z pakietem poprawek co najmniej SP2 i systemie Windows Server 2003 z pakietem poprawek co najmniej SP1 to ustawienie zasad umożliwia usługom SVCHOST.EXE i LSASS.EXE odbieranie niezamawianych komunikatów przychodzących na dodatkowych otwartych, dynamicznie przypisywanych portach, zazwyczaj zawierających się w zakresie od 1024 do 1034. W systemie Windows Vista to ustawienie zasad nie steruje połączeniami z usługami SVCHOST.EXE i LSASS.EXE.

Jeśli to ustawienie zasad zostanie włączone, Zapora systemu Windows zezwoli komputerowi na odbieranie niechcianych komunikatów przychodzących związanych z administracją zdalną. Należy określić adresy IP lub podsieci, z których te komunikaty przychodzące są dozwolone.

Jeśli to ustawienie zasad jest wyłączone lub nieskonfigurowane, Zapora systemu Windows nie otwiera portu 135 lub 445 protokołu TCP. Ponadto w systemie Windows XP Professional z pakietem poprawek co najmniej SP2 i systemie Windows Server 2003 z pakietem poprawek co najmniej SP1 Zapora systemu Windows zapobiega także odbieraniu niechcianych komunikatów przychodzących przez programy SVCHOST.EXE i LSASS.EXE oraz uniemożliwia obsługiwanym usługom otwieranie dodatkowych dynamicznie przypisywanych portów. Wyłączenie tego ustawienia zasad nie blokuje portu 445 protokołu TCP i dlatego nie powoduje konfliktu z ustawieniem zasad „Zapora systemu Windows: zezwalaj na wyjątek udostępniania plików i drukarek".

Uwaga: Złośliwi użytkownicy często próbują atakować sieci i komputery przy użyciu usług RPC i DCOM. Zalecane jest skontaktowanie się z producentami krytycznych programów w celu ustalenia, czy są obsługiwane przez program SVCHOST.exe albo LSASS.exe, lub czy wymagają one komunikacji za pomocą usług RPC i DCOM. Jeśli nie wymagają, nie należy włączać tego ustawienia zasad.

Uwaga: Jeśli dowolne ustawienie zasad otwiera port 445 protokołu TCP, Zapora systemu Windows zezwala na przychodzące komunikaty żądania echa protokołu ICMP (komunikaty wysyłane przez narzędzie Ping), nawet jeśli ustawienie zasad „Zapora systemu Windows: zezwalaj na wyjątki protokołu ICMP" je blokuje. Ustawienia zasad, które mogą otwierać port 445 protokołu TCP to: „Zapora systemu Windows: zezwalaj na przychodzący wyjątek udostępniania plików i drukarek", „Zapora systemu Windows: zezwalaj na przychodzący wyjątek administracji zdalnej" i „Zapora systemu Windows: zdefiniuj przychodzące wyjątki portów".

Zezwalaj na niechciane komunikaty przychodzące z następujących adresów IP:

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\RemoteAdminSettings
Value Name	RemoteAddresses
Value Type	REG_SZ
Default Value

Składnia:

Wpisz „*", aby zezwalać na komunikaty z dowolnej sieci, lub

rozdzielaną przecinkami listę zawierającą

dowolną liczbę lub kombinację następujących elementów:

Adresów IP, na przykład 10.0.0.1

Opisów podsieci, na przykład 10.2.3.0/24

Łańcucha „localsubnet"

Przykład: aby zezwalać na komunikaty z adresu 10.0.0.1,

10.0.0.2 i dowolnego systemu w

podsieci lokalnej lub w podsieci 10.3.4.x,

wpisz następującą wartość w polu „Zezwalaj na niechciane

wiadomości przychodzące z następujących adresów IP":

10.0.0.1,10.0.0.2,localsubnet,10.3.4.0/24