آشنایی با Windows Firewall Policy

برای اعمال و تنظیم Firewall بر روی سیستم‌های شبکه دامین نیاز نیست به طور جداگانه به هر سیستم مراجعه کنید بلکه می‌توانید با کمک  گروپ پالیسی در اکتیودایرکتوری با یک بار تنظیم پالیسی، آن را بر روی تمام سیستم‌ها مورد نیاز اعمال کنید. برای ایجاد Group Policy Objects جدید طبق شکل وارد کنسول مدیریتی Group Policy Management شوید. در پوشه Group Policy Objects  یک GPO‌ جدید به نام Firewall ایجاد کنید.

 بر روی  GPO‌ ایجاد شده کلیک راست کنید و گزینه Edit  را انتخاب کنید تا پنجره Group Policy Management Editor باز شود.

 در این پنجره هر گونه تنظیمی را می‌توانید برای گروپ پالیسی Firewall تنظیم کنید. برای تنظیم Firewall وارد مسیر زیر شوید:

آموزش کامل پالیسی های رایج در سازمان ها با دوره mcse

Computer Configuration -> Policies   –>   Windows settings –> Security Settings  –> Windows Defender Firewall With Advanced Security –> بر روی زیر پوشه ای با همین عنوان کلیک کنید تا در سمت راست صفحه Windows Defender Firewall باز شود. دقت کنید تنظیم Firewall یک تنظیم در سطح Computer Configuration است و تنظیمی برای آن در سطح Users Configuration وجود ندارد.

در بخش  Overviewپروفایل‌های Firewall (Domain, Private , Public) را مشاهده می‌کنید که می‌توان هر یک را به طور جداگانه تنطیم کرد. با انتخاب گزینه Windows Defender Firewall Properties در این بخش، پنجره جدیدی باز می‌شود که می‌توان به ازای هر پروفایل در سربرگ مربوطه تنظیمات مجزایی را انجام داد. از بخش state Firewall می‌توانید پروفایل مربوطه را on  یا off یا در حالت تنظیم نشده (not config) قرار دهید که ما آن را در حالت on  تنظیم کرده‌ایم.

همچنین از بخش Inbound Connections و Outbound Connections  می‌توانید ترافیک ورودی و خروجی به سیستم را مسدود کنید یا اجازه تبادل آن را بدهید.

طبق شکل با on  شدن state Firewall در هر سه پروفایل،Windows Defender فعال خواهد شد.

بعد از ساخت GPO‌ باید آن را به گروه سازمانی (OU) که شامل حساب‌های رایانه‌ای هستند لینک کنید.

دقت کنید که بعد از لینک کردن GPO‌ دستور gpupdate /force را در پنجره cmd کنترلر دامین و همچنین در سیستم کلاینت وارد کنید تا پالیسی‌های جدید بر روی سیستم کلاینت اعمال شود. بعد از اعمال دستور بالا، مشاهده می‌کنید که Firewall در سیستم کلاینت on شده است و نمی‌توان Firewall را در سیستم کلاینت غیر فعال کرد.

از بخش  Windows Defender Firewall With Advanced Security که شامل سه بخش زیر است، نیز می‌توانید ترافیک ورودی و خروجی را تنظیم کنید:

Inbound Rules

Outbound Rules

Connection Security Rules

برای تنظیمات Inbound بر روی آن کلیک راست کنید و گزینه New Rule انتخاب کنید.

 به طور مثال فرض کنید قصد دارید پورت 8080 را مسدود کنید پس در پنجره New Inbound Rule Wizard گزینه port را انتخاب کنید.

و در صفحه بعد نوع پروتکل (Tcp , Udp) و شماره پورت  8080را وارد کنید.

در صفحه Action  گزینه Block را انتخاب کنید.

و در نهایت یک نام برای آن انتخاب کنید.

بعد از اعمال تنظیم مربوطه بر روی GPO‌ دستور gpupdate /force را در پنجره cmd کنترلر دامین و همچنین در سیستم کلاینت وارد کنید. در صورت عدم اعمال پالیسی یکبار سیستم کلاینت را ری استارت کنید.

اگر وارد سیستم کلاینت شوید می‌توانید در بخش Windows Firewall With Advanced Security، Rule جدیدی که در سرور بر روی کلاینت اعمال کردید را مشاهده کنید.

از بخش Connection Security Rules می‌توانید برای رمزنگاری ارتباطات در شبکه استفاده کنید. برای این منظور بر روی این بخش کلیک راست کنید و گزینه New Connection Security Rules را انتخاب کنید. و گزینه Isolation را انتخاب کنید و در صفحه بعد سه گزینه وجود دارد در صورتی که گزینه Request Authentication را انتخاب کنید، ترافیک ورودی و خروجی به سیستم‌های دامین به صورت احراز هویت شده می‌باشد اما در صورتی که نتوان احراز هویت انجام داد همچنان ارتباط بین نودها برقرار خواهد شد اما در صورتی که گزینه Require Authentication را انتخاب کنید تنها سیستم‌هایی که توسط کنترلر دامین احراز هویت شوند می‌توانند با یکدیگر داده تبادل کنند. یعنی در صورت عدم برقراری احراز هویت ارتباط بین نودها برقرار نمی‌شود. بهتر است در ابتدا گزینه Request Authentication را انتخاب کنید تا مطمعن شوید ارتباط بین نودهای شبکه برقرار شود و سپس در صورت تمایل آن را تغییر دهید.

در صفحه بعد سوال می‌شود که روش احراز هویت به چه صورت باشد:

1   با IPsec

2   هم سیستم و هم کاربر که به سیستم وارد شده، توسط اکتیودایرکتوری (توسط مکانیزم Kerberos) باید احراز هویت شود (یعنی هر دو حساب کاربر و حساب رایانه‌ای باید عضو دامین باشند).

3   فقط سیستم توسط اکتیودایرکتوری باید احراز هویت شود.

در صفحه بعد پروفایل‌های مورد نظر را فعال کنید.

در نهایت یک نام برای Rule نوشته شده انتخاب کنید.

و دستور gpupdate /force را در پنجره cmd کنترلر دامین و سیستم عضو دامین وارد کنید. بعد از آپدیت پالیسی‌ها خواهید دید که Rule ایجاد شده، در سیستم کلاینت، در بخش Windows Firewall With Advanced Security  قابل مشاهده است.

با نوشتن این Rule حتی در صورتی که بر روی کلاینت‌های دیگری این پالیسی لینک نشده باشد، همچنان ارتباط بین این کلاینت‌ها با کلاینتی که تحت تاثیر پالیسی است برقرار است (با دستور ping می‌توانید برقراری ارتباط بین دو کلاینت را تست کنید) اما در صورتی که در بخش Connection Security Rules گزینه Require Authentication را انتخاب کرده باشید تنها کلاینت‌های موجود در OU باهم ارتباط برقرار می‌کنند که این پالیسی بر روی آن‌ها تنظیم شده باشد، زیرا احراز هویت بین نودها الزامی شده بنابراین کلاینت‌هایی که توسط اکتیودایرکتوری احراز هویت نشده باشد با سایر نودهای دامین نمی‌توانند ارتباط ping بگیرند.