unnötiger Netzwerkverkehr über Port 445

[beppo 10]

Hallo zusammen,

 

ich habe ein Problem mit erhöhtem Netzwerkverkehr auf dem Port 445 (SMB). Da wir keine Standleitung zu unserem Haupthaus haben, sollen die unnötigen SMB-Aufbauversuche, die sich 200mal pro Nacht hinziehen, abgestellt werden. Ich habe bis jetzt aber keine Anwendung oder sonstigen Dienst gefunden, der sich versucht auf unseren DC dauernd anzumelden. Auf dem Router haben wir nun mal den Port 445 gesperrt. Dadurch kann man natürlich auch keine Datei- und Druckerfreigabe mehr nutzen, da wir auch NetBT deaktiviert (WICHTIG!) haben. Kann mir vielleicht jemand sagen, wie ich herausbekomme welche Anwendung diese dauernden SMB-Aufkommen verursacht?

 

Vielen Dank im Voraus.

 

Gruß Beppo

[IvkovicD 10]

Hallo Beppo,

 

falls ihr keine Sites konfiguriert habt, dann ist das die normale AD Replikation auf Port 445 (SMB), die einiges dazu beiträgt, eure Leitung offen zu halten, evtl. fällt es euch tagsüber nicht auf, da die Leitung so oder so offen ist, Nachts ist es dann wieder was anderes:

 

Port Assignments for Active Directory Replication

 

Service Name UDP TCP

LDAP 389 389

LDAP 686 (Secure Sockets Layer [sSL])

LDAP 3268 (global catalog)

Kerberos 88 88

DNS 53 53

SMB over IP 445 445

Ansonsten kannst du hier sehen, was ein Windows DC alles so benötigt für Ports: http://support.microsoft.com/default.aspx?scid=kb;en-us;832017

 

 

Du kannst ja mal posten, wie eure DC-Struktur aussieht...

 

Gruß

 

Dejan

[beppo 10]

Hi Dejan!

 

Danke für deine schnelle Antwort.

 

Was meinst du mit "Sites konfigurieren"?

 

In der betroffenen Filiale befindet sich kein DC sondern nur Windows 2000 Professional Clients. Die komplette Netzwerksicherheit und -konfiguration inkl. Router, DNS-Server läuft über einen Servicevertrag mit der Telekom. Die konnten uns nur mitteilen, dass auf dem Router laufend (ca. alle 1,5 - 60 Minuten) SMB-Pakete über den Port 445 durchgehen und dadurch die Verbindung zum Haupthaus auf den DC aufgebaut wird. Wir arbeiten hauptsächlich auf Terminal- und Applikationsservern über das RDP-Protokoll.

 

Weisst du vielleicht welche Informationen die Clients abrufen?

 

Danke schon mal

 

Gruß Beppo

[IvkovicD 10]

Hallo Beppo,

 

nachdem es sich nicht um keine DC-DC Replikation handelt (war in der Annahme, anyway....) müssen es die W2K (oder größer) Clients sein (du hast aber trotzdem eine Domäne am laufen?), die darunter fallenden Dienste sind:

 

Zugriff DFS, License (eher nicht), Netlogon, Spooler (wohl auch nicht), Server (das schon eher) und natürlich die regälmäßige Aktualisierung der GPOs (90mins +/- 30mins und alle 16 Stunden so oder so). Das kann sich, wenn mehrere Rechner an sind (sind sie das?), schon zu dem beschriebenen Scenario summieren.

 

Deaktivieren kannst du das nicht, da müsstest du entweder einen DC zum Standort stellen und mittels Sites die Replikation steuern (das geht) oder die Rechner ausschalten.

 

Ich hätte da auch eine dritte Idee, dazu später mehr...

 

Auf dem Router haben wir nun mal den Port 445 gesperrt. Dadurch kann man natürlich auch keine Datei- und Druckerfreigabe mehr nutzen, da wir auch NetBT deaktiviert (WICHTIG!) haben

 

Das hast du jetzt gemacht, damit der Verkehr nicht überhand nimmt; schaltest du das jeden Morgen wieder an?

 

NetBT ist für Datei/Drucker zuständig, die über die alten 13x Ports laufen. Du kannst aber weiterhin auf Shares/Drucker +ber Microsoft-DS (445) zugreifen, wenn du sie "findest" (siehe dazu Publishen in der AD, falls du eine hast)...

 

Meine Dritte Idee...

 

Ein halbwegs anständiger Router unterscheidet beim Aufbau einer Leitung zwischen "call" und "data", d.h. du kannst triggern, wer die Leitung aufbauen darf, und wer nicht (mit "call"). Ich könnte mir vorstellen, dass du einen "Call"-Filter definierst, der nur bestimmten Maschinen den Aufbau der Leitung erlaubt, und diese Maschinen eben Nachts nicht an lässt. Wenn die Leitung irgendwann abgebaut ist, können die anderen Maschinen keine neue Verbindung aufbauen, solange die Filter-Member das nicht selber machen.

 

Das beinhaltet, dass

 

a) ein paar Rechner nachts aus sind

b) das diese Rechner am Tag die Leitung offen halten, da du mit einem geringen Timeoutwert arbeiten musst (unter 3 mins, siehe deine Analyse der Telekom)

 

Weiterhin ist diese Lösung etwas träge, da u.U. die Leitung mehrfach am Tag abgebaut wird, und es doch ein paar Sekunden dauert, bis alles wieder online ist...

 

 

Gruß

 

Dejan

[beppo 10]

Hallo Dejan,

 

in der Filiale befindet sich kein Server nur 2k Pro Clients. Die Aktualisierung der GPO's habe ich auch schon vermutet, aber Aktualisierung der GPO's soll weiter laufen. Mein Chef hat aber nicht verstanden, dass wenn Port 445 zu ist, keine Aktualisierung durchgeführt wird. Ist doch richtig, oder? Vom angefallenen Zeitraum des Verbindungszeitraums könnten es die GPO-Aktualisierungen sein.

 

Ich werde mal über deine Idee mit meinem Chef reden.

 

Melde mich wieder.

 

Vorerst mal vielen Dank.

 

Gruß Beppo

[beppo 10]

Habe nun das Problem lokalisiert und ausgeschaltet. Man muss zusatzlich zum deaktivieren des NBT noch den Dienst "TCP/IP-Netbios-Hilfsprogramm" auschalten. Dann entsteht über den Port 445 kein unnötiger Traffic mehr.

 

Danke nochmals an Dejan.

 

Frage beantwortet!!!

 

CLOSED!