von Oliver Sommer
2008-08-19

Nachdem der DNS Patch MS08-037 (KB 951746 und 951748) installiert wurde, der eine wichtige und bereits vielfach und sehr aktiv ausgenutzte Sicherheitslücke geschlossen hat, kann es nach einem Neustart des Server zum Totalverlust der Netzwerkkommunikation kommen. Ein Neustart des Server hilft dann evtl. den Netzwerkverkehr zumindest teilweise wieder in Gang zu bekommen.

Als Gegenmassnahme wird zur Zeit die Ausklammerung diverser Ports, welche von anderen Diensten des SBS benutzt werden, von der Verwendung durch den DNS Dienst empfohlen.
Diese Ports sind:

• IAS mit den Ports 1645-1646 und 1812-1813
• L2TP mit Port 1701-1701
• AUTD mit Port 2883-2883
• IPSec mit Port 4500-4500

Diese Ports sollte man der Ausschlussliste der dem DNS Dienst zur Verfügung stehenden Ports hinzufügen. Wichtig ist hierbei die bereits bestehende Liste nicht zu löschen, sondern die neuen Werte der Liste hinzuzufügen.

Diese Liste befindet sich in folgendem Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\ReservedPorts

Eine evtl. Warnung beim Setzen des Wertes bzgl. leerer Strings kann mit OK bestätigt werden.

Nachdem die Werte in der Registrierung modifiziert wurden muss der Server zur Anwendung der neuen Werte neugestartet werden.

Die folgende beiden MS KB Artikel geben weitere Infos zu diesem Problem: