Настройка правил брандмауэра Windows с помощью групповой политики

Брандмауэр Microsoft Defender встроен во все современные версии Windows и Windows Server и позволяет настраивать правила фильтрации входящего и/или исходящего сетевого трафика на вашем компьютере. Правила брандмауэра Windows можно настроить локально на компьютере пользователя (с помощью

wf.msc

консоль,

netsh

команду или встроенный модуль NetSecurity PowerShell). На компьютерах Windows, присоединенных к домену Active Directory, вы можете централизованно управлять правилами и параметрами брандмауэра Microsoft Defender с помощью групповых политик.

В корпоративных сетях правила фильтрации портов обычно устанавливаются на уровне маршрутизаторов, коммутаторов L3 или выделенных межсетевых экранов. Однако ничто не мешает вам развернуть правила доступа к сети брандмауэра Windows на рабочих станциях или серверах Windows.

Включить брандмауэр Microsoft Defender через объект групповой политики

Откройте консоль управления групповой политикой домена (

gpmc.msc

), создайте новый объект групповой политики (политику) с именем gpoFirewallDefault и переключитесь в режим редактирования.

Чтобы пользователи (даже имеющие права локального администратора) не могли остановить службу брандмауэра, рекомендуется настроить автоматический запуск брандмауэра Windows с помощью GPO. Для этого перейдите в Конфигурация компьютера-> Настройки Windows -> Настройки безопасности -> Системные службы. Найдите Брандмауэр Windows в списке служб и измените тип запуска на автоматический (Определите этот параметр политики -> Режим запуска службы Автоматический). Убедитесь, что у ваших пользователей нет разрешения на остановку службы.

Затем перейдите в Конфигурация компьютера -> Политики -> Административные шаблоны -> Сеть -> Сетевые подключения -> Защитник Windows -> Брандмауэр -> Профиль домена и включите политику Брандмауэр Защитника Windows: защитить все сетевые подключения.

Перейдите в раздел Конфигурация компьютера -> Настройки Windows -> Настройки безопасности в консоли объекта групповой политики. Щелкните правой кнопкой мыши Брандмауэр Windows в режиме повышенной безопасности и откройте свойства.

Измените состояние брандмауэра на Вкл. (рекомендуется) на всех трех вкладках: «Профиль домена», «Частный профиль» и «Общественный профиль» (Что такое сетевые профили (расположения) в Windows?). В зависимости от политики безопасности в вашей компании вы можете указать, что все входящие подключения по умолчанию блокируются (Входящие подключения -> Блокировать), а исходящие подключения разрешаются (Исходящие подключения -> Разрешить). Сохраните изменения.

Вы можете отладить правила брандмауэра Защитника Windows на компьютерах клиентов, включив вход в систему.

%systemroot%\system32\logfiles\firewall\pfirewall.log

. По умолчанию ведение журнала сетевых подключений в Windows отключено. Вы можете регистрировать только отклоненные пакеты (Регистрация отброшенных пакетов) или пакеты, разрешенные правилами брандмауэра (Регистрация успешных подключений).

Как создать правило брандмауэра Windows с помощью объекта групповой политики?

Теперь давайте посмотрим, как создать правила брандмауэра Microsoft Defender с помощью групповой политики. Чтобы настроить правила, перейдите в раздел Конфигурация компьютера -> Настройки Windows -> Настройки безопасности -> Брандмауэр Windows в режиме повышенной безопасности.

В объекте групповой политики брандмауэра доступны следующие разделы:

Входящие правила
Исходящие правила
Правила безопасности подключения

Давайте попробуем создать разрешающее правило брандмауэра для входящего трафика. Например, мы хотим разрешить входящее соединение RDP в Windows (порт RDP по умолчанию — TCP 3389). Щелкните правой кнопкой мыши раздел Правила для входящего трафика и выберите Новое правило. Запустится мастер создания нового правила брандмауэра.

Мастер правил брандмауэра имеет интерфейс, аналогичный интерфейсу локального брандмауэра Windows на настольном компьютере пользователя.

Выберите тип правила. Вы можете разрешить доступ к:

Программа - вы можете выбрать исполняемый файл программы (.exe);
Порт - вы можете выбрать порт TCP/UDP или диапазон портов;
Предопределено - выберите одно из стандартных правил Windows, которые уже содержат правила доступа (описаны как исполняемые файлы, так и порты) к типовым сервисам (например, AD, HTTP(s), DFS, BranchCache, Удаленный перезапуск). , SNMP, KMS, WinRM и т. д.);
Пользовательский — здесь вы можете указать программу, протокол (протоколы, отличные от TCP или UDP, например ICMP, GRE, L2TP, IGMP и т. д.), IP-адреса клиентов или всю IP-сеть (подсеть). ).

В нашем случае мы выберем правило порта. Укажем TCP в качестве протокола и 3389 в качестве номера локального порта.

Затем вы должны выбрать, что делать с таким сетевым подключением: Разрешить подключение, Разрешить подключение, если оно безопасно или Заблокировать подключение. .

Затем выберите сетевые профили, чтобы применить правило брандмауэра. Вы можете оставить все профили включенными (доменный, частный и общедоступный).

На последнем шаге укажите имя и описание правила. Нажмите «Готово», и он появится в списке правил брандмауэра.

Современные версии Windows также используют порт UDP 3389 для трафика удаленного рабочего стола (RDP). Поэтому создайте также второе правило Microsoft Defender для этого порта.

Таким же образом вы можете настроить другие правила брандмауэра для входящего трафика, которые будут применяться к вашим клиентам Windows. Вы можете создавать правила как для входящего, так и для исходящего трафика.

Выше мы рассмотрели, как использовать графический мастер для создания правил брандмауэра Защитника Windows. Вы также можете создать список правил в текстовой форме и быстро добавить большое количество исключений в объект групповой политики брандмауэра Защитника.

Перейдите в Конфигурация компьютера -> Политики -> Административные шаблоны -> Сеть -> Сетевые подключения -> Профиль Защитника Windows -> Профиль домена и откройте политику Брандмауэр Защитника Windows: определение исключений для входящих портов. Здесь вы можете создать список правил брандмауэра с помощью простых текстовых строк.

Ниже приведен список правил брандмауэра для входящего трафика, которые я хочу добавить в групповую политику:

3389:UDP:localsubnet:enabled:In_RDP_UDP_3389
445:TCP:localsubnet:enabled:In_SMB_TCP_443
443:TCP:192.168.110.11:enabled:In_HTTP_TCP_445

Нажмите кнопку Показать и скопируйте правила построчно в форму Определить исключения портов.

Этот метод позволяет быстро создать большое количество входящих правил для брандмауэра Windows.

Применение правил брандмауэра Microsoft Defender к компьютерам под управлением Windows

Теперь осталось назначить политику Firewall-Policy OU (Organizational Unit) с компьютерами пользователя. Найдите нужное подразделение в консоли управления групповыми политиками, щелкните его правой кнопкой мыши и выберите Связать существующий объект групповой политики. Выберите политику брандмауэра из списка.

Важно. Прежде чем применять политику межсетевого экрана к подразделению с рабочими компьютерами, настоятельно рекомендуется опробовать ее на нескольких тестовых компьютерах. В противном случае из-за неправильных настроек брандмауэра вы можете полностью заблокировать доступ к сети на компьютерах. Чтобы определить, как применяется групповая политика, используйте инструмент gpresult.

Обновите параметры групповой политики на своих клиентах (gpupdate /force). Убедитесь, что указанные вами порты открыты на компьютерах пользователей (вы можете использовать командлет Test-NetConnection или инструмент Portqry для проверки открытых портов).

На компьютере пользователя откройте Панель управления -> Система и безопасность -> Брандмауэр Защитника Windows и убедитесь, что появилось сообщение В целях вашей безопасности некоторые параметры контролируются групповой политикой, а настройки брандмауэра изменены. использовал.

Теперь пользователь не может изменить настройки брандмауэра, а все созданные вами правила должны появиться в списке «Правила для входящих подключений». Обратите внимание, что по умолчанию новые правила из объекта групповой политики добавляются к существующим правилам локального брандмауэра.

Вы также можете отобразить текущие настройки Защитника Windows с помощью команды:

netsh firewall show state

Или вы можете получить список входящих правил в виде таблицы с помощью скрипта PowerShell:

Get-NetFirewallRule -Action Allow -Enabled True -Direction Inbound |
Format-Table -Property Name,
@{Name='Protocol';Expression={($PSItem | Get-NetFirewallPortFilter).Protocol}},
@{Name='LocalPort';Expression={($PSItem | Get-NetFirewallPortFilter).LocalPort}},
@{Name='RemotePort';Expression={($PSItem | Get-NetFirewallPortFilter).RemotePort}},
@{Name='RemoteAddress';Expression={($PSItem | Get-NetFirewallAddressFilter).RemoteAddress}},
Enabled,Profile,Direction,Action

Как экспортировать и импортировать правила брандмауэра в Windows?

Консоль брандмауэра Защитника Windows позволяет экспортировать и импортировать текущие настройки брандмауэра в текстовый файл. Вы можете настроить правила брандмауэра на эталонном компьютере и экспортировать их в консоль групповой политики.

Настройте нужные правила, затем перейдите в корень оснастки брандмауэра (Монитор брандмауэра Защитника Windows в режиме повышенной безопасности) и выберите «Действие» -> Экспорт политики.

Правила брандмауэра будут экспортированы в файл WFW, который можно импортировать в редактор управления групповыми политиками, выбрав параметр Импортировать политику и указав путь к файлу .wfw (текущие настройки политики будут перезаписано).

Объединение доменных и локальных правил брандмауэра Microsoft Defender

В объекте групповой политики вы можете указать, хотите ли вы разрешить локальным администраторам создавать собственные правила брандмауэра на своих компьютерах и как эти правила должны быть объединены с правилами, назначенными через объект групповой политики.

Откройте свойства политики брандмауэра Windows в объекте групповой политики, выберите вкладку с профилем (Домен) и нажмите кнопку Настроить. Проверьте настройки в разделе Объединение правил. По умолчанию объединение правил включено. Вы можете заставить локального администратора создавать свои собственные правила брандмауэра: выберите Да (по умолчанию) в опции Применить локальные правила брандмауэра.

Совет. Блокирующие правила брандмауэра имеют более высокий приоритет, чем разрешающие. Это означает, что пользователь не может создать разрешающее правило доступа, если оно противоречит запрещающему правилу, настроенному администратором с помощью GPO. Однако пользователь сможет создать локальное правило блокировки, даже если администратор разрешил доступ в политике.

Несколько советов по управлению брандмауэром Windows с помощью объекта групповой политики: