Geek de la stratégie de groupe Comment contrôler le pare-feu Windows avec un objet de stratégie de groupe

Le pare-feu Windows peut être l’un des plus grands cauchemars à configurer pour les administrateurs système. Avec l’ajout de la priorité de la stratégie de groupe, il devient un casse-tête. Ici, nous vous expliquerons comment configurer facilement le Pare-feu Windows via une stratégie de groupe. En bonus, vous découvrirez comment remédier à l'un des problèmes les plus graves..

Notre mission

Nous avons constaté que de nombreux utilisateurs ont installé Skype sur leurs machines et que cela les rend moins productifs. Nous avons pour tâche de nous assurer que les utilisateurs ne peuvent pas utiliser Skype au travail, mais ils sont invités à le laisser installé sur leur ordinateur portable et à l’utiliser à la maison ou pendant les pauses de midi sur une connexion 3G / 4G. Compte tenu de ces informations, nous décidons d’utiliser le pare-feu Windows et la stratégie de groupe..

La méthode

Le moyen le plus simple de contrôler le pare-feu Windows via une stratégie de groupe consiste à configurer un PC de référence et à créer les règles à l'aide de Windows 7. Nous pouvons ensuite exporter cette stratégie et l'importer dans la stratégie de groupe. Ce faisant, nous avons l’avantage supplémentaire de savoir si toutes les règles sont configurées et fonctionnent comme nous le souhaitons, avant de les déployer sur toutes les machines client..

Création d'un modèle de pare-feu

Pour créer un modèle pour le Pare-feu Windows, nous devons lancer le Centre Réseau et partage. Pour ce faire, le moyen le plus simple consiste à cliquer avec le bouton droit sur l'icône du réseau et à sélectionner Ouvrir le Centre Réseau et partage dans le menu contextuel..

Lorsque le Centre Réseau et partage s'ouvre, cliquez sur le lien Pare-feu Windows dans le coin inférieur gauche..

Lorsque vous créez un modèle pour le pare-feu Windows, il est préférable de le faire via la console du pare-feu Windows avec fonctions avancées de sécurité. Pour lancer ce modèle, cliquez sur Paramètres avancés sur le côté gauche..

Remarque: à ce stade, je vais modifier les règles spécifiques à Skype, mais vous pouvez ajouter vos propres règles pour les ports ou même les applications. Quelles que soient les modifications à apporter au pare-feu, faites-le maintenant..

À partir de là, nous pouvons commencer à modifier nos règles de pare-feu. Dans notre cas, lorsque l'application Skype est installée, elle crée ses propres exceptions de pare-feu permettant à skype.exe de communiquer sur les profils de réseau Domaine, Privé et Public..

Nous devons maintenant éditer notre règle de pare-feu, pour le modifier, double-cliquez sur la règle. Cela fera apparaître les propriétés de la règle Skype.

Basculez sur l'onglet Avancé et décochez la case Domaine.

Lorsque vous essayez de lancer Skype maintenant, vous serez invité à lui demander s'il peut communiquer sur le profil réseau du domaine, décochez la case et cliquez sur autoriser l'accès..

Si vous revenez maintenant à vos règles de pare-feu entrantes, vous verrez qu'il y a deux nouvelles règles. En effet, lorsque vous y êtes invité, vous avez choisi de ne pas autoriser le trafic Skype entrant. Si vous examinez la colonne de profil, vous verrez qu’elles sont toutes les deux destinées au profil de réseau du domaine..

Remarque: La raison pour laquelle il existe deux règles est qu’il existe des règles distinctes pour TCP et UDP.

Jusqu'à présent, tout va bien, mais si vous lancez Skype, vous pourrez toujours vous connecter..

Même si vous modifiez les règles pour bloquer le trafic entrant pour skype.exe et le configurez pour bloquer le trafic en utilisant TOUS les protocoles, il est toujours en mesure de le récupérer. Le correctif est simple, arrêtez-le de pouvoir communiquer en premier lieu. Pour ce faire, basculez sur Règles sortantes et créez une nouvelle règle..

Puisque nous voulons créer une règle pour le programme Skype, cliquez sur Suivant, puis recherchez le fichier exécutable de Skype, puis cliquez sur Suivant..

Vous pouvez laisser l’action par défaut, qui consiste à bloquer la connexion, puis cliquez sur Suivant..

Décochez les cases Privé et Public et cliquez sur Suivant pour continuer..

Donnez maintenant un nom à votre règle et cliquez sur Terminer.

Maintenant, si vous essayez de lancer Skype alors que vous êtes connecté à un réseau de domaine, cela ne fonctionnera pas.

Cependant, s’ils essaient de se connecter quand ils rentrent chez eux, cela leur permettra de se connecter correctement.

C’est l’ensemble des règles de pare-feu que nous allons créer pour le moment. N'oubliez pas de tester vos règles comme nous l’avons fait pour Skype..

Exportation de la politique

Pour exporter la stratégie, dans le volet de gauche, cliquez sur la racine de l'arborescence, à savoir Pare-feu Windows avec sécurité avancée. Cliquez ensuite sur Action et sélectionnez Exporter la politique dans le menu..

Vous devriez enregistrer cela sur un partage réseau, voire sur une clé USB, si vous avez un accès physique à votre serveur. Nous irons avec un partage réseau.

Remarque: faites attention aux virus lorsque vous utilisez une clé USB. La dernière chose à faire est d'infecter un serveur avec un virus.

Importation de la stratégie dans la stratégie de groupe

Pour importer la stratégie de pare-feu, vous devez ouvrir un objet de stratégie de groupe existant ou en créer un nouveau et le lier à une unité d'organisation contenant des comptes d'ordinateur. Nous avons un objet de stratégie de groupe appelé Stratégie de pare-feu qui est lié à une unité d'organisation appelée Geek Computers. Cette unité d'organisation contient tous nos ordinateurs. Nous allons simplement aller de l'avant et utiliser cette politique.

Maintenant, naviguez vers:

Ouvrez Configuration ordinateur \ Stratégies \ Paramètres Windows \ Paramètres de sécurité \ Pare-feu Windows avec sécurité avancée

Cliquez sur Pare-feu Windows avec sécurité avancée, puis sur Action et stratégie d'importation.

On vous dira que si vous importez la stratégie, elle écrasera tous les paramètres existants, cliquez sur Oui pour continuer, puis recherchez la stratégie que vous avez exportée dans la section précédente de cet article. Une fois la stratégie importée, vous en serez informé..

Si vous regardez nos règles, vous verrez que les règles Skype que j'ai créées sont toujours là..

Essai

Remarque: vous ne devez effectuer aucun test avant d'avoir terminé la section suivante de l'article. Si vous le faites, toutes les règles configurées localement seront respectées. La seule raison pour laquelle j’ai fait quelques tests maintenant est de souligner quelques points..

Pour voir si les règles de pare-feu ont été déployées sur les clients, vous devez basculer sur un ordinateur client et ouvrir à nouveau les paramètres du Pare-feu Windows. Comme vous pouvez le constater, un message devrait indiquer que certaines des règles de pare-feu sont gérées par votre administrateur système..

Cliquez sur le lien Autoriser un programme ou une fonctionnalité via le Pare-feu Windows situé à gauche..

Comme vous devriez le voir maintenant, nous avons des règles appliquées à la fois par la stratégie de groupe et par celles créées localement..

Que se passe-t-il ici et comment puis-je y remédier?

Par défaut, la fusion de règles est activée entre les stratégies de pare-feu locales sur les ordinateurs Windows 7 et les stratégies de pare-feu spécifiées dans les stratégies de groupe qui ciblent ces ordinateurs. Cela signifie que les administrateurs locaux peuvent créer leurs propres règles de pare-feu. Ces règles seront fusionnées avec les règles obtenues via la stratégie de groupe. Pour résoudre ce problème, cliquez avec le bouton droit de la souris sur Pare-feu Windows avec sécurité avancée et sélectionnez Propriétés dans le menu contextuel. Lorsque la boîte de dialogue s'ouvre, cliquez sur le bouton Personnaliser sous la section des paramètres.

Modifiez l'option Appliquer les règles de pare-feu locales de Non configuré à Non..

Une fois que vous avez cliqué sur ok, passez aux profils privé et public et faites la même chose pour les deux..

C'est tout ce qu'il y a à faire les gars, allez vous amuser avec un pare-feu.