Schließen des Ports 445 nach ntsvcfg-Anweisung sinnvoll ?

[franzkat]

Auf www.ntsvcfg.de werden folgende Empfehlungen gegeben, um den Port TCP 445 dichtzumachen :

Der Weg über die Deaktivierung des Nicht-PnP-Treibers NetBIOS über TCP/IP wird verworfen, da

..eine Deaktivierung von microsoft-ds tief in das System eingreift und es wahrscheinlich ist, daß hierdurch Probleme entstehen können

Stattdesssen wird ein Registry-Eintrag vorgeschlagen

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic  es\NetBT\Parameters]
"SMBDeviceEnabled"=dword:00000000

der den Port TCP 445 sicher schließt, und trotzdem

...bleibt Netbios-Funktionalität erhalten

Was hier allerdings nicht erwähnt wird, aber wesentlich ist, dass man jetzt nicht durch einen Zaubertrick Netzwerkfunktionen bekommt, ohne dafür einen Port öffnen zu müssen. Die Netzwerkfunktionalität wird durch die "alten" Netbios-Ports

nbname 137/UDP
nbname 137/TCP
nbdatagram 138/UDP
nbsession 139/TCP

hergestellt. Auf Win 2000/XP-Netzwerken müßten die aber gar nicht mehr geöffnet werden, da hier das SMB-Protokoll direkt von TCP gehostet werden kann und nicht über den Umweg der Netbios-Schicht gehen muss. Die Vorteile dieser neuen Technik beschreibt Microsoft so :

Windows supports file and printer sharing traffic by using the Server Message Block (SMB) protocol directly hosted on TCP. This differs from earlier operating systems, in which SMB traffic requires the NetBIOS over TCP (NBT) protocol to work on a TCP/IP transport. Removing the NetBIOS transport has several advantages, including: : Simplifying the transport of SMB traffic.

In einem reinen W2K/XP-Netzwerk macht es also keinen Sinn statt einem Port vier offenzuhalten und dann noch eine weniger ökonomische Technik der Übertragung des SMB-Protokolls zu wählen. Etwas anders sieht es in gemischten Netzwerken aus, in denen auch Win 9x bzw. NT 4.0 vorhanden sind und noch mit dem alten Netbios over TCP arbeiten müssen. Nur in einem solchen Netz macht es aus meiner Sicht Sinn, den Port 445 zu schließen und auf SMB over TCP zu verzichten.

Zur Technik des Portmappings bei SMB siehe auch hier :

http://ntsecurity.nu/papers/port445/

 

[dinki88]

Das ist nicht ganz richtig, da die Ports 137 und 139 ebenfalls geschlossen werden.

http://www.ntsvcfg.de/#_chklst

 

[franzkat]

Das ist wohl ein Versehen der Autoren, denn sie schreiben an anderer Stelle :

Es wird nicht, wie in Frank Kaunes' Anleitung beschrieben, der Dienst NetBT deaktiviert, sondern alternativ der Eintrag "SMBDeviceEnabled=0" gesetzt, was ebenso Port 445 schließt, und dennoch NetBIOS-Funktionalität sichert

Es ist ja auch klar. Wie sollen Netzwerkfunktionen ohne entsprechende Ports zur Verfügung stehen. Insbesondere der Port 139 ermöglich erst die Netbios-Session.

 

[franzkat]

Nochmal getestet. Die klassischen Netbios-Ports 137-139 bleiben auch nachdem Registry-Eintrag offen.

 

[dinki88]

Bei mir hat die Deaktivierung von ds noch nie ein Problem verursacht.

Daher ist SMB, für mich zumindest, auch nur als Alternative zu sehen und hab' ich in der Form noch nicht angewendet.

Aber auf alle Fälle danke für die Info, wußte ich nicht.

 

[franzkat]

Bei mir hat die Deaktivierung von ds noch nie ein Problem verursacht.

Daher ist SMB, für mich zumindest, auch nur als Alternative zu sehen und hab' ich in der Form noch nicht angewendet.

Das ist ja auch nicht der Punkt. Es wird ja nicht gesagt, dass Netzwerk ohne Port 445 nicht möglich ist.Die Frage ist nur : zu welchem Preis.SMB wird bei Dateienaustausch über ein MS-Netzwerk immer als Protokoll verwendet, sonst könnte z.B. ein FAT32-System nicht mit erinem NTFS-System kommunizieren.