Kontroller avancerede Windows Firewall-regler Det er forskellen mellem en minimalt beskyttet computer og et virkelig sikkert system. Selvom konsollen kan virke lidt skræmmende ved første øjekast, begynder du virkelig at kontrollere den trafik, der kommer ind og ud af din pc, når du først forstår, hvordan regelprioritet fungerer, netværksprofiler og hvordan du opretter detaljerede undtagelser for porte, applikationer eller tjenester.
I denne artikel finder du en vejledning meget detaljeret og praktisk Denne vejledning forklarer, hvordan Windows Firewall med avanceret sikkerhed fungerer, hvilke almindelige problemer du kan støde på, hvordan regler behandles, hvilke typer konfigurationer der anbefales, og hvordan du opretter alt fra simple til komplekse regler til ICMP, RPC, applikationer, specifikke porte og mere moderne muligheder som App Control-tags. Målet er at hjælpe dig med at gå fra blot at forstå konceptet til at administrere firewallen med lethed.
Grundlæggende koncepter i Windows Firewall og dens profiler
Den indbyggede firewall i Windows er en pakkefiltrerende firewall Den er afhængig af Windows Filtering Platform (WFP). Den kan analysere hver pakke baseret på kriterier som IP-adresse, protokol, port, applikation eller tjeneste og beslutte, om den skal tillades eller blokeres i henhold til de konfigurerede regler.
Denne firewall fungerer altid med tovejstrafik: indgående og udgående forbindelserIndgående regler styrer, hvad der kommer ind på din computer fra netværket, mens udgående regler styrer, hvad din computer sender ud. Det er vigtigt at forstå trafikkens retning: Hvis du vil forhindre noget i at komme ind fra internettet, skal du ændre en indgående regel; hvis du vil forhindre et program i at "gå ud på netværket", skal du konfigurere det i en udgående regel.
Windows organiserer regler og politikker i tre netværksprofilersom gælder afhængigt af den type netværk, du er tilsluttet:
- Domæne: for computere, der er tilknyttet et Active Directory-domæne.
- privat: designet til hjemme- eller arbejdsnetværk, der anses for at være pålidelige.
- Public: til Wi-Fi på caféer, i lufthavne eller andre upålidelige netværk.
Som standard er firewallen Den blokerer næsten alt, der kommer ind. i alle tre profiler og tillader udgående trafik. Det vil sige en restriktiv indgående politik og en tilladt udgående politik. Du kan ændre denne globale adfærd fra Egenskaber for Windows Defender Firewall (i den avancerede konsol), hvor du for hver profil vælger, om indgående og udgående forbindelser er tilladt eller blokeret som standard.
Sådan får du adgang til Windows Firewall med avanceret sikkerhed
Den kraftfulde del af firewallen styres fra konsollen "Windows Firewall med avanceret sikkerhed"Du kan nå det på flere måder, afhængigt af om du arbejder på et enkelt team eller i et domænemiljø:
På en enkelt computer med Windows 10 eller Windows 11 skal du blot åbne Start, skrive wf. msc og tryk på Enter. Du kan også gå til Kontrolpanel > System og sikkerhed > Windows Defender Firewall og klikke på "Avancerede indstillinger" i siden.
I et domænemiljø er det ideelle at bruge Gruppepolitik (GPO)Fra GPO-editoren skal du gå til Computerpolitik > Windows-indstillinger > Sikkerhedsindstillinger > Windows Firewall med avanceret sikkerhed. Dette giver dig mulighed for at implementere centraliserede regler og politikker på alle computere under det pågældende GPO.
I den avancerede brugerflade vil du se de vigtigste afsnit i venstre panel: Indgangsregler, UdgangsreglerRegler for forbindelsessikkerhed og overvågningsnoden. Derfra styres stort set alle aspekter af firewallen.
Prioritet og rækkefølge for evaluering af reglerne
En af de mindre intuitive dele er, hvordan firewallen bestemmer, hvad Reglen gælder, når flere er sammenfaldende. med den samme trafik. Ikke alle vil blive "tilføjet"; kun én bruges. At kende prioriteten forhindrer dig i at blive skør, når noget bliver blokeret "uden nogen åbenlys grund".
På et logisk niveau evalueres reglerne i henhold til dette prioritet af handling:
- For det første regler, der tillader "hvis det er sikkert" (IPsec) og også har Blok ugyldiggørelse aktiveret.
- Derefter regler, hvis handling er lås.
- Endelig regler, der tillade trafik uden særlige betingelser.
Desuden, mellem regler med samme handling, en prioritet efter specificitetMere specifikke regler har forrang frem for mere generelle regler. For eksempel gælder en regel kun for en specifik IP-adresse Den har forrang frem for en anden, der dækker et bredt område, forudsat at der ikke er nogen eksplicit blokeringsregel på plads.
I scenarier, hvor firewallen internt sorterer regler sekventielt, følges dette mønster: først de mest restriktive regler (f.eks. dem, der påvirker bestemte computere, bestemte porte eller bestemte applikationer) og til sidst de mindre restriktive. De tillader al trafik eller de gælder for store intervaller. Når en regel matcher og dikterer en handling, evalueres efterfølgende regler ikke længere.
Derfor, hvis du placerer en meget generisk regel, der blokerer alt og har forrang frem for en anden regel, der tillader noget mere specifikt, Alt vil blive blokeretDet er vigtigt at designe politiksættet for at undgå uønskede overlapninger, især med eksplicitte blokeringsregler.
Aktive regler, overvågning og foruddefinerede grupper
Knuden af Overvågning Den avancerede sikkerhedskonsol viser kun regler, der aktuelt er aktive. Det betyder, at en regel kan findes i "Indgående regler" eller "Udgående regler", men ikke være synlig i Overvågning, hvis den er deaktiveret, eller hvis den ikke fungerer, fordi standardadfærden for profilen allerede tillader den pågældende trafik.
Hvis f.eks. exit-politikken er indstillet til "Tillad" for en profil, Regler for udgående orlov vil ikke blive angivet De bør ikke tilføje ekstra restriktioner. Det samme gælder for visse indgående regler, når politikken og konteksten allerede tillader trafikken. Dette er normalt; det betyder ikke, at konsollen er i stykker.
Fra fabrikken, nogle regelgrupper De er aktiveret, fordi de anses for nødvendige i de fleste miljøer. Blandt dem er:
- Regler for Hovednetværk for alle profiler.
- Sæt af regler for Fjernhjælp, med nogle regler kun i domænet og andre i både domænet og det private.
- Regler for Netværksopdagelsemen kun på den private profil.
Derudover kan installation af visse Windows-funktioner eller tredjepartsprogrammer automatisk aktiver yderligere regler så disse komponenter fungerer uden manuel brugerindgriben.
Regeltyper: program, port, foruddefineret og brugerdefineret
Når du opretter en ny regel (både indgående og udgående), tilbyder guiden fire grundlæggende typer, der dækker de fleste scenarier:
Reglerne for Program De er knyttet til en specifik eksekverbar fil. De tillader eller blokerer al trafik fra et program, uden at du behøver at bekymre dig om, hvilke porte det bruger. Du skal blot vælge .exe-filen, beslutte, om du vil tillade eller blokere den, og angive, hvilke profiler den gælder for. Dette er meget nyttigt til at forhindre programmer i at oprette forbindelse til internettet eller begrænse deres brug på offentlige netværk.
Reglerne for Puerto De filtrerer efter protokol (normalt TCP eller UDP) og en eller flere porte og kan omfatte intervaller (f.eks. "5000-5100") eller kombinerede lister ("21,22,80,443"). De kan bruges til at lukke en bestemt port (f.eks. 21/TCP) for indgående trafik eller forhindre en tjeneste i at bruge bestemte porte på udgående trafik eller kun åbne dem, hvor det er nødvendigt.
Reglerne Foruddefineret Dette er skabeloner, der følger med selve Windows til interne tjenester (såsom Fjernskrivebord, Fil- og printerdeling osv.). Du vælger det foruddefinerede sæt, vælger om du vil tillade eller blokere og i hvilke profiler, og systemet sørger for at detaljere alle de involverede porte og tjenester.
Reglerne Tilpasset Disse er de mest fleksible og giver dig mulighed for at kombinere alt: program eller tjeneste, protokoltype (inklusive ICMPv4, ICMPv6, GRE, IPv6-Route osv.), lokale og eksterne porte, lokale og eksterne IP-adresser, applikationsområder, sikkerhedsbetingelser (IPsec) og profiler. De bruges til detaljerede scenarier, for eksempel: at tillade en specifik tjeneste kun at lytte på et begrænset IP-interval inden for et begrænset undernet og på dynamiske RPC-porte.
Applikationsregler og outputkontrol
Når du installerer et program, der lytter på netværket, er det normalt, at selve programmet... Installationsprogrammet registrerer en firewallregel så alt fungerer uden at bede brugeren om for meget. Hvis det ikke gør det, skal brugeren eller administratoren oprette det manuelt.
Problemet opstår, når du er afhængig af firewallen til at løse alt selv. Standard Windows Firewall er ret... tilladelig i udgående trafikDen tillader næsten alt, der ikke er eksplicit blokeret. Den viser heller ikke pop op-vinduer, hver gang et program forsøger at oprette forbindelse, sådan som mange tredjeparts firewalls gør.
Hvis du er bekymret for, hvilke applikationer der kan gå online, kan du ændre den udgående politik til "Bloker" og oprette en omfattende hvidlisteDette er dog designet til meget kontrollerede miljøer (f.eks. virksomheder med høj sikkerhed). Det indebærer at vedligeholde en fortegnelse over applikationer, vide hvilke der kræver forbindelse, og oprette en regel for hver enkelt, typisk distribueret via GPO eller CSP.
Derudover er der en mindre kendt adfærd: Når man forsøger automatisk at oprette en regel under kørsel (f.eks. når en notifikation vises, der anmoder om tilladelse til en app), kan resultatet variere afhængigt af brugerens rolle og handlinger. En bruger med privilegier kan utilsigtet afvise notifikationen, hvilket kan medføre, at der oprettes nye regler. blokeringsreglerHvis der ikke er tilstrækkelige rettigheder, eller hvis notifikationer er deaktiveret, genereres der ikke tilladelsesregler, og trafikken forbliver blokeret af standardpolitikken.
Appkontrol og PolicyAppId-tags i firewallregler
I moderne forretningsmiljøer kan Windows Firewall integreres med App Control at bruge programtags (AppID'er) i stedet for eksekverbare stier. Dette gør det muligt at knytte regler til grupper af taggede processer uden at være afhængig af, at den eksekverbare fil altid er i den samme mappe.
Operationen er baseret på to trin. Først en Politik for mærkning af appstyring som anvender et PolicyAppId-tag på procestokens for bestemte applikationer eller grupper af applikationer. Dette tag bruges derefter som et omfang i firewallreglerne.
Så, den Firewallregler, der refererer til PolicyAppId Der er to primære måder: ved at bruge PolicyAppId-noden i firewall-CSP'en fra en MDM-løsning, f.eks. Microsoft Intune (ved at angive identifikatoren i feltet Policy Application ID) eller ved at oprette lokale regler ved hjælp af PowerShell med cmdlet'en New-NetFirewallRule, hvor parameteren -PolicyAppId angives med den tilsvarende etiket.
Denne tilgang forbedrer sikkerheden, fordi undgå at stole på absolutte ruter og giver dig mulighed for at gruppere applikationer under den samme politik, hvilket reducerer vedligeholdelse, når versioner eller placeringer ændres.
Kombination af lokale og domænepolitikker
I styrede miljøer er det vigtigt at kontrollere, hvordan tingene gøres lokale regler er blandede som en teamadministrator kan oprette ved hjælp af centraliserede regler distribueret via GPO eller CSP. Dette opnås via indstillingen for regelfletningspolitik (AllowLocalPolicyMerge) pr. profil.
Ved hjælp af MDM CSP-stier (f.eks. ./Vendor/MSFT/Firewall/MdmStore/DomainProfile/AllowLocalPolicyMerge) eller fra GPO'et "Windows Defender Firewall med avanceret sikkerhed" kan du bestemme, om firewallen accepterer eller ignorerer lokalt oprettede regler ud over dem, der er defineret af den centrale politik.
I miljøer af høj sikkerhed Lokal portvideresendelse er typisk deaktiveret for at forhindre brugere og applikationer i at tilføje undtagelser i farten, der åbner porte uden kontrol. Denne foranstaltning kan dog forstyrre funktionaliteten af applikationer eller tjenester, der ved installation automatisk forsøger at oprette deres egne lokale portregler.
Derfor er det afgørende at opretholde en applikationsinventar Disse kræver undtagelser, herunder hvilke porte og protokoller de bruger, og fra hvilke netværk de skal være tilgængelige. Hvis dette ikke er korrekt dokumenteret, kan du støde på periodiske fejl, der er vanskelige at diagnosticere.
Anbefalinger til design af firewallregler
Når man udformer et ensartet regelsæt, er der en række god praksis som bør følges for at undgå at skabe en "eksplosiv cocktail" af undtagelser:
Når det er muligt, så lad standardindstillinger Windows Firewalls standardblokering af indgående forbindelser er en grundlæggende sikkerhedsforanstaltning og bør kun lempes under meget berettigede omstændigheder.
Når du aktiverer en tjeneste, der skal lytte på netværket, skal du oprette regler i alle tre profilerMen aktiver kun de nødvendige. Hvis en applikation f.eks. kun skal bruges på private netværk, kan du have definitionen forberedt for domænet, privat og offentligt, men kun aktivere regelgruppen for den private profil.
Juster fjernadresser i henhold til profilen og kortlæg LAN-topologien Når det er nødvendigt. En tjeneste, der kun er beregnet til det lokale netværk (hjemmet eller en lille virksomhed), bør begrænses til det lokale undernet i private og offentlige profiler, mens den i domæneprofilen normalt er mindre restriktiv inden for virksomhedsnetværket. Anvend ikke disse begrænsninger på applikationer, der kræver global internetadgang.
Vær så omhyggelig som muligt, når du opretter adgangsregler. specifikt, som du kanUndgå dog at mikrostyre individuelle porte, når det ikke tilfører værdi. Nogle gange er det bedre at definere sammenhængende områder for at forhindre firewallen i at skulle administrere en enorm mængde filtre, hvilket kan påvirke ydeevnen.
Dokumentér hver regel grundigt: hvilken applikation den påvirker, hvilke porte, hvilke profiler og frem for alt, Hvad blev den skabt til? Og på hvilken dato. Den information er uvurderlig, når du måneder senere har brug for at gennemgå eller finjustere politikken.
Specifikke overvejelser vedrørende udgangsregler
I de fleste private installationer og mange virksomheder er det almindeligt, at udgangspolitik Brug "Tillad", og opret kun specifikke regler for at blokere meget specifikke ting. Dette forenkler implementeringen af applikationen betydeligt.
I miljøer, hvor sikkerhed prioriteres over bekvemmelighed, kan det dog være en god idé at konfigurere firewallen, så Bloker alle udgange som standardI så fald skal hver applikation, der skal oprette forbindelse, have sin egen tilladelsesregel.
For at denne model kan fungere uden at blive et mareridt, er det vigtigt at opretholde en opdateret lagerbeholdning af software, hvor det bemærkes, hvilke af dem der har netværksforbindelse, og hvilken type. Derfra opretter og distribuerer administratorer centraliserede regler, og blokerer typisk alt, der ikke er på hvidlisten.
Vigtige tjenester for at firewallen kan fungere
Windows Firewall-komponenten med avanceret sikkerhed er afhængig af flere systemtjenesterHvis nogen af disse ikke kører, kan firewallen opføre sig uregelmæssigt eller simpelthen ikke fungere:
- Basisfiltreringsmotor.
- Gruppepolitikklient.
- IPsec-nøgleoprettelsesmoduler til IKE og AuthIP.
- IP-assistent.
- IPsec-politikagent.
- Genkendelse af netværkslokation.
- Netværkslistetjeneste.
- Windows-firewall.
Hvis du oplever usædvanlige firewallproblemer (regler, der ikke anvendes, politikker, der ikke downloades fra GPO'er osv.), anbefales det at kontrollere Servicechef at alle disse tjenester kører og med den korrekte opstartstype.
Revision, optegnelser og dataindsamling
For at fejlfinde komplekse problemer er det meget nyttigt at aktivere sikkerhedsrevision relateret til firewallen og IPsec og konfigurer en logfil, der efterlader et spor af tilladte og blokerede forbindelser.
Kommandolinjeværktøjet auditpol.exe Dette giver dig mulighed for at aktivere eller deaktivere kategorier og underkategorier for revisionsbegivenheder. Du kan f.eks. angive kategorierne med:
auditpol.exe /liste /kategori
Og se underkategorierne for en bestemt kategori (f.eks. Politikændring) med:
auditpol.exe /liste /kategori:»Politikændring»
For at aktivere en kategori og underkategori skal du bruge:
auditpol.exe /set /category:»Kategorinavn» /Underkategori:»Underkategorinavn»
Angående firewall-logfilen, kan du åbne den fra den avancerede konsol. Firewall-egenskaber Klik derefter på "Tilpas" i logføringssektionen i hver profilfane (domæne, privat, offentlig). Der definerer du filstien og -navnet, den maksimale størrelse (mellem 1 og 32767 KB), og om du vil logge mistede pakker, vellykkede forbindelser eller begge dele.
For en mere dybdegående analyse, og gennemgå dit lokale netværkDet er også en god idé at generere netværksstatistik og proceslister: Kommandoer som "netstat -ano > netstat.txt" og "tasklist /svc > tasklist.txt" giver dig mulighed for at krydsreferere åbne porte, PID'er og installerede tjenester, hvilket hjælper med at identificere, hvilken proces der ligger bag en bestemt trafik.
I virksomhedsmiljøer tilbyder Microsoft supportscripts som f.eks. TSS.ps1 (NET_WFP-scenarie), der indsamler avancerede spor fra filtreringsplatformen og pakker dem i en ZIP-fil i C:\MS_DATA, der er klar til at blive sendt til support.
Samlet set, forståelse og udnyttelse af avancerede Windows Firewall-regler Det giver dig mulighed for at gå langt ud over blot at "tænde eller slukke for firewallen". Ved at kombinere omhyggeligt regeldesign, fornuftig brug af profiler, en klar politik for kombination af direktiver og et godt revisions- og logføringssystem kan du få finjusteret kontrol over din netværkstrafik uden at ofre udstyrets brugervenlighed.
