Wie man

So steuern Sie die Windows-Firewall mit einem GPO

Die Windows-Firewall kann einer der größten Albträume für Systemadministratoren sein, die konfiguriert werden müssen, mit dem Hinzufügen der Gruppenrichtlinien-Priorität wird sie nur zu Kopfschmerzen. Hier zeigen wir Ihnen von Anfang bis Ende, wie Sie die Windows-Firewall einfach über Gruppenrichtlinien konfigurieren und als Bonus zeigen, wie Sie einen der größten Fallstricke beheben können.

Unsere Aufgabe

Es ist uns aufgefallen, dass viele Benutzer Skype auf ihren Computern installiert haben und sie dadurch weniger produktiv sind. Wir haben die Aufgabe, dafür zu sorgen, dass Benutzer Skype bei der Arbeit nicht verwenden können, sie können es jedoch gerne auf ihren Laptops installiert lassen und es zu Hause oder in der Mittagspause über eine 3G/4G-Verbindung verwenden. Aufgrund dieser Informationen entscheiden wir uns, die Windows-Firewall und die Gruppenrichtlinie zu verwenden.

Die Methode

Der einfachste Weg, um mit der Steuerung der Windows-Firewall über Gruppenrichtlinien zu beginnen, besteht darin, einen Referenz-PC einzurichten und die Regeln mit Windows 7 zu erstellen. Wir können diese Richtlinie dann exportieren und in die Gruppenrichtlinie importieren. Dadurch haben wir den zusätzlichen Vorteil, dass wir sehen können, ob alle Regeln eingerichtet sind und wie gewünscht funktionieren, bevor wir sie auf allen Client-Rechnern bereitstellen.

Erstellen einer Firewall-Vorlage

Um eine Vorlage für die Windows-Firewall zu erstellen, müssen wir das Netzwerk- und Freigabecenter starten. Dies geht am einfachsten, indem Sie mit der rechten Maustaste auf das Netzwerksymbol klicken und im Kontextmenü Netzwerk- und Freigabecenter öffnen auswählen.

Wenn das Netzwerk- und Freigabecenter geöffnet wird, klicken Sie auf den Link Windows-Firewall in der unteren linken Ecke.

Wenn Sie eine Vorlage für die Windows-Firewall erstellen, geschieht dies am besten über die Konsole Windows-Firewall mit erweiterter Sicherheit. Klicken Sie zum Starten auf Erweiterte Einstellungen auf der linken Seite.

Von hier aus können wir mit der Bearbeitung unserer Firewall-Regeln beginnen. In unserem Fall erstellt die Skype-Anwendung bei der Installation eigene Firewall-Ausnahmen, die es skype.exe ermöglichen, in den Domänen-, privaten und öffentlichen Netzwerkprofilen zu kommunizieren.

Jetzt müssen wir unsere Firewall-Regel bearbeiten, um sie zu bearbeiten, doppelklicken Sie auf die Regel. Dadurch werden die Eigenschaften der Skype-Regel angezeigt.

Wechseln Sie zur Registerkarte Erweitert und deaktivieren Sie das Kontrollkästchen Domäne.

Wenn Sie versuchen, Skype jetzt zu starten, werden Sie gefragt, ob es über das Domänennetzwerkprofil kommunizieren kann, deaktivieren Sie das Kontrollkästchen und klicken Sie auf Zugriff zulassen.

Wenn Sie jetzt zu Ihren eingehenden Firewall-Regeln zurückkehren, werden Sie feststellen, dass es zwei neue Regeln gibt. Dies liegt daran, dass Sie bei der Aufforderung den eingehenden Skype-Datenverkehr nicht zulassen möchten. Wenn Sie in die Profilspalte schauen, sehen Sie, dass beide für das Domänennetzwerkprofil bestimmt sind.

Bisher ist alles gut, aber wenn Sie Skype starten, können Sie sich trotzdem anmelden.

Selbst wenn Sie die Regeln ändern, um eingehenden Datenverkehr für skype.exe zu blockieren und den Datenverkehr mit JEDEM Protokoll zu blockieren, ist es immer noch in der Lage, irgendwie wieder einzusteigen. Die Lösung ist einfach, verhindern Sie, dass es überhaupt kommunizieren kann. Wechseln Sie dazu zu Ausgangsregeln und erstellen Sie eine neue Regel.

Da wir eine Regel für das Skype-Programm erstellen möchten, klicken Sie einfach auf Weiter, suchen Sie dann nach der ausführbaren Skype-Datei und klicken Sie auf Weiter.

Sie können die Aktion auf der Standardeinstellung belassen, die die Verbindung blockiert, und auf Weiter klicken.

Deaktivieren Sie die Kontrollkästchen Privat und Öffentlich und klicken Sie auf Weiter, um fortzufahren.

Geben Sie nun Ihrer Regel einen Namen und klicken Sie auf Fertig stellen

Wenn Sie jetzt versuchen, Skype zu starten, während Sie mit einem Domänennetzwerk verbunden sind, funktioniert es nicht

Wenn sie jedoch versuchen, eine Verbindung herzustellen, wenn sie nach Hause kommen, können sie sich gut verbinden

Das sind alle Firewall-Regeln, die wir jetzt erstellen werden. Vergessen Sie nicht, Ihre Regeln zu testen, genau wie wir es für Skype getan haben.

Exportieren der Richtlinie

Um die Richtlinie zu exportieren, klicken Sie im linken Bereich auf das Stammverzeichnis der Baumstruktur, die Windows-Firewall mit erweiterter Sicherheit anzeigt. Klicken Sie dann auf Aktion und wählen Sie Richtlinie exportieren aus dem Menü.

Sie sollten dies entweder auf einer Netzwerkfreigabe oder sogar auf einem USB-Stick speichern, wenn Sie physischen Zugriff auf Ihren Server haben. Wir werden mit einer Netzwerkfreigabe gehen.

Importieren der Richtlinie in eine Gruppenrichtlinie

Um die Firewall-Richtlinie zu importieren, müssen Sie ein vorhandenes Gruppenrichtlinienobjekt öffnen oder ein neues Gruppenrichtlinienobjekt erstellen und mit einer Organisationseinheit verknüpfen, die Computerkonten enthält. Wir haben ein GPO namens Firewall Policy, das mit einer OU namens Geek Computers verknüpft ist. Diese OU enthält alle unsere Computer. Wir werden einfach weitermachen und diese Richtlinie anwenden.

Navigieren Sie nun zu:

Öffnen Sie ComputerkonfigurationRichtlinienWindows-EinstellungenSicherheitseinstellungenWindows-Firewall mit erweiterter Sicherheit

Klicken Sie auf Windows-Firewall mit erweiterter Sicherheit und dann auf Aktion und Richtlinie importieren

Sie werden darauf hingewiesen, dass beim Importieren der Richtlinie alle vorhandenen Einstellungen überschrieben werden. Klicken Sie auf Ja, um fortzufahren, und suchen Sie dann nach der Richtlinie, die Sie im vorherigen Abschnitt dieses Artikels exportiert haben. Sobald die Richtlinie importiert wurde, werden Sie benachrichtigt.

Wenn Sie sich unsere Regeln ansehen, werden Sie feststellen, dass die von mir erstellten Skype-Regeln noch vorhanden sind.

Testen

Um zu sehen, ob die Firewallregeln für Clients bereitgestellt wurden, müssen Sie zu einem Clientcomputer wechseln und die Windows-Firewalleinstellungen erneut öffnen. Wie Sie sehen, sollte eine Meldung erscheinen, die besagt, dass einige der Firewall-Regeln von Ihrem Systemadministrator verwaltet werden.

Klicken Sie auf der linken Seite auf den Link Ein Programm oder eine Funktion durch die Windows-Firewall zulassen.

Wie Sie jetzt sehen sollten, haben wir sowohl Regeln, die von Gruppenrichtlinien angewendet werden, als auch lokal erstellte.

Was ist hier los und wie kann ich es beheben?

Standardmäßig ist die Regelzusammenführung zwischen lokalen Firewallrichtlinien auf Windows 7-Computern und Firewallrichtlinien aktiviert, die in Gruppenrichtlinien für diese Computer angegeben sind. Dies bedeutet, dass lokale Administratoren ihre eigenen Firewallregeln erstellen können, und diese Regeln werden mit den durch Gruppenrichtlinien erhaltenen Regeln zusammengeführt. Um dies zu beheben, klicken Sie mit der rechten Maustaste auf Windows-Firewall mit erweiterter Sicherheit und wählen Sie Eigenschaften aus dem Kontextmenü. Wenn das Dialogfeld geöffnet wird, klicken Sie im Abschnitt Einstellungen auf die Schaltfläche Anpassen.