Quais portas de firewall eu preciso abrir para que uma confiança de domínio funcione?

Eu tenho dois domínios do Active Directory em duas florestas diferentes; cada domínio possui dois controladores de domínio (todos eles Windows Server 2008 R2). Os domínios também estão em redes diferentes, com um firewall conectando-os.

Preciso criar uma confiança de floresta bidirecional entre os dois domínios e a floresta.

Como faço para configurar o firewall para permitir isso?

Encontrei este artigo , mas ele não explica muito claramente qual tráfego é necessário entre controladores de domínio e qual (se houver) tráfego necessário entre os computadores de domínio em um domínio e os controladores de domínio para o outro.

Tenho permissão para permitir todo o tráfego entre os controladores de domínio, mas permitir que computadores em uma rede acessem controladores de domínio na outra seria um pouco mais difícil.

A lista mínima para um AD Trust é:

53   TCP/UDP  DNS
88   TCP/UDP  Kerberos
389  TCP/UDP  LDAP
445  TCP      SMB
636  TCP      LDAP (SSL)

Você pode reforçar um pouco isso configurando o Kerberos apenas para TCP.
E se você é louco, pode usar arquivos HOSTS em vez de DNS.

Referências: Blog do Pber e MS KB 179442

Quanto aos computadores que precisam acessar o acima: O computador que verifica a autenticação do usuário confiável deve poder entrar em contato diretamente com seu próprio controlador de domínio e o controlador de domínio confiável.

Por exemplo: Bob de Alpha (domínio) está tentando fazer login em uma estação de trabalho que esteja em Omega (domínio). Essa estação de trabalho verificará com seus próprios CDs para obter as informações de confiança relevantes. Em seguida, a estação de trabalho entrará em contato com um controlador de domínio alfa, verificará o usuário e fará o login.

Outro exemplo mais óbvio: Bob está usando sua estação de trabalho no domínio Alpha. Bob efetua login em um serviço da Web que é executado no domínio Omega, mas não usa o Kerberos para autenticar. O servidor da Web no Omega fará a autenticação, portanto, ele precisa de acesso como a estação de trabalho no exemplo anterior.

A última, na verdade, não me lembro da "resposta" - exatamente como a anterior, mas usando a autenticação Kerberizada. Acredito que o servidor da Web Omega ainda precise acessar da mesma forma, mas faz muito tempo e não tenho um laboratório para testá-lo rapidamente. Eu deveria cavar este dia e escrever um artigo no blog.