Benötigte Firewallregeln für den Zertifikatregistrierungs-Webdienst (CES)

Implementiert man einen Zertifikatregistrierungs-Webdienst (CES), ist oft eine Planung der im Netzwerk zu erstellenden Firewallregeln erforderlich. Nachfolgend eine Aufstellung der benötigten Firewallregeln und eventueller Fallstricke.

Die Zertifikatregistrierungs-Webdienste (Certificate Enrollment Policy Web Service, CEP und Certificate Enrollment Web Service, CES) ermöglichen die automatische Beantragung und Erneuerung von Zertifikaten einer Zertifizierungsstelle über eine Webbasierte Schnittstelle. Somit ist kein direkter Kontakt zur Zertifizierungsstelle über Remote Procedure Call (RPC) notwendig. Für eine detailliertere Beschreibung siehe Artikel "Grundlagen Zertifikatbeantragung über Certificate Enrollment Web Services (CEP, CES)".

Clients zum CES

Der CES ist ein Dienst, welcher per HTTPS angesprochen wird. Entsprechend wird der TCP-Port 443 geöffnet.

Netzwerkprotokoll	Ziel-Port	Beschreibung
TCP	443	Hypertext Transfer Protocol Secure (HTTPS)

CES zur Zertifizierungsstelle

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Ganz analog zu allen anderen Clients sind die Ports für die Zertifikatbeantragung zur Zertifizierungsstelle zu öffnen.

Netzwerkprotokoll	Ziel-Port	Protokoll
TCP	135	RPC Endpoint Mapper
TCP	49152-65535	RPC dynamische Ports

CES zur Domäne

Der CES Server ist üblicherweise ein Domänenmitglied, sodass hier die allgemeinen Regeln für die Domänenkommunikation zum Tragen kommen.

Netzwerkprotokoll	Ziel-Port	Protokoll
TCP und UDP	53	Domain Name System
TCP	88	Kerberos
UDP	123	NTP
TCP	135	RPC Endpoint Mapper
TCP und UDP	389	LDAP
TCP	445	Server Message Block RPC Named Pipes
TCP	636	LDAP over SSL
TCP	3268	LDAP-GC
TCP	3269	LDAP-GC over SSL
TCP	49152-65535	RPC dynamische Ports

Wiederherstellen der Standard Windows-Firewall-Regeln

Enable-NetFirewallRule -Name "IIS-WebServerRole-HTTP-In-TCP"
Enable-NetFirewallRule -Name "IIS-WebServerRole-HTTPS-In-TCP"

Weiterführende Links:

• Benötigte Firewallregeln für Active Directory Certificate Services
• Benötigte Firewallregeln für den Registrierungsdienst für Netzwerkgeräte (NDES)
  Benötigte Firewallregeln für den Zertifikatregistrierungsrichtlinien-Webdienst (CEP)
• Benötigte Firewallregeln für den Onlineresponder (OCSP)
• Benötigte Firewallregeln für die Zertifizierungsstellen-Webregistrierung (CAWE)