Quels ports ouvrir pour Active Directory, RDP, DNS et plus dans Windows Server

La gestion d'un réseau sous Windows Server exige une connaissance précise des ports qui doivent être ouverts pour que les services fonctionnent correctement. De l'activation de la connexion à distance et de l'authentification des utilisateurs à la résolution correcte des noms de domaine, divers protocoles dépendent de ports spécifiques pour fonctionner. Pour gérer efficacement ces ports, il est utile de consulter la documentation relative aux types de ports réseau.

Que vous configuriez un serveur Active Directory (AD) , un serveur DNS ou que vous activiez l'accès Bureau à distance (RDP) , la redirection de ports est essentielle. Une configuration incorrecte peut entraîner des échecs de connexion, des problèmes d'authentification, voire compromettre la sécurité de votre infrastructure si un nombre excessif de ports est laissé ouvert.

Concepts généraux sur les protocoles et les ports dans Windows Server

Windows Server utilise de nombreux services qui nécessitent l'ouverture des ports TCP et UDP . Ces ports permettent la communication entre différents périphériques et services au sein du réseau et même avec des systèmes externes. Les deux principaux protocoles utilisés sur ces ports sont TCP (Transmission Control Protocol) et UDP (User Datagram Protocol).

Le protocole TCP est un protocole orienté connexion, fiable et garantissant l'acheminement des paquets dans le bon ordre. Il est donc utilisé pour les services exigeant une grande stabilité, tels que HTTP, FTP et RDP. À l'inverse, le protocole UDP est plus rapide mais moins fiable, ce qui explique son choix pour des services comme le DNS, le streaming , les jeux en ligne, etc.

De plus, les ports sont classés en :

• Ports connus (0-1023) : Utilisé par les protocoles standards tels que HTTP (80), DNS (53) ou SSH (22).
• Ports enregistrés (1024-49151) : Créé pour des services ou des applications moins courants. Ils peuvent être enregistrés par des entreprises.
• Ports dynamiques ou éphémères (49152-65535) : Utilisé par le système lorsqu'un client initie une connexion. Également connus sous le nom de ports aléatoires ou temporaires.

Ports utilisés par Active Directory (AD)

Active Directory est au cœur de tout réseau de domaine Windows. Pour que ses services fonctionnent correctement, il est essentiel d'ouvrir plusieurs ports clés, principalement liés aux protocoles LDAP, Kerberos et RPC . Vous trouverez des informations complémentaires sur la communication avec ces services dans différentes configurations.

Parmi les plus importants, nous avons :

• TCP/UDP 389 : C'est le port utilisé par LDAP (Lightweight Directory Access Protocol). Il s’agit d’une priorité pour l’authentification des utilisateurs et la réplication des répertoires.
• TCP 636 : Utilisé pour LDAP sur SSL (LDAPS).
• TCP/UDP 88 : Associé au protocole Kerberos, utilisé pour l'authentification.
• TCP 445 : Utilisé par SMB pour le partage de fichiers et d'imprimantes.
• TCP 135 : Mappeur de points de terminaison RPC.
• TCP 3268 / 3269 : Catalogue mondial (CG). 3268 pour les recherches et 3269 lorsqu'une connexion sécurisée (SSL) est requise.
• TCP 9389 : Services Web Active Directory (ADWS).
• TCP/UDP 53 : Port pour la résolution DNS.
• TCP 49152–65535 : Plage de ports dynamiques RPC.

Ces ports doivent être accessibles sur tous les contrôleurs de domaine et systèmes interagissant avec Active Directory. De plus, si vous utilisez des contrôleurs de domaine situés sur différents sites ou réseaux, assurez-vous que ces ports sont activés entre ces sites.

Ports requis pour le Bureau à distance (RDP)

Le Bureau à distance (RDP) est l'une des fonctionnalités les plus utilisées dans les environnements Windows Server. Son port par défaut est le TCP 3389 , mais il peut être modifié pour des raisons de sécurité. Maintenir un accès sécurisé est essentiel pour la protection de votre réseau.

En fonction de l'infrastructure et du nombre de rôles déployés (tels que la passerelle Bureau à distance, les licences Bureau à distance, l'hôte de session Bureau à distance, etc.), les ports requis varient. Nous vous montrons ici l'essentiel :

• TCP/UDP 3389 : Port RDP par défaut.
• TCP 443 : Si le Bureau à distance via le Web (RDWeb) ou la passerelle est utilisé, il est encapsulé dans HTTPS.
• UDP3391 : Trafic RDP sur UDP, plus efficace s'il est utilisé avec une passerelle.
• TCP 5504 : Communication entre Web Access et Connection Broker.
• TCP 5985 : Pour administration via PowerShell et WMI.
• TCP 445 : Communication SMB entre le serveur de licences et l'hôte.
• TCP 139 / UDP 137-138 : Services NetBIOS utilisés dans les environnements hérités.
• TCP 49152–65535 : Utilisation dynamique par RPC.

Ces ports doivent être ouverts en fonction du rôle spécifique implémenté au sein du serveur RDS. Si vous utilisez des connexions Internet ou des équilibreurs de charge, la passerelle Bureau à distance (RD Gateway) constitue une solution idéale pour encapsuler le protocole RDP dans HTTPS et éviter les problèmes liés aux pare-feu ou aux NAT.

Ports pour les serveurs DNS

Le DNS (Domain Name System) permet aux ordinateurs, qu'ils soient connectés ou non au réseau, de résoudre les noms de domaine, comme « server.contoso.local », en adresses IP. Assurez-vous qu'il est correctement configuré ; vous pouvez en apprendre davantage sur le fonctionnement des serveurs DNS.

Les ports clés pour ce service sont :

• UDP53 : Pour la plupart des requêtes DNS.
• TCP 53 : Il est utilisé lorsque la réponse dépasse la taille d'un paquet UDP ou pour les transferts de zone à zone entre serveurs DNS.

Comme pour tous les services, il est judicieux de garder les ports ouverts uniquement sur les ordinateurs qui agissent comme serveurs DNS et d'appliquer des règles de pare-feu pour filtrer l'accès des réseaux non autorisés.

Ports pour DHCP et WINS

Dans les réseaux où les adresses IP sont attribuées dynamiquement via DHCP , il est nécessaire d'autoriser certains ports :

• UDP67 : Écouté par le serveur DHCP.
• UDP68 : Utilisé par les clients pour recevoir la configuration.

WINS, bien qu'obsolète, peut toujours être présent dans des environnements hérités avec des applications héritées :

• UDP137 : Résolution de nom NetBIOS.
• UDP138 : Services de datagrammes NetBIOS.
• TCP 139 : Sessions NetBIOS.

Si vous n'utilisez pas ces services, il est fortement recommandé de les désactiver et de fermer les ports correspondants afin d'éviter toute vulnérabilité. Vous pouvez également vous renseigner sur la gestion appropriée des périphériques USB dans le cadre de la sécurité globale de votre système.

Ports requis pour les serveurs d'impression

Les serveurs d’impression peuvent également représenter un point d’exposition si les ports inutilisés sont laissés ouverts. Par conséquent, si vous gérez les files d’attente d’impression via Windows Server, assurez-vous que ces ports sont actifs :

• TCP 135 : RPC.
• UDP 137-138 : NetBIOS requis pour le partage d'imprimante sur les réseaux hérités.
• TCP 139 : Communication NetBIOS sur TCP.
• TCP 445 : Protocole SMB pour le partage de fichiers et d'imprimantes.

Il est également judicieux d’ouvrir les ports dynamiques élevés utilisés par le protocole RPC (49152–65535) si le serveur d’impression doit être géré à distance. La manipulation de ces ports peut être cruciale pour un fonctionnement fluide et sûr.

Ports de service de temps (NTP/SNTP)

Windows Server inclut par défaut le service de temps Windows (W32Time), qui synchronise l'horloge système avec des sources externes ou des contrôleurs de domaine. Maintenir une heure précise est essentiel pour la sécurité et la fonctionnalité du système.

Les ports pour ce service sont :

• UDP123 : Port utilisé par NTP et SNTP.

Ce port doit être ouvert si le serveur se synchronise avec une source de temps externe ou si d'autres ordinateurs du réseau l'utilisent comme référence de temps.

Ports pour les services de messagerie (SMTP, POP3, IMAP)

Si vous disposez d'un serveur de messagerie, tel que Microsoft Exchange ou un autre serveur basé sur Windows Server, vous devez ouvrir :

• TCP 25 : SMTP (envoi de courrier).
• TCP 465 / 587 : SMTP avec SSL ou TLS.
• TCP 110 : POP3.
• TCP 995 : POP3 avec SSL.
• TCP 143 : IMAP.
• TCP 993 : IMAP avec SSL.

Il est recommandé d'utiliser des ports chiffrés et de supprimer ou bloquer les ports associés à des protocoles non sécurisés afin de préserver l'intégrité de vos communications. Pour en savoir plus sur la gestion du système d'exploitation sous Windows 11 , consultez la documentation correspondante.

Ports pour les services Web dans IIS

Si votre serveur héberge des pages Web utilisant Internet Information Services (IIS) , vous devrez ouvrir les ports suivants dans votre pare-feu :

• TCP 80 : HTTP (pas de cryptage).
• TCP 443 : HTTPS (cryptage SSL/TLS).
• TCP 8080 : Port alternatif pour HTTP, couramment utilisé dans le développement ou l'administration.

Il est important de disposer de certificats valides pour garantir le bon fonctionnement du trafic HTTPS et éviter les avertissements de sécurité dans votre navigateur. N'oubliez pas que lors de la gestion de vos serveurs, il est essentiel d'avoir une compréhension approfondie des ports ouverts pour éviter les vulnérabilités.

Comment afficher et vérifier quels ports sont ouverts dans Windows Server

Depuis le système lui-même, vous pouvez utiliser plusieurs méthodes :

• netstat -un : Affiche toutes les connexions actives et les ports d'écoute.
• Get-NetTCPConnection (PowerShell) : Très utile pour lister les connexions TCP actives.
• telnet : Vérifiez si un port est accessible depuis un autre ordinateur.
• Test-NetConnection : Commande PowerShell plus moderne pour tester la connectivité.

exemple:

Test-NetConnection -ComputerName servidor.contoso.local -Port 3389

Vous pouvez également utiliser nmap depuis une autre machine pour analyser un ensemble de ports, ce qui est idéal pour les audits. Pour une analyse et une surveillance efficaces, il est conseillé de vous renseigner sur les logiciels de supervision qui vous permettront de mieux gérer vos ressources.

Ports dangereux ou couramment exploités

Il existe des ports qui ont historiquement été la cible d’attaques massives. Quelques exemples :

• TCP 3389 : Le RDP a été attaqué par force brute dans de nombreuses campagnes de ransomware.
• TCP 445 : Exploité par malware comme WannaCry.
• TCP 23 : Telnet, sans cryptage, ne devrait jamais être exposé.
• UDP161 : SNMP, s'il n'est pas utilisé, mieux vaut le fermer.

Laisser ces ports ouverts inutilement est l'une des erreurs de cybersécurité les plus fréquentes . Effectuez des analyses régulières de votre réseau pour détecter ces cas. La gestion des ports est une tâche continue pour sécuriser votre réseau ; il est donc important de savoir comment corriger les erreurs courantes qui peuvent survenir.

Bonnes pratiques pour l'ouverture des ports

• Ouvrez uniquement les ports nécessaires : En matière de sécurité, moins c'est plus.
• Utiliser des pare-feu locaux et périphériques : Configurez des pare-feu sur chaque serveur et à la périphérie du réseau.
• Modifiez les ports par défaut si vous le pouvez : En particulier dans RDP, le changement du port 3389 réduit les attaques automatisées.
• Limiter l'accès par IP : Utilisez des listes blanches pour restreindre les origines pouvant accéder à votre serveur.
• Auditer périodiquement : Utilisez des outils d’analyse pour détecter les ports inutilement ouverts.

Une gestion appropriée des ports ouverts dans Windows Server est essentielle non seulement pour garantir le bon fonctionnement des services, mais également pour minimiser la surface d’attaque. Connaître chaque rôle, les ports dont vous avez besoin et comment les sécuriser vous aidera à disposer d'une infrastructure beaucoup plus robuste contre les menaces internes ou externes.

Article connexe:

Windows 365 Link : Le mini PC qui fait tourner Windows 11 depuis le cloud

Isaac

Écrivain passionné par le monde des octets et de la technologie en général. J'aime partager mes connaissances à travers l'écriture, et c'est ce que je vais faire dans ce blog, vous montrer toutes les choses les plus intéressantes sur les gadgets, les logiciels, le matériel, les tendances technologiques et plus encore. Mon objectif est de vous aider à naviguer dans le monde numérique de manière simple et divertissante.