![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(176, 66%, 27%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3ECW%3C/text%3E%3C/svg%3E)
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(284.8, 33%, 37%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EDV%3C/text%3E%3C/svg%3E)
您好，
您可以在網域控制站上設定 RPC 動態連接埠範圍，並設定 AD DS 複寫所使用的 RPC 端點映射器連接埠。請注意，限制動態 RPC 連接埠不代表所有 AD 複寫流量都會使用同一個連接埠；TCP 135 仍需開放給 RPC Endpoint Mapper，且 DNS、Kerberos、LDAP 等必要服務也必須允許通過 WAN 防火牆。
若要將一般 RPC 動態連接埠限制為 TCP 50000–50050，請在每台網域控制站的登錄檔 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Rpc\Internet 建立下列值：
Ports：REG_MULTI_SZ，值為 50000-50050
PortsInternetAvailable：REG_SZ，值為 Y
UseInternetPorts：REG_SZ，值為 Y
此設定會限制支援該 RPC 設定的動態端點範圍。請先確認該範圍未被其他服務使用，並在維護時段套用及依 Microsoft 文件要求重新啟動相關服務或伺服器。防火牆需允許 TCP 135，以及 TCP 50000–50050；若環境中還有其他 RPC 服務，請先驗證它們是否也需要動態連接埠。
另外，AD DS 複寫的 RPC 連線通常使用固定的 TCP 連接埠 135 進行端點映射，實際的複寫 RPC 端點也可能需要另外設定。若要固定 AD DS 複寫端點，可在每台網域控制站設定：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
新增 REG_DWORD 值 TCP/IP Port，並指定未被占用的 TCP 連接埠，例如 53211。請先在測試環境驗證，再同步調整 WAN 防火牆規則；此設定會影響 AD DS 複寫端點，不能與一般 RPC 動態連接埠範圍設定混為一談。
套用後，可使用 repadmin /replsummary 和 repadmin /showrepl 檢查複寫狀態，並透過 Test-NetConnection <DC-FQDN> -Port 135 及指定的靜態連接埠驗證 TCP 連線。若仍有 RPC 錯誤，請提供完整錯誤碼（例如 1722）、Windows Server 版本，以及 WAN 防火牆是否允許上述連接埠，以便進一步判斷問題是否涉及路由、DNS 或防火牆規則。
Domic Vo.