การกำหนดค่ากฎไฟร์วอลล์ Windows โดยใช้นโยบายกลุ่ม

ไฟร์วอลล์ Microsoft Defender สร้างขึ้นใน Windows และ Windows Server รุ่นใหม่ทั้งหมด และอนุญาตให้คุณกำหนดค่ากฎสำหรับการกรองการรับส่งข้อมูลเครือข่ายขาเข้าและ/หรือขาออกบนคอมพิวเตอร์ของคุณ สามารถกำหนดค่ากฎ Windows Firewall ได้ภายในเครื่องคอมพิวเตอร์ของผู้ใช้ (โดยใช้ไฟล์

wf.msc

คอนโซล,

netsh

คำสั่งหรือโมดูล NetSecurity PowerShell ในตัว) บนคอมพิวเตอร์ Windows ที่เข้าร่วมกับโดเมน Active Directory คุณสามารถจัดการกฎและการตั้งค่าไฟร์วอลล์ของ Microsoft Defender จากส่วนกลางได้โดยใช้นโยบายกลุ่ม

ในเครือข่ายองค์กร กฎการกรองพอร์ตมักจะตั้งค่าที่ระดับของเราเตอร์ สวิตช์ L3 หรืออุปกรณ์ไฟร์วอลล์เฉพาะ อย่างไรก็ตาม ไม่มีอะไรขัดขวางคุณจากการปรับใช้กฎการเข้าถึงเครือข่าย Windows Firewall กับเวิร์กสเตชันหรือเซิร์ฟเวอร์ Windows

เปิดใช้งานไฟร์วอลล์ Microsoft Defender ผ่าน GPO

เปิดคอนโซลการจัดการนโยบายกลุ่มของโดเมน (

gpmc.msc

) สร้างวัตถุ GPO ใหม่ (นโยบาย) ด้วยชื่อ gpoFirewallDefault และเปลี่ยนเป็นโหมดแก้ไข

เพื่อป้องกันไม่ให้ผู้ใช้ (แม้ว่าจะมีสิทธิ์ของผู้ดูแลระบบภายในเครื่อง) หยุดบริการไฟร์วอลล์ ขอแนะนำให้กำหนดค่าการเริ่มต้นอัตโนมัติของไฟร์วอลล์ Windows โดยใช้ GPO โดยไปที่การกำหนดค่าคอมพิวเตอร์ -> การตั้งค่า Windows -> การตั้งค่าความปลอดภัย -> บริการระบบ ค้นหา ไฟร์วอลล์ Windows ในรายการบริการและเปลี่ยนประเภทการเริ่มต้นเป็นอัตโนมัติ (กำหนดการตั้งค่านโยบายนี้ -> โหมดการเริ่มต้นบริการอัตโนมัติ) ตรวจสอบให้แน่ใจว่าผู้ใช้ของคุณไม่ได้รับอนุญาตให้หยุดบริการ

จากนั้นไปที่ การกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> เทมเพลตการดูแลระบบ -> เครือข่าย -> การเชื่อมต่อเครือข่าย -> Windows Defender -> ไฟร์วอลล์ -> โปรไฟล์โดเมน และเปิดใช้งานนโยบาย ไฟร์วอลล์ Windows Defender: ป้องกันทั้งหมด การเชื่อมต่อเครือข่าย

ไปที่ส่วน การกำหนดค่าคอมพิวเตอร์ -> การตั้งค่า Windows -> การตั้งค่าความปลอดภัย ในคอนโซล GPO คลิกขวาที่ ไฟร์วอลล์ Windows ที่มีความปลอดภัยขั้นสูง แล้วเปิดคุณสมบัติ

เปลี่ยนสถานะไฟร์วอลล์เป็น เปิด (แนะนำ) ในทั้งสามแท็บ ได้แก่ โปรไฟล์โดเมน โปรไฟล์ส่วนตัว และโปรไฟล์สาธารณะ (โปรไฟล์เครือข่าย (ตำแหน่ง) ใน Windows คืออะไร) ขึ้นอยู่กับนโยบายความปลอดภัยในบริษัทของคุณ คุณสามารถระบุได้ว่าการเชื่อมต่อขาเข้าทั้งหมดจะถูกบล็อกตามค่าเริ่มต้น (การเชื่อมต่อขาเข้า -> บล็อก) และอนุญาตการเชื่อมต่อขาออก (การเชื่อมต่อขาออก -> อนุญาต) บันทึกการเปลี่ยนแปลง

คุณสามารถแก้ไขข้อบกพร่องของกฎไฟร์วอลล์ Windows Defender บนคอมพิวเตอร์ของลูกค้าได้โดยการเปิดใช้งานการเข้าสู่ระบบ

%systemroot%\system32\logfiles\firewall\pfirewall.log

. ตามค่าเริ่มต้น การบันทึกการเชื่อมต่อเครือข่ายจะถูกปิดใช้งานใน Windows คุณสามารถบันทึกได้เฉพาะแพ็กเก็ตที่ถูกปฏิเสธ (บันทึกแพ็กเก็ตที่ถูกทิ้ง) หรือแพ็กเก็ตที่อนุญาตโดยกฎไฟร์วอลล์ (บันทึกการเชื่อมต่อที่สำเร็จ)

จะสร้างกฎไฟร์วอลล์ Windows ด้วย GPO ได้อย่างไร

ตอนนี้ มาดูวิธีสร้างกฎไฟร์วอลล์ของ Microsoft Defender ผ่าน Group Policy หากต้องการกำหนดค่ากฎ ให้ไปที่ การกำหนดค่าคอมพิวเตอร์ -> การตั้งค่า Windows -> การตั้งค่าความปลอดภัย -> ไฟร์วอลล์ Windows พร้อมความปลอดภัยขั้นสูง

ส่วนต่อไปนี้มีอยู่ใน Firewall GPO:

กฎขาเข้า
กฎขาออก
กฎความปลอดภัยการเชื่อมต่อ

มาลองสร้างกฎไฟร์วอลล์ขาเข้าที่อนุญาต ตัวอย่างเช่น เราต้องการอนุญาตการเชื่อมต่อ RDP ขาเข้าบน Windows (พอร์ต RDP เริ่มต้นคือ TCP 3389) คลิกขวาที่ส่วน กฎขาเข้า แล้วเลือก กฎใหม่ ตัวช่วยสร้างกฎไฟร์วอลล์ใหม่เริ่มต้นขึ้น

ตัวช่วยสร้างกฎไฟร์วอลล์มีอินเทอร์เฟซที่คล้ายกับไฟร์วอลล์ Windows ภายในเครื่องบนคอมพิวเตอร์เดสก์ท็อปของผู้ใช้

เลือกประเภทกฎ คุณสามารถอนุญาตให้เข้าถึง:

โปรแกรม - คุณสามารถเลือกโปรแกรมปฏิบัติการ (.exe);
พอร์ต - คุณสามารถเลือกพอร์ต TCP/UDP หรือช่วงพอร์ต
กำหนดไว้ล่วงหน้า - เลือกหนึ่งในกฎมาตรฐานของ Windows ซึ่งมีกฎการเข้าถึงอยู่แล้ว (อธิบายทั้งไฟล์ปฏิบัติการและพอร์ต) สำหรับบริการทั่วไป (เช่น AD, HTTP(s), DFS, BranchCache, การรีสตาร์ทระยะไกล , SNMP, KMS, WinRM ฯลฯ);
กำหนดเอง - ที่นี่คุณสามารถระบุโปรแกรม โปรโตคอล (โปรโตคอลอื่นที่ไม่ใช่ TCP หรือ UDP เช่น ICMP, GRE, L2TP, IGMP เป็นต้น) ที่อยู่ IP ของไคลเอนต์ หรือเครือข่าย IP ทั้งหมด (ซับเน็ต ).

ในกรณีของเรา เราจะเลือกกฎพอร์ต ระบุ TCP เป็นโปรโตคอล และ 3389 เป็นหมายเลขพอร์ตในเครื่อง

จากนั้นคุณต้องเลือกว่าจะทำอย่างไรกับการเชื่อมต่อเครือข่าย เช่น อนุญาตการเชื่อมต่อ อนุญาตการเชื่อมต่อหากปลอดภัย หรือ บล็อกการเชื่อมต่อ .

จากนั้นเลือกโปรไฟล์เครือข่ายเพื่อใช้กฎไฟร์วอลล์ คุณสามารถปล่อยให้โปรไฟล์ทั้งหมดเปิดใช้งานได้ (โดเมน ส่วนตัว และสาธารณะ)

ในขั้นตอนสุดท้าย ให้ระบุชื่อและคำอธิบายของกฎ คลิก เสร็จสิ้น และจะปรากฏในรายการกฎไฟร์วอลล์

Windows รุ่นสมัยใหม่ยังใช้พอร์ต UDP 3389 สำหรับการรับส่งข้อมูลเดสก์ท็อประยะไกล (RDP) ดังนั้น ให้สร้างกฎ Microsoft Defender ที่สองสำหรับพอร์ตนั้นด้วย

ในทำนองเดียวกัน คุณสามารถกำหนดค่ากฎไฟร์วอลล์ขาเข้าอื่นๆ เพื่อใช้กับไคลเอ็นต์ Windows ของคุณได้ คุณสามารถสร้างกฎสำหรับการรับส่งข้อมูลทั้งขาเข้าและขาออก

ด้านบน เราได้ดูวิธีใช้ตัวช่วยสร้างกราฟิกเพื่อสร้างกฎ Windows Defender Firewall คุณยังสามารถสร้างรายการกฎในรูปแบบข้อความธรรมดา และเพิ่มข้อยกเว้นจำนวนมากไปยัง Defender Firewall GPO ได้อย่างรวดเร็ว

ไปที่การกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> เทมเพลตการดูแลระบบ -> เครือข่าย -> การเชื่อมต่อเครือข่าย -> โปรไฟล์ Windows Defender -> โปรไฟล์โดเมน และเปิดนโยบาย ไฟร์วอลล์ Windows Defender: กำหนดข้อยกเว้นพอร์ตขาเข้า คุณสามารถสร้างรายการกฎไฟร์วอลล์ด้วยสตริงข้อความธรรมดาได้ที่นี่

ด้านล่างนี้คือรายการกฎไฟร์วอลล์ขาเข้าที่ฉันต้องการเพิ่มใน Group Policy:

3389:UDP:localsubnet:enabled:In_RDP_UDP_3389
445:TCP:localsubnet:enabled:In_SMB_TCP_443
443:TCP:192.168.110.11:enabled:In_HTTP_TCP_445

คลิกปุ่ม แสดง และคัดลอกกฎของคุณทีละบรรทัดลงในแบบฟอร์ม กำหนดข้อยกเว้นของพอร์ต

วิธีนี้ช่วยให้คุณสร้างกฎขาเข้าจำนวนมากสำหรับไฟร์วอลล์ Windows ได้อย่างรวดเร็ว

การใช้กฎไฟร์วอลล์ของ Microsoft Defender กับคอมพิวเตอร์ Windows

ตอนนี้ยังคงกำหนดนโยบายนโยบายไฟร์วอลล์ให้กับ OU (หน่วยองค์กร) ด้วยคอมพิวเตอร์ของผู้ใช้ ค้นหา OU ที่ต้องการในคอนโซลการจัดการนโยบายกลุ่ม คลิกขวาแล้วเลือก เชื่อมโยง GPO ที่มีอยู่ เลือกนโยบายไฟร์วอลล์ของคุณจากรายการ

สำคัญ ก่อนใช้นโยบายไฟร์วอลล์กับ OU กับคอมพิวเตอร์ที่ใช้งานจริง ขอแนะนำให้ลองใช้กับคอมพิวเตอร์ทดสอบบางเครื่องก่อน มิฉะนั้น เนื่องจากการตั้งค่าไฟร์วอลล์ไม่ถูกต้อง คุณสามารถบล็อกการเข้าถึงเครือข่ายบนคอมพิวเตอร์ได้อย่างสมบูรณ์ หากต้องการวิเคราะห์ว่านโยบายกลุ่มของคุณถูกนำไปใช้อย่างไร ให้ใช้เครื่องมือ gpresult.

อัปเดตการตั้งค่า Group Policy บนไคลเอนต์ของคุณ (gpupdate /force) ตรวจสอบว่าพอร์ตที่คุณระบุเปิดอยู่บนคอมพิวเตอร์ของผู้ใช้ (คุณสามารถใช้ Test-NetConnection cmdlet หรือเครื่องมือ Portqry เพื่อตรวจสอบพอร์ตที่เปิดอยู่)

ในคอมพิวเตอร์ของผู้ใช้ ให้เปิดแผงควบคุม -> ระบบและความปลอดภัย -> ไฟร์วอลล์ Windows Defender และตรวจสอบให้แน่ใจว่ามีข้อความ เพื่อความปลอดภัยของคุณ การตั้งค่าบางอย่างจะถูกควบคุมโดยนโยบายกลุ่ม และการตั้งค่าไฟร์วอลล์ของคุณคือ ใช้แล้ว.

ขณะนี้ผู้ใช้ไม่สามารถเปลี่ยนการตั้งค่าไฟร์วอลล์ได้ และกฎทั้งหมดที่คุณสร้างขึ้นจะต้องปรากฏในรายการกฎขาเข้า โปรดทราบว่าตามค่าเริ่มต้น กฎใหม่จาก GPO จะถูกเพิ่มไปยังกฎไฟร์วอลล์ในเครื่องที่มีอยู่

คุณยังสามารถแสดงการตั้งค่า Windows Defender ปัจจุบันได้ด้วยคำสั่ง:

netsh firewall show state

หรือคุณสามารถรับรายการกฎขาเข้าในรูปแบบตารางโดยใช้สคริปต์ PowerShell:

Get-NetFirewallRule -Action Allow -Enabled True -Direction Inbound |
Format-Table -Property Name,
@{Name='Protocol';Expression={($PSItem | Get-NetFirewallPortFilter).Protocol}},
@{Name='LocalPort';Expression={($PSItem | Get-NetFirewallPortFilter).LocalPort}},
@{Name='RemotePort';Expression={($PSItem | Get-NetFirewallPortFilter).RemotePort}},
@{Name='RemoteAddress';Expression={($PSItem | Get-NetFirewallAddressFilter).RemoteAddress}},
Enabled,Profile,Direction,Action

จะส่งออกและนำเข้ากฎไฟร์วอลล์บน Windows ได้อย่างไร

Windows Defender Firewall Console ช่วยให้คุณสามารถส่งออกและนำเข้าการตั้งค่าไฟร์วอลล์ปัจจุบันไปยังไฟล์ข้อความ คุณสามารถกำหนดค่ากฎไฟร์วอลล์บนคอมพิวเตอร์อ้างอิงและส่งออกไปยังคอนโซลนโยบายกลุ่ม

กำหนดค่ากฎที่คุณต้องการ จากนั้นไปที่รูทของสแนปอินไฟร์วอลล์ (การตรวจสอบไฟร์วอลล์ Windows Defender พร้อมความปลอดภัยขั้นสูง) และเลือกการดำเนินการ -> นโยบายการส่งออก

กฎไฟร์วอลล์ของคุณจะถูกส่งออกเป็นไฟล์ WFW ซึ่งสามารถนำเข้าไปยังตัวแก้ไขการจัดการนโยบายกลุ่มได้โดยเลือกตัวเลือก นำเข้านโยบาย และระบุเส้นทางไปยังไฟล์ .wfw (การตั้งค่านโยบายปัจจุบันจะเป็น เขียนทับ).

การผสานโดเมนและกฎไฟร์วอลล์ของ Microsoft Defender ภายในเครื่อง

ใน GPO คุณสามารถระบุว่าคุณต้องการอนุญาตให้ผู้ดูแลระบบภายในสร้างกฎไฟร์วอลล์ของตนเองบนคอมพิวเตอร์หรือไม่ และควรรวมกฎเหล่านี้กับกฎที่กำหนดผ่าน GPO อย่างไร

เปิดคุณสมบัติของนโยบาย Windows Firewall ใน GPO เลือกแท็บที่มีโปรไฟล์ (โดเมน) แล้วคลิกปุ่ม ปรับแต่ง ตรวจสอบการตั้งค่าในส่วน การรวมกฎ ตามค่าเริ่มต้น การรวมกฎจะถูกเปิดใช้งาน คุณสามารถบังคับให้ผู้ดูแลระบบภายในสร้างกฎไฟร์วอลล์ของตนเองได้ โดยเลือก ใช่ (ค่าเริ่มต้น) ในตัวเลือก ใช้กฎไฟร์วอลล์ในเครื่อง

เคล็ดลับ การบล็อกกฎไฟร์วอลล์มีลำดับความสำคัญสูงกว่าการอนุญาต หมายความว่าผู้ใช้ไม่สามารถสร้างกฎการเข้าถึงที่อนุญาตได้หากขัดแย้งกับกฎการปฏิเสธที่กำหนดค่าโดยผู้ดูแลระบบโดยใช้ GPO อย่างไรก็ตาม ผู้ใช้จะสามารถสร้างกฎการบล็อกในเครื่องได้ แม้ว่าผู้ดูแลระบบจะอนุญาตการเข้าถึงในนโยบายก็ตาม

เคล็ดลับในการจัดการไฟร์วอลล์ Windows โดยใช้ GPO: