Windows Server 2022 - UDP Port 53 offen, wie schließen?

[GlockMane88]

Hey Leute,

bei einem Portscan mit nmap habe ich gesehen, dass der UDP Port 53 als offen angezeigt wird, wodurch könnte das sein?

ICS ist aus, Firewall ist in beide Richtungen auf Whitelist eingestellt und ich habe eine einzige Firewall Regel aktiviert, die nichts mit dem genannten Port zutun hat..

Wie kann das sein und wie bekomme ich den Port zu?

 

[CoMo]

53 ist DNS. Wenn etwas auf Port 53 antwortet, läuft dort ein DNS-Server.

Wie kann das sein und wie bekomme ich den Port zu?

DNS-Server abschalten.

 

[GlockMane88]

@CoMo

Die DNS Server Rolle ist nicht installiert. Es läuft nur ein WireGuard Server und ein Dokumenten Management (dafür habe ich TCP Port 2266 geöffnet)..

 

[redjack1000]

Wie kann das sein und wie bekomme ich den Port zu?

Beende den Dienst bzw. die Software, die auf dem Port hört.

CU
redjack

 

[GlockMane88]

Ergänzung (26. November 2023)

@redjack1000

Ich kann leider keinen entsprechenden Dienst oder Software finden..

 

[BFF]

Hatte dieses Internet Connection Sharing (ICS) nicht auch was mit Port 53?

 

[redjack1000]

Auf den Screenshot ist nicht zu erkennen, das etwas auf den Port 53 läuft/horcht

CU
redjack

 

[GlockMane88]

@BFF

Hatte ich im Eingangspost bereits erwähnt, dass der ICS Service deaktiviert ist

@redjack1000

Das meine ich ja, aber ein Portscan mit nmap sagt:

Discovered open port 53/udp on 12.34.56.78
Discovered open|filtered port 53/udp on 78.56.34.12.in-addr.arpa (12.34.56.78) is actually open

 

[tRITON]

12.34.56.78 ist eine öffentliche IP und gehört sicher nicht deinem “Server”

 

[GlockMane88]

@tRITON

Ach menno, die habe ich doch nur unkenntlich gemacht

 

[Malaclypse17]

Ach menno, die habe ich doch nur unkenntlich gemacht

Du hast aber auch nicht verraten, von wo du den Scan durchführst und ob der Server überhaupt öffentlich erreichbar ist.
Da du die IP zensieren musstest, würde ich mal annehmen, dass er von außen erreichbar ist?

 

[GlockMane88]

@Malaclypse17

Korrekt, es handelt sich um einen VPS, dieser ist öffentlich erreichbar.. Den Scan führe ich von zu Hause aus durch.

Wenn ich nur nach dem einzelnen Port scanne zeigt er mir:

PORT STATE SERVICE
53/udp open|filtered domain

Also kann er nicht identifizieren ob er jetzt offen oder gefiltert ist..?

 

[madmax2010]

Ich kann leider keinen entsprechenden Dienst oder Software finden..

was hat denn diePID 1516?

Es läuft nur ein WireGuard Server und ein Dokumenten Management

Warum Windows server? Sind das nicht etwas viele Ressourcen und Lizenzkosten für ein wenigKleinkram?

 

[GlockMane88]

was hat denn diePID 1516?

svchost.exe

Ergänzung (26. November 2023)

Langsam habe ich das Gefühl, dass hier gar kein Problem vorliegt und der nmap Output einfach verwirrt?

 

[Giana]

Verbindet sich denn telnet auf den Port?

 

[Malaclypse17]

PORT STATE SERVICE
53/udp open|filtered domain

Aus meinem begrenzten Verständnis würde das heißen, dass der Port offen ist, aber nicht antwortet, also NMAP nicht konklusiv sagen kann, ob er offen ist oder nicht.

 

[CoMo]

Verbindet sich denn telnet auf den Port?

Ganz bestimmt nicht, denn telnet spricht kein UDP.

Das richtige Werkzeug an der Stelle wäre netcat. Allerdings auch nur, wenn man Kontrolle über die Gegenstelle hat, denn eine richtige Verbindung kommt mit einem verbindungslosen Protokoll naturgemäß nicht zustande.

Langsam habe ich das Gefühl, dass hier gar kein Problem vorliegt und der nmap Output einfach verwirrt?

Ja, davon gehe ich aus.

Ergänzung (26. November 2023)

Aus meinem begrenzten Verständnis würde das heißen, dass der Port offen ist, aber nicht antwortet, also NMAP nicht konklusiv sagen kann, ob er offen ist oder nicht.

Das ist natürlich auch Unsinn, denn wenn auf einem Port nichts antwortet, dann ist er auch nicht "offen".

 

[GlockMane88]

was hat denn diePID 1516?

Warum Windows server? Sind das nicht etwas viele Ressourcen und Lizenzkosten für ein wenigKleinkram?

Habe noch mDNS deaktiviert:

Jetzt schaut es so aus:

Leider geht das Dokumenten-Management nur mit dem Windows Server.. Der Dienst soll nur über eine WireGuard Verbindung erreichbar sein..

 

[Malaclypse17]

Das ist natürlich auch Unsinn, denn wenn auf einem Port nichts antwortet, dann ist er auch nicht "offen".

Würde ich so schnell nicht von der Hand weisen, vorallem nicht bei UDP:
- Server responds with UDP packet --> Port is opened
- No response after retransmission --> Port is Open|Filtered

 

[GlockMane88]

@CoMo

Was mich halt wundert, warum spuckt er explizit den UDP Port 53 aus, wenn ich einen Intense Scan mache, wenn ich aber nur nach dem einen Port Scanne zeigt er mir genauso wie bei anderen UDP Ports "Open|Filtered" an..