Во всех версиях Windows, начиная с Windows XP, присутствует встроенный брандмауэр, который можно использовать для защиты операционной системы и фильтрации сетевого трафика. По своему функционалу и возможностям он не уступает многим сторонним коммерческим программным межсетевым экранам: позволяет ограничить доступ к компьютеру из внешней сети, а также разрешить или заблокировать доступ в Интернет для различных приложений. В Windows 10 1709 встроенный брандмауэре называется Windows Defender Firewall with Advanced Security. В этой статье мы покажем, как настроить брандмауэр Windows Defender в Windows 10.
Чтобы открыть панель настройки Windows Defender Firewall, откройте классическую Панель управления (Control Panel) и перейдите в раздел System and Security -> Windows Defender Firewall. На скриншоте ниже видно, что Windows Defender Firewall включен и защищает ваш компьютер.
Чтобы полностью включить/отключить Firewall в Windows 10 используется кнопка Turn Windows Defender Firewall on or off.
Совет. Также вы можете включить/отключить брандмауэр Windows с помощью PowerShell или такими командами:
netsh advfirewall set allprofiles state off
или
netsh advfirewall set allprofiles state on
Если вы некорректно настроили правила в брандмауэре защитника Windows, и полностью заблокировали сетевой доступ для одной программы или операционной системы, можно сбросить все ваши настройки с помощью кнопки Restore defaults.
Обратите внимание что в Windows Defender Firewall есть три сетевых профиля:
- Domain profile – используется, если компьютер присоединен к доменной сети Active Directory;
- Private profile – профиль для частной сети, в которой вы хотите разрешить обнаруживать ваш другими устройствами, и разрешить общий доступ к файлам и принтерам;
- Public (Guest) profile – настройки этого профиля максимально ограничивают доступ к вашему компьютеру из сети и его обнаружения. Этот профиль используется в общедоступных местах, где вы не доверяете другим устройствам в сети (гостиница, аэропорт, кафе)
Сетевой профиль брандмауэра выбирается пользователем при первом подключении к новой сети или назначается автоматически (в случае домена).
Чтобы разрешить или заблокировать входящее/исходящее подключение для конкретного профиля, нажмите Advanced Setting, щелкните провой кнопкой по корню Windows Defender Firewall with Advanced Security -> Properties.
Вы можете управлять настройками каждого профиля на отдельной вкладке.
Обратите внимание, что по-умолчанию Windows Defender Firewall в Windows 10 блокирует все входящие подключения и разрешает все исходящие.
Если вы хотите полностью заблокировать доступ в Интернет с вашего компьютера, на всех трех вкладка выберите Outbound Connection -> Block. При этом исходящие подключения будут запрещены для всех программ, кроме разрешенных (в Windows 10 есть несколько преднастроенных правил для системных процессов: доступ к Windows Updates, Windows Store, обновление антивирусных баз Windows Defender и т.д.)
Попробуем добавить браузер Mozilla Firefox в список разрешенных программ.
Нажмите на кнопку Allow an app or feature through Windows Defender Firewall в левой панели. Появится список разрешенных приложений и служб Windows. Чтобы добавить новое приложение, нажмите Allow another app.
С помощью кнопки Browse укажите исполняемый файл прилежания, которому нужно разрешить доступ в Интернет. Я выбрал исполняемый файл браузера C:\Program Files\Mozilla Firefox\firefox.exe
Нажмите OK и на следующей вкладке выберите, для каких сетевых профилей должно быть активно данное правило.
Более тонко вы можете настроить правила Windows Defender Firewall из консоли wf.msc. Здесь вы можете создать отдельные разрешающие или запрещающие правила для конкретной программы, протокола (TCP/UDP/ICMP/IPsec), IP адреса или номера порта.
Чтобы создать новое правило для исходящего трафика, щелкните правой кнопкой по Inbound rules -> New Rule.
Далее следуйте простому мастеру, который поможет создать новое собственное правило в брандмауэре Windows.
В этом примере я разрешил исходящие подключения для putty.exe.
Выберите Allow the connection и укажите имя правила.
Новое правило появится в консоли Inbound rules. Вы можете отключить его через контекстное меню Disable rule. При этом правило не удаляется, а становится неактивным (его цвет сменится с зеленый на серый).
Брандмауэр или файервол – это межсетевой экран, обеспечивающий безопасность операционной системы при работе в сети. Он присутствует во всех версиях Windows, и далее мы расскажем, как его открыть на ПК с «десяткой».
Важно! В Виндовс 10 есть два компонента с названием «Брандмауэр», которые отличаются «сферой ответственности» и, следовательно, предоставляемыми возможностями и доступными настройками, а у одного из них есть дополнение «Монитор». Отличается также расположение и алгоритм их запуска, а потому рассмотрим каждый отдельно.
Брандмауэр и безопасность сети
В Виндовс 10 есть встроенный антивирус – Защитник, который обеспечивает достаточный уровень безопасности операционной системы. Брандмауэр – один из его компонентов.
Способ 1: «Параметры»
Наиболее простой метод запуска файервола, встроенного в стандартное для Windows 10 средство защиты, заключается в обращении к системным настройкам.
- Нажмите клавиши «WIN+I» для вызова окна «Параметров» и выберите раздел «Обновление и безопасность».
Способ 2: Защитник
Очевидно, что открыть интересующий нас компонент системного антивируса можно и через интерфейс последнего. Проще всего это сделать следующим образом.
- Нажмите «WIN+R» для вызова окна «Выполнить».
С:\Program Files\Windows Defender\MpCmdRun.exe
Совет: Найти и запустить Защитник можно также через меню «Пуск» — приложение называется Безопасность Windows. В таком случае выполнение двух предыдущих шагов не потребуется.
Способ 3: Системный поиск
Практически любое системное приложение, а также некоторые отдельные компоненты могут быть запущены через поиск. Откройте поисковую строку на панели задач или воспользуйтесь клавишами «WIN+S» и начните вводить запрос «брандмауэр» — когда увидите в списке результатов «Брандмауэр и безопасность сети», запустите его нажатием левой кнопки мышки (ЛКМ).
Брандмауэр Защитника Windows
В предыдущей части статьи мы рассмотрели запуск файервола, встроенного в стандартный для Виндовс 10 антивирус, однако в операционной системе есть еще одна оснастка с практически таким же названием, перекочевавшая в нее из предыдущих версий. Запустить ее можно одним из следующих способов.
Способ 1: «Панель управления»
Несмотря на то что разработчики из компании Microsoft постепенно переносят элементы панели управления в вышеупомянутые «Параметры», Брандмауэр Защитника, знакомый пользователям «десятки» по предыдущим версиям Windows, остался на своем прежнем месте. Для его запуска:
- Любым удобным способом откройте «Панель управления», например, вызвав окно «Выполнить» клавишами «WIN+R», указав в нем представленную ниже команду и нажав «ОК».
Способ 2: Системный поиск
Несложно догадаться, что открыть интересующий нас компонент системы можно и через поиск – достаточно начать вводить его название, а затем запустить приложение, которое будет первым в выдаче.
Монитор брандмауэра Защитника
У рассмотренной выше оснастки есть дополнительный интерфейс – окно настроек, в котором можно задать правила фильтрации и, если такая необходимость возникнет, отключить брандмауэр. Для запуска Монитора воспользуйтесь одним из предложенных ниже способов.
Способ 1: Меню «Пуск»
Монитор брандмауэра относится к средствам администрирования операционной системы, для которых в стартовом меню предусмотрена отдельная папка.
- Вызовите меню «Пуск», нажав клавишу «WINDOWS» или кнопку с логотипом ОС на панели задач.
- Пролистайте список доступных элементов вниз, найдите папку «Средства администрирования» и разверните ее, нажав ЛКМ.
- Откройте «Монитор брандмауэра Защитника».
Способ 2: Ввод команды
Для быстрого вызова различных компонентов системы и предустановленных приложений можно использовать специальные команды. Открыть Монитор брандмауэра позволяет указанный ниже запрос, а для его ввода следует обратиться к одной из четырех встроенных в Windows 10 оснасток.
Важно! Для выполнения команды после ее ввода нажимайте клавишу «ENTER».
«Командная строка»
Проще всего запустить «Командную строку» через меню дополнительных действий, вызываемое правым кликом по кнопке «Пуск».
«PowerShell»
Более функциональный аналог системной консоли может быть открыт через «Пуск» или поиск по системе.
«Выполнить»
Выше мы уже писали о том, как вызывается это окно – нажатием клавиш «WIN+R»
«Диспетчер задач»
Для запуска этой оснастки можно воспользоваться клавишами «CTRL+SHIFT+ESC» или нажать правой кнопкой мышки по панели задач и выбрать соответствующий пункт. Далее остается лишь «Запустить новую задачу» в меню «Файл».
Способ 3: Системный поиск
Наиболее быстрый метод запуска средства «Монитор брандмауэра Защитника» заключается в использовании системного поиска – просто начните вводить в него «монитор» , а затем запустите соответствующую оснастку, когда она будет найдена. В качестве альтернативы вместо названия компонента можно указать команду, используемую нами в предыдущем способе.
Мы рассмотрели все возможные методы запуска предустановленного в Windows 10 брандмауэра и его компонентов.
Мы рады, что смогли помочь Вам в решении проблемы.
Опишите, что у вас не получилось. Наши специалисты постараются ответить максимально быстро.
Брандмауэр Windows 11 / 10. Ознакомление и настройка
Если ваш компьютер подключен к частной сети или напрямую к интернету, то наличие брандмауэра является абсолютной необходимостью. Без этого любой хакер сможет проникнуть в вашу операционную систему Windows 11 / 10 и нанести непоправимый урон.
Брандмауэр Windows на протяжении многих лет отлично справляется со своими обязанностями и является один из лучших межсетевых экранов для операционной системы Windows 11 / 10.
Что такое брандмауэр Windows?
Брандмауэр Windows это важное средство защиты, интегрированное в систему Windows. Одна из его задач — блокировать несанкционированный доступ к вашему компьютеру. Вторая — контроль передачи трафика программ и служб на ваш компьютер и обратно.
Все действия выполняются с помощью правил и исключений, которые применяются как к входящему, так и исходящему трафику в зависимости от типа сети, к которой вы подключены и исходя из вашего выбора, брандмауэр Windows автоматически настраивает правила и исключения, применяемые к этой сети.
Это делает его тихим и простым в использовании, уведомления поступают только тогда, когда нет никаких правил или исключений для программ запущенных на вашем компьютере.
Еще одно преимущество заключается в том, что он настолько хорошо взаимодействует с системой и сетевыми функциями, что некоторые коммерческие организации решили использовать его в своих продуктах безопасности. Например, такие компании, как Avira, Trend Micro и F-Secure, больше не предоставляют свои собственные модули фаервола, а вместо этого используют брандмауэр Windows.
Как открыть брандмауэр Windows 11 / 10
По умолчанию брандмауэр Windows всегда запускается автоматически при старте системы, и вам не нужно предпринимать каких либо действий. Если вам нужно открыть и настроить его, просто наберите в поиске «Брандмауэр Защитника Windows» и выберите лучшее соответствие.
Появится окно программы, где вы увидите информацию о типе сети к которой вы подключены: частные, гостевые или общедоступные сети.
Для сетевого типа, к которому вы подключены, отображается дополнительная информация, такая как:
- Состояние Брандмауэра Защитника Windows
- Как брандмауэр работает с входящими подключениями
- Активные сети
- Состояние уведомления
Вы можете развернуть другой раздел сетевого подключения и просмотреть настройки, применяемые по умолчанию.
Как разрешить приложению или программе доступ в Интернет
Брандмауэр Windows имеет обширный набор правил и большинство устанавливаемых вами программ добавляют в него свои собственные исключения, для получения доступа к сети и интернет-соединению. Это означает, что вы почти иногда не увидите всплывающих уведомлений, они возникают только при установке программ, которые не добавляют свои собственные исключения.
В уведомлении предлагается выбрать тип сети, к которой вы разрешаете доступ программе: частные или общественные сети.
Вы можете разрешить доступ для обоих типов сетевого расположения или только к одному из них. Чтобы применить настройку, нажмите «Разрешить доступ». Если вы хотите заблокировать доступ к сети для этой программы, нажмите «Отмена», и программа будет установлена как заблокированная для выбранного типа сети.
Заметьте, что только администраторы могут устанавливать исключения в брандмауэре Windows. Если вы используете стандартную учетную запись без прав администратора, программы, которые не соответствуют правилам и исключениям, автоматически блокируются без каких-либо подсказок.
Следует отметить, что в Windows 10 вы никогда не увидите уведомлений, связанных с приложениями из Магазина. Потому что им автоматически предоставляется доступ к домашней сети и интернету, исходя из предположения, что вы знаете о необходимых разрешениях на основе информации, отображаемой в Microsoft Store.
Правила и исключения автоматически создаются для каждого приложения, которое вы устанавливаете из Microsoft Store. Однако вы можете легко заблокировать доступ в Интернет для любого приложения, используя инструкцию в следующем разделе.
Как запретить программе или приложению доступ в Интернет
Брандмауэр Windows позволяет любому пользователю с учетной записью администратора изменять список правил и исключений, применяемых для приложений и настольных программ.
Откройте брандмауэр Windows, в столбце слева кликните по ссылке «Разрешение взаимодействия с приложениями или компонентом в брандмауэре Защитника Windows».
Теперь вы видите список приложений и программ, которым разрешен доступ в Интернет. На данный момент список неактивен, и вы можете только просматривать, какие приложения, функции и программы имеют правила.
Вы заметите, что к некоторым записям в левой части от их названия установлены галочки. Это означает, что правило для этого приложения, программы или функции включено и используется для разрешения или блокировки доступа.
Справа есть два столбца: Частная и Публичная сеть. Если в столбце «Частная» имеется галочка, это означает, что доступ к сети предоставляется этому приложению, программе или функции, когда вы подключены к сети, которая установлена как частная. Если стоит галочка в столбце «Публичная», это значить, что доступ к сети предоставляется этому приложению, программе или функции, когда вы подключены к сети, которая установлена как публичная.
Чтобы изменить что-либо в этом списке, вам нужно нажать кнопку «Изменить параметры».
Теперь список больше не отображается серым цветом, и вам доступно редактирование любой из существующих записей. Можно выбрать нужный элемент, который вы хотите изменить. Чтобы узнать больше об выбранном элементе, нажмите кнопку «Сведения».
Вы увидите небольшое окошко с описанием выбранного элемента или программы, ее название и путь расположения.
Для некоторых элементов кнопка «Сведения» недоступна. Это связано с тем, что нет дополнительной информации, и нет никаких данных, доступных для отображения. Вы столкнетесь с этим особенно при выборе приложений Microsoft Store.
Если нужно заблокировать доступ к сети приложению, программе или сервису, выберите, а затем снимите с него флажок (для блокировки доступа к любой сети) или один из флажков справа (частная или публичная), в зависимости от типа сети.
Если нужно предоставить сетевой доступ приложению, программе или сервису, которые не имеют доступа в сеть, установите галочку рядом с ее именем и задайте тип сети.
По завершении настройки, для применения изменений не забудьте нажать кнопку «ОК».
Как добавить приложение или программу в разрешенный список
В редких случаях, когда приложение или программа, к которой вы хотите предоставить доступ к сети, не входят в этот список, но вы можете легко ее добавить. Во-первых, убедитесь, что список разрешенных приложений, программ и функций доступен для редактирования, используя процедуру, описанную в предыдущем разделе, затем нажмите «Разрешить другое приложение».
В окне «Добавление приложения» нажмите кнопку «Обзор», перейдите в ее месторасположение и выберите исполняемый файл, затем нажмите кнопку «Добавить».
Вернитесь к списку разрешенных объектов, программа, которую вы только что добавили теперь доступна.
Когда вы закончите добавлять программы и приложения, нажмите «ОК», чтобы применить свои настройки.
Как удалить приложение и программу из разрешенного списка
Вы также можете удалить приложения или настольные программы из списка разрешенных элементов. Когда вы удаляете программу, она становится заблокированной по умолчанию, и в следующий раз, когда вы используете ее, вы увидите всплывающее уведомление от брандмауэра, запрашивающее ваше одобрение для предоставления ему сетевого доступа.
Во-первых, убедитесь, что список разрешенных приложений, программ и функций доступен для редактирования, используя процедуру, ранее описанную в этой инструкции, затем выберите приложение или программу, которую вы хотите удалить, и нажмите «Удалить».
Появится запрос на подтверждение выбора, нажмите «Да», и выбранное приложение или программа будут удалены из списка элементов.
Нажмите «ОК», чтобы сохранить изменения.
Как включить или отключить брандмауэр Windows
Для включения или отключения брандмауэра, вы должны сначала открыть его, затем в левом столбце нажать ссылку: «Включение и отключение брандмауэра Защитника Windows».
Откроется окно «Настройка параметров для каждого типа сети». Здесь вы можете указать, как включать или выключать брандмауэр Windows: для частной сети, для общественной сети или для обоих типов сетей.
Например, вы можете отключить брандмауэр, когда подключены к доверенным частным сетям, таким которые находится в вашем доме и включить, когда вы подключены к ненадежным общественным сетям.
Если вы хотите включить его только для частных сетей, выберите «Включить брандмауэр Защитника Windows» в разделе «Параметры для частной сети». Если вы хотите включить его только для общественных сетей, выберите «Включить брандмауэр Защитника Windows» в разделе «Параметры для общественной сети». Если вы хотите включить его для всех типов сетей, выберите этот параметр в обоих разделах и нажмите «OK».
То же самое относится и к отключению брандмауэра. Выберите «Отключить брандмауэр Защитника Windows» в обоих разделах, или для типа сети, в которой вы не хотите его использовать. По завершении нажмите «ОК», чтобы изменения вступили в силу.
Продолжение следует…
В следующем руководстве мы подробно рассмотрим брандмауэр Windows 11 / 10 и узнаем, как использовать его в режиме повышенной безопасности.
Как включить защитный Брандмауэр в Windows 10 8 7
В операционной системе Windows разработчики предусмотрели встроенную утилиту, которая предназначена для защиты системы от вторжения и влияния на компьютер вредоносного программного обеспечения. Брандмауэр представляет собой стандартный аналог антивирусной программы. Многие рекомендуют использовать оба варианта параллельно, чтобы повысить уровень защиты персонального компьютера. Однако, зачастую данная служба мешает работе многих других программ или игр. В таких случаях пользователи отключают работу брандмауэра. В данной статье вы узнаете, как включить защитный брандмауэр в Windows 7, 8 и 10.
Отличается ли процедура запуска в зависимости от версии ПО
Вне зависимости от того, какую версию операционной системы Windows вы используете, процедура включения подразумевает одни и те же шаги. С выходом новых поколений ОС разработчики старались улучшить функционал службы, но визуальный интерфейс управления, команды и способы практически не менялись. Описанную в статье инструкцию вы сможете применить для каждой ОС новее XP.
Возможные способы
Запускаться брандмауэр может одним из следующих методов:
- Панель управления.
- Командная строка.
- Запуск службы через команду «Выполнить».
- Центр поддержки.
Рассмотрим каждый вариант в виде пошаговой инструкции.
Панель управления
Чтобы активировать защитную утилиту через Панель управления, воспользуйтесь нашими рекомендациями:
- Нажмите на иконку Пуск правой кнопкой мыши и выберите пункт «Панель управления». Также вы можете открыть нужное окно через само меню Пуск с помощью кнопки «Параметры».
- В открывшемся окне выберите иконку «Обновление и безопасность».
- В поисковой строке введите слово «брандмауэр» и выберите соответствующий раздел.
- В открывшемся окне переключите параметры на пункты со словом включить в самое верхнее положение, как это показано на представленном скриншоте. Обратите внимание, что держать службу отключенной крайне не рекомендуется. Особенно в том случае, если вы не пользуетесь дополнительными средствами защиты.
- После включения подтвердите изменение параметров кнопкой ОК .
Чтобы запущенный брандмауэр не конфликтовал с определенными программами, вы можете добавить их в список исключений. Сделать это можно следующим образом:
- В окне брандмауэра в левой колонке нажмите на раздел «Разрешение взаимодействия с приложением или компонентов в брандмауэре Windows».
- В новом окне отметьте галочкой те приложения, которые должны обмениваться информацией с защитником.
Если вариант с использованием Панели управления вам не подходит, то переходите к следующей инструкции.
Использование Командной строки
Чтобы воспользоваться этим методом, вы должны запустить Командную строку от имени администратора:
- Зайдите в поиск в меню Пуск. Впишите «cmd». Кликните правой кнопкой мыши и выберите пункт «Запустить от имени администратора».
- Также вы можете воспользоваться комбинацией клавиш Win + R . В окне «Выполнить» введите «cmd» и нажмите ОК .
После этого откроется Командная строка, в которую необходимо ввести следующий текст: netsh advfirewall set allprofiles state on
После этих действий служба будет запущена. Перейти в меню с включением брандмауэра можно с помощью команды «firewall.cpl» в программе «Выполнить». Система откроет окно, которое описано в первом методе.
Еще один простой метод
Здесь также задействована утилита «Выполнить». Рассмотрим последовательность действий:
- Откройте окно с помощью комбинации клавиш Win + R и введите «services.msc». После этого на экране появится следующая программа.
- Кликните правой кнопкой мыши по найденной службе и выберите пункт «Запустить».
- Чтобы служба запускалась автоматически, щелкните правой клавишей мыши и выберите пункт «Свойства».
- Во вкладке «Общие» в поле «Тип запуска» выберите параметр «автоматически».
- Примените изменения кнопкой ОК .
Центр управления сетями и общим доступом
Еще один вариант попасть в меню управления брандмауэром:
- Нажмите на иконку сетевого подключения на панели меню Пуск правой кнопкой мыши.
- Далее выберите пункт «Центр управления сетями и общим доступом».
- Внизу открывшегося окна нажмите кнопку Брандмауэр Windows .
Возможные проблемы с запуском
Если вам не удалось активировать службу защиты, но раньше удавалось, ознакомьтесь с возможными решениями проблемы:
- Попробуйте отключить сторонний антивирус. Возможно, проблема скрывается в конфликте программного обеспечения.
- Проверьте систему на наличие вирусов. Вредоносное ПО может блокировать работу системных утилит.
- Перезагрузите ПК и попробуйте включить службу заново.
- Если служба не запускается и выдает ошибку, то необходимо скопировать ее код и посмотреть информацию в службе поддержки на официальном сайте (https://support.microsoft.com).
- Возможно, вам потребуется запустить сопутствующие службы, без которых работа брандмауэра невозможна при коде ошибки 0x8007042c:
- Для этого откройте стандартный Блокнот любым удобным способом. После этого вставьте в файл следующий текст:
- Сохраните созданный файл на рабочем столе с названием repair и расширением .bat.
- Запустите файл от имени администратора.
- Для подтверждения действий нажмите клавишу Y.
- После завершения процесса снова попробуйте запустить службу. Если она заработала, то удалите созданный файл с рабочего стола.
Брандмауэр Microsoft Defender Firewall встроен во все современные версии Windows и Windows Server и позволяет настраивать правила фильтрации входящего и/или исходящего сетевого трафика на компьютере. Правила Windows Firewall можно настраивать локально на компьютере пользователя (с помощью консоли
wf.msc
, команды
netsh
или встроенного PowerShell модуля NetSecurity). На компьютерах Windows, которые добавлены в домен Active Directory вы можете централизованно управлять правилами и настройками Microsoft Defender Firewall с помощью групповых политик.
В крупных организациях правила фильтрации портов обычно выносятся на уровень маршрутизаторов, L3 коммутаторов или выделенных межсетевых экранах. Однако ничего не мешает вам распространить ваши правила ограничения сетевого доступа Windows Firewall к рабочим станциям или серверам Windows.
Содержание:
- Включить Windows Defender с помощью GPO
- Создать правила файервола Windows с помощью групповой политики
- Применить политики брандмауэра Microsoft Defender к компьютерам Windows
- Импорт и экспорт правил брандмауэра Windows в GPO
- Доменные и локальные правила Microsoft Defender
Включить Windows Defender с помощью GPO
Запустите консоль управления доменными групповыми политиками (Group Policy Management Console,
gpmc.msc
), создайте новую GPO с именем gpoFirewallDefault и перейдите в режим редактирования (Edit).
Чтобы пользователи (даже с правами локального админа) не могли выключить службу брандмауэра, желательно настроить автоматический запуск службы Windows Firewall через GPO. Для этого перейдите в раздел Computer Configuration -> Windows Settings -> Security Settings -> System Services. Найдите в списке служб Windows Firewall и измените тип запуск службы на автоматический (Define this policy setting -> Service startup mode Automatic). Убедитесь, что у пользователей нет прав на остановку служб.
Затем перейдите в раздел Computer Configuration -> Policies -> Administrative Templates -> Network -> Network Connections -> Windows Defender -> Firewall -> Domain Profile и включите политику Windows Defender Firewall: Protect all network connections.
Откройте свойства Windows Firewall with Advanced Security в разделе GPO Computer Configuration -> Windows Settings -> Security Settings.
На всех трех вкладках Domain Profile, Private Profile и Public Profile (что такое профиль сети в Windows) измените состояние Firewall state на On (recommended). В зависимости от политик безопасности в вашей организации вы можете указать, что все входящие подключения по умолчанию запрещены (Inbound connections -> Block), а исходящие разрешены (Outbound connections -> Allow). Сохраните изменения.
В целях отладки правил файервола вы можете включить запись логов Windows Defender в текстовый файл %systemroot%\system32\logfiles\firewall\pfirewall.log (по умолчанию). Можно включить логирование отклоненных пакетов (Log dropped packets) или пакетов, который были разрешены правилами файервола (Log successfully connections). По-умолчанию логирование сетевых соединений в Windows отключено.
Создать правила файервола Windows с помощью групповой политики
Теперь рассмотрим, как создать правила файервола Microsoft Defender с помощью GPO. Для настройки правил, перейдите в раздел Computer Configuration -> Windows Settings -> Security Settings -> Windows Firewall with Advanced Security.
Интерфейс этого раздела напоминает локальную консоль управления брандмауэром Windows и состоит из трех секций:
- Inbound rules
- Outbound rules
- Connection security rules
Попробуем создать разрешающее входящее правило файервола. Например, мы хотим разрешить подключение к компьютерам по RDP (порт по умолчанию TCP 3389). Щелкните ПКМ по разделу Inbound Rules и выберите пункт меню New Rule. Запустится мастер создания нового правила брандмауэра.
Выберите тип правила. Можно разрешить доступ для:
- Программы (Program) – можно выбрать исполняемый exe программы;
- Порта (Port) – выбрать TCP/UDP порт или диапазон портов;
- Преднастроенное правило (Predefined) – выбрать одно из стандартных правил Windows, в которых уже имеются правила доступа (описаны как исполняемые файлы, так и порты) к типовым службам (например, AD, Http, DFS, BranchCache, удаленная перезагрузка, SNMP, KMS, WinRM и т.д.);
- Собственное правило (Custom) – здесь можно указать программу, протокол (другие протоколы помимо TCP и UDP, например, ICMP, GRE, L2TP, IGMP и т.д.), IP адреса клиентов или целые IP подсети.
В нашем случае мы выберем правило Port. В качестве протокола укажем TCP, в качестве порта – Specific local ports -> 3389.
Далее нужно выбрать что нужно сделать с таким сетевым подключением: разрешить (Allow the connection), разрешить если оно безопасное или заблокировать (Block the connection).
Осталось выбрать профили сети, для которых нужно применить это правило. Можно оставить все профили (Domain, Private и Public).
На последнем шаге нужно указать имя правило и его описание. Нажмите кнопку Finish и оно появится в списке правил брандмауэра.
В современных версиях Windows для трафика удаленного рабочего стола RDP также используется порт UDP 3389. Поэтому создайте второе правила Microsoft Defender и для этого порта.
Аналогичным образом вы можете настроить другие правила для входящего трафика, которые должны применятся к вашим клиентам Windows.
Вы можете создать правила как для входящего и исходящего трафика.
Выше мы рассмотрели, как использовать графический мастер для создания правил Windows Defender Firewall. Также вы можете сформировать список правил в простом текстовой форме и быстро создать правила для групповой политики Defender.
Перейдите в раздел Computer Configuration -> Policies -> Administrative Templates -> Network -> Network Connections -> Windows Defender Profile -> Domain Profile и откройте параметр Windows Defender Firewall: Define inbound port exceptions. Здесь вы можете создать список правил с помощью простых текстовых строчек.
Ниже представлен список правил, который я хочу добавить в групповую политику
3389:UDP:localsubnet:enabled:RDP_in_UDP_3389_GPO 445:TCP:localsubnet:enabled:SMB_445_TCP 443:TCP:192.168.100.10:enabled:HTTP_in_445_TCP
Нажмите кнопку Show и построчно скопируйте ваши правила в окно Define port exceptions.
Этот способ позволяет вам быстро создать большое количество входящих правил для файервола Windows.
Применить политики брандмауэра Microsoft Defender к компьютерам Windows
Теперь осталось назначить политику Firewall-Policy на OU (Organizational Unit) с компьютерами пользователей. Найдите в консоли Group Policy Management нужный OU, щелкните по нему правой кнопкой и выберите Link an Existing GPO. Выберите в списке вашу политику.
Важно. Прежде, чем применять политику файервола к OU с продуктивными компьютерами, настоятельно рекомендуется проверить ее на тестовых компьютерах. Из-за некорректной настройки брандмауэра вы можете полностью заблокировать сетевой доступ компьютерам. Для диагностики применения групповых политик используйте утилиту gpresult.exe.
Обновите настройки групповых политик на клиентах (
gpupdate /force
). Проверьте, что указанные вами порты открыты на компьютерах пользователей (можно использовать командлет Test-NetConnection или утилиту Portqry).
На компьютере пользователя откройте Панель управления\Система и безопасность\Брандмауэр Защитника Windows и убедитесь, что появилась надпись: Для обеспечения безопасности, некоторые параметры управляются групповой политикой (For your security, some settings are controlled by Group Policy), и используются заданные вами настройки брандмаэера.
Пользователь теперь не может изменить настройки брандмауэра, а в списке Inbound Rules должны быть указаны все созданные вами правила. Обратите внимание, что по умолчанию новые правила из GPO добавляются к уже существующим локальным правилам файервола.
Также вы можете вывести текущие настройки Windows Defender с помощью команды:
netsh firewall show state
Или можно представить список правил в табличной форме с помощью скрипта PowerShell:
Get-NetFirewallRule -Action Allow -Enabled True -Direction Inbound |
Format-Table -Property Name,
@{Name='Protocol';Expression={($PSItem | Get-NetFirewallPortFilter).Protocol}},
@{Name='LocalPort';Expression={($PSItem | Get-NetFirewallPortFilter).LocalPort}},
@{Name='RemotePort';Expression={($PSItem | Get-NetFirewallPortFilter).RemotePort}},
@{Name='RemoteAddress';Expression={($PSItem | Get-NetFirewallAddressFilter).RemoteAddress}},
Enabled,Profile,Direction,Action
Импорт и экспорт правил брандмауэра Windows в GPO
Консоль Windows Defender Firewall позволяет экспортировать и импортировать текущие настройки файервола в текстовый файл. Вы можете настроить правила брандмауэра на эталонном компьютере и экспортировать их в консоль групповых политики.
Настройте нужные правила, замет встаньте на корень оснастки брандмауэра (Монитор Брандмауэра Защитника Windows в режиме повышенной безопасности) и выберите пункт Действие -> Экспорт политики
Политика выгружается в WFW файл, который можно импортировать в редакторе Group Policy Management Editor, выбрав пункт Import Policy и указав путь к файлу wfw (текущие настройки будут перезаписаны).
Доменные и локальные правила Microsoft Defender
В GPO вы можете настроить, хотите ли вы разрешить локальным администраторам создавать на своих компьютерах собственные правила брандмауэра и как эти правила должны объединяться с правилами, назначенными через GPO.
Откройте в GPO свойства политики (Windows Firewall Properties), выберите вкладку с профилем (Domain) и нажмите кнопку Customize.
Обратите внимание на настройки в разделе Rule merging. По умолчанию режим объединения правил включен. Вы можете принудительно указать, что локальный администратор может создавать собственные правила брандмауэра: в параметре Apply local firewall rules выберите Yes (default).
Совет. Блокирующие правила файервола имеют приоритет над разрешающими. Т.е. пользователь не сможет создать собственное разрешающее правило доступа, противоречащее запрещающему правилу, настроенному администратором через GPO. Однако пользователь может создать локальное запрещающее правило, даже если этот доступ разрешен администратором в политике.
Несколько советов об управлении брандмауэром Windows через GPO
- Создавайте отдельные политики с правилами брандмауэра для серверов и рабочих станций (для каждой группы одинаковых серверов возможно придется создать собственные политики в зависимости от их роли). Т.е. правила файервола для контроллера домена, почтового Exchange сервера, сервера с ролью Remote Desktop Services Host (RDSH) или Microsoft SQL Server будут отличаться;
- Для более точного нацеливания политики на клиентов можно использовать WMI фильтры GPO (например, вы можете привязать политику к хостам определенной IP подсети)
- Какие порты нужно открыть для той или иной службы нужно искать в документации на сайте разработчика. Процесс довольно кропотливый и на первый взгляд сложный. Но постепенно вполне реальной прийти к работоспособной конфигурации Windows файервола, который разрешает только одобренные подключения и блокирует все остальное. По опыту хочу отметить, что на ПО Microsoft можно довольно быстро найти список используемых TCP/UDP портов.