幾個 NetBIOS 的防火牆規則記錄

最近因為在設定 SCOM 時，發現網域內有部份 server 無法被 Discovery  的問題 ( 有的server 可以被 discovery 、 有的不行 )。

根據 SCOM 發生無法 discovery 的問題時，會吐出一些包含解決方法的網址如下：

SCOM 自動產生的解決方案的網址

該篇文章大致從 3 個方向著手：

(1) 該 server 是否有加入 domain

(2) 該 server 是否能在網路中被聯絡的到

(3) 是否使用適當的帳戶

我確定我 (1)、(3) 項都沒問題，所以我朝著 (2) 項來了解。

首先，我使用 ping –a <computer IP> 以及 nbtstat –A <computer IP> 時，無法找到被解析名稱的資訊 (即使用 IP 無法找到 FQDN or NetBIOS name) 。但是文章中並沒有解釋的很清楚，我做了不同嘗試後找到了答案，並且趕緊記下來。文章中說明要開啟 File and Printer Sharing 的防火牆規則是沒錯的，但是沒說明要開哪個。

我嘗試過後，確定是以下 3 條規則，分別是 Port UDP 137、138、139 的防火牆規則：

開啟後就能讓 Discovery server  的作業運行無誤，但這邊要稍加說明一下細節。

(1) 使用 ping –a 及 nbtstat –A 時，其實是使用 「檔案及印表機共用 (NB-Name-In) 」 這條防火牆規則

a. 沒開放規則前使用 ping –a 的回應

b. 開放規則之後 ( 你就會看見被解析後的 server name 了)

(2) 在安裝 Agent 到指定的 server 時，要開啟 「檔案及印表機共用 (NB-Session-In) 」這條。 我的猜測是，在安裝時需要建立一條 session ，故要開啟這條規則。 如果沒開可是會安裝失敗的喔。

(3)最後的一條規則，雖然我還不大清楚它是用來作什麼的，但是我還是會開放，以免日後哪裡又出了問題。

( 最後要注意的是「安全性議題」，這些規則記得都只開放給網域內的電腦使用，也就是防火牆的 profile 記得設定為網域 )