Die Windows-Firewall kann einer der größten Albträume für Systemadministratoren sein, die konfiguriert werden müssen. Durch die Hinzufügung von Gruppenrichtlinien wird dies nur zu Kopfschmerzen. Hier erfahren Sie von Anfang bis Ende, wie Sie die Windows-Firewall einfach über Gruppenrichtlinien konfigurieren können, und zeigen Ihnen als Bonus, wie Sie eines der größten Probleme beheben können.
Unsere Aufgabe
Es ist uns aufgefallen, dass viele Benutzer Skype auf ihren Computern installiert haben und dadurch weniger produktiv sind. Wir haben die Aufgabe, sicherzustellen, dass Benutzer Skype bei der Arbeit nicht verwenden können. Sie können es jedoch gerne auf ihren Laptops installiert lassen und es zu Hause oder in den Mittagspausen über eine 3G / 4G-Verbindung verwenden. Angesichts dieser Informationen entscheiden wir uns, die Windows-Firewall und Gruppenrichtlinien zu verwenden.
Die Methode
Der einfachste Weg, um die Windows-Firewall über Gruppenrichtlinien zu steuern, besteht darin, einen Referenz-PC einzurichten und die Regeln unter Windows 7 zu erstellen. Anschließend können wir diese Richtlinie exportieren und in Gruppenrichtlinien importieren. Auf diese Weise haben wir den zusätzlichen Vorteil, dass wir sehen können, ob alle Regeln so eingerichtet sind und funktionieren, wie wir es möchten, bevor wir sie auf allen Client-Computern bereitstellen.
Erstellen einer Firewall-Vorlage
Um eine Vorlage für die Windows-Firewall zu erstellen, müssen Sie das Netzwerk- und Freigabecenter starten. Der einfachste Weg, dies zu tun, besteht darin, mit der rechten Maustaste auf das Netzwerksymbol zu klicken und im Kontextmenü Netzwerk- und Freigabecenter öffnen auszuwählen.
Wenn das Netzwerk- und Freigabecenter geöffnet wird, klicken Sie auf den Link Windows-Firewall in der unteren linken Ecke.
Wenn Sie eine Vorlage für die Windows-Firewall erstellen, erfolgt dies am besten über die Windows-Firewall mit erweiterter Sicherheitskonsole. Um dies zu starten, klicken Sie auf der linken Seite auf Erweiterte Einstellungen.
Hinweis: An dieser Stelle werde ich die Skype-spezifischen Regeln bearbeiten. Sie können jedoch Ihre eigenen Regeln für Ports oder sogar Anwendungen hinzufügen. Alle Änderungen, die Sie an der Firewall vornehmen müssen, sollten jetzt vorgenommen werden.
Von hier aus können wir mit der Bearbeitung unserer Firewall-Regeln beginnen. In unserem Fall erstellt die Skype-Anwendung bei der Installation eigene Firewall-Ausnahmen, mit denen skype.exe in den Domänen-, privaten und öffentlichen Netzwerkprofilen kommunizieren kann.
Jetzt müssen wir unsere Firewall-Regel bearbeiten, um sie zu bearbeiten, doppelklicken Sie auf die Regel. Dadurch werden die Eigenschaften der Skype-Regel aufgerufen.
Wechseln Sie zur Registerkarte Erweitert und deaktivieren Sie das Kontrollkästchen Domäne.
Wenn Sie versuchen, Skype jetzt zu starten, werden Sie gefragt, ob es über das Domänennetzwerkprofil kommunizieren kann. Deaktivieren Sie das Kontrollkästchen und klicken Sie auf Zugriff zulassen.
Wenn Sie jetzt zu Ihren Regeln für eingehende Firewall zurückkehren, werden Sie feststellen, dass es zwei neue Regeln gibt. Dies liegt daran, dass Sie bei Aufforderung entschieden haben, eingehenden Skype-Verkehr nicht zuzulassen. Wenn Sie in die Profilspalte schauen, werden Sie feststellen, dass beide für das Domänennetzwerkprofil gelten.
Hinweis: Der Grund, warum es zwei Regeln gibt, liegt darin, dass es separate Regeln für TCP und UDP gibt
Bisher ist alles in Ordnung, aber wenn Sie Skype starten, können Sie sich trotzdem anmelden.
Selbst wenn Sie die Regeln ändern, um eingehenden Datenverkehr für skype.exe zu blockieren, und festlegen, dass der Datenverkehr mithilfe eines beliebigen Protokolls blockiert wird, kann er dennoch irgendwie wiederhergestellt werden. Die Lösung ist einfach. Verhindern Sie, dass er überhaupt kommunizieren kann. Wechseln Sie dazu zu Ausgehende Regeln und erstellen Sie eine neue Regel.
Da wir eine Regel für das Skype-Programm erstellen möchten, klicken Sie einfach auf Weiter, suchen Sie dann nach der ausführbaren Skype-Datei und klicken Sie auf Weiter.
Sie können die Aktion auf der Standardeinstellung belassen, indem Sie die Verbindung blockieren und auf Weiter klicken.
Deaktivieren Sie die Kontrollkästchen Privat und Öffentlich und klicken Sie auf Weiter, um fortzufahren.
Geben Sie Ihrer Regel nun einen Namen und klicken Sie auf Fertig stellen
Wenn Sie nun versuchen, Skype zu starten, während Sie mit einem Domänennetzwerk verbunden sind, funktioniert dies nicht
Wenn sie jedoch versuchen, eine Verbindung herzustellen, wenn sie nach Hause kommen, können sie eine gute Verbindung herstellen
Das sind alle Firewall-Regeln, die wir jetzt erstellen werden. Vergessen Sie nicht, Ihre Regeln genau wie bei Skype zu testen.
Exportieren der Richtlinie
Um die Richtlinie zu exportieren, klicken Sie im linken Bereich auf das Stammverzeichnis der Baumstruktur mit der Aufschrift Windows-Firewall mit erweiterter Sicherheit. Klicken Sie dann auf Aktion und wählen Sie im Menü die Option Richtlinie exportieren.
Sie sollten dies entweder auf einer Netzwerkfreigabe oder sogar auf einem USB-Stick speichern, wenn Sie physischen Zugriff auf Ihren Server haben. Wir werden mit einer Netzwerkfreigabe gehen.
Hinweis: Achten Sie bei der Verwendung eines USB auf Viren. Als letztes möchten Sie einen Server mit einem Virus infizieren
Importieren der Richtlinie in Gruppenrichtlinien
Um die Firewall-Richtlinie zu importieren, müssen Sie ein vorhandenes Gruppenrichtlinienobjekt öffnen oder ein neues Gruppenrichtlinienobjekt erstellen und es mit einer Organisationseinheit verknüpfen, die Computerkonten enthält. Wir haben ein Gruppenrichtlinienobjekt namens Firewall Policy, das mit einer Organisationseinheit namens Geek Computers verknüpft ist. Diese Organisationseinheit enthält alle unsere Computer. Wir werden einfach weitermachen und diese Richtlinie anwenden.
Navigieren Sie nun zu:
Öffnen Sie Computerkonfiguration \ Richtlinien \ Windows-Einstellungen \ Sicherheitseinstellungen \ Windows-Firewall mit erweiterter Sicherheit
Klicken Sie auf Windows-Firewall mit erweiterter Sicherheit und dann auf Aktion und Importrichtlinie
Wenn Sie die Richtlinie importieren, werden alle vorhandenen Einstellungen überschrieben. Klicken Sie auf Ja, um fortzufahren, und suchen Sie dann nach der Richtlinie, die Sie im vorherigen Abschnitt dieses Artikels exportiert haben. Sobald der Import der Richtlinie abgeschlossen ist, werden Sie benachrichtigt.
Wenn Sie sich unsere Regeln ansehen, werden Sie feststellen, dass die von mir erstellten Skype-Regeln noch vorhanden sind.
Testen
Hinweis: Sie sollten keine Tests durchführen, bevor Sie den nächsten Abschnitt des Artikels abgeschlossen haben. In diesem Fall werden alle lokal konfigurierten Regeln eingehalten. Der einzige Grund, warum ich jetzt einige Tests durchgeführt habe, war, auf einige Dinge hinzuweisen.
Um festzustellen, ob die Firewallregeln für Clients bereitgestellt wurden, müssen Sie zu einem Clientcomputer wechseln und die Windows-Firewalleinstellungen erneut öffnen. Wie Sie sehen, sollte eine Meldung angezeigt werden, dass einige der Firewall-Regeln von Ihrem Systemadministrator verwaltet werden.
Klicken Sie links auf den Link Programm oder Funktion über Windows-Firewall zulassen.
Wie Sie jetzt sehen sollten, haben wir Regeln, die sowohl von Gruppenrichtlinien angewendet als auch lokal erstellt werden.
Was ist hier los und wie kann ich das beheben?
Standardmäßig ist das Zusammenführen von Regeln zwischen lokalen Firewall-Richtlinien auf Windows 7-Computern und Firewall-Richtlinien aktiviert, die in Gruppenrichtlinien für diese Computer angegeben sind. Dies bedeutet, dass lokale Administratoren ihre eigenen Firewall-Regeln erstellen können. Diese Regeln werden mit den durch Gruppenrichtlinien erhaltenen Regeln zusammengeführt. Um dies zu beheben, klicken Sie mit der rechten Maustaste auf Windows-Firewall mit erweiterter Sicherheit und wählen Sie Eigenschaften aus dem Kontextmenü. Wenn das Dialogfeld geöffnet wird, klicken Sie im Abschnitt Einstellungen auf die Schaltfläche Anpassen.
Ändern Sie die Option Lokale Firewall-Regeln anwenden von Nicht konfiguriert auf Nein.
Wenn Sie auf OK klicken, wechseln Sie zu den Profilen Privat und Öffentlich und machen Sie dasselbe für beide.
Das ist alles, Jungs, hab Spaß mit der Firewall.
