Управление брандмауэром Windows через GPO

Краткие ссылки

• Наша задача

• Метод

• Создание шаблона брандмауэра

• Экспорт политики

• Импорт политики в Group Policy

• Тестирование

• Что происходит и как это исправить

Наша задача

Наша цель — запретить использование Skype в рабочей сети, но сохранить возможность его запуска вне домена (например, дома или в мобильной сети). Для этого мы используем встроенный брандмауэр Windows и групповую политику (GPO).

Важно: здесь рассматривается управляемая среда с контролем через Active Directory и GPO. Если у вас нет AD/GPO — см. раздел «Альтернативные подходы».

Метод

Лучше всего сначала настроить референсную машину (reference PC) под управлением Windows 7/10/11, где вы создадите все нужные правила вручную, проверите их поведение, затем экспортируете конфигурацию и импортируете её в GPO. Это снижает риск ошибочных правил на всех компьютерах сразу.

Преимущества метода:

• Быстрая итерация и тестирование на одной машине.
• Видимость конечного набора правил до массового развертывания.
• Возможность экспортировать и хранить шаблон как файл.

Создание шаблона брандмауэра

1. На референсной машине откройте Центр управления сетями и общим доступом (Network and Sharing Center). Самый быстрый путь: правый клик по иконке сети в трее → “Открыть Центр управления сетями и общим доступом”.

2. В левом нижнем углу выберите ссылку “Брандмауэр Windows”.

3. Нажмите “Дополнительные параметры” (Windows Firewall with Advanced Security) для запуска консоли расширённых параметров.

4. В консоли вы увидите входящие и исходящие правила. Здесь и создавайте/редактируйте нужные записи.

Примечание: в примерах ниже я редактирую правила, связанные со Skype. Вы можете адаптировать шаги под любые приложения или порты.

Поиск правил Skype

При установке Skype создаёт исключения, которые разрешают skype.exe работу в профилях Domain, Private и Public. Найдите соответствующие записи в “Inbound Rules” (входящие правила).

Чтобы изменить правило, дважды щёлкните по нему — откроется окно свойств.

Перейдите на вкладку “Advanced” и снимите галочку для профиля Domain (Доменный профиль). Таким образом правило перестанет действовать в доменной сети.

Когда вы запустите Skype, появится диалог, запрашивающий разрешение на работу в сетевом профиле. Снимите флажок и разрешите доступ, чтобы создать локальные исключения с нужными профилями.

В результате у вас появится по две записи для входящего трафика Skype — это отдельные правила для TCP и UDP, оба с профилем Domain.

Почему после смены входящих правил Skype всё ещё работает

Даже если вы заблокируете весь входящий трафик для skype.exe (включая все протоколы), Skype может инициировать исходящие соединения, а затем принимать ответы по уже установленным сессиям. Поэтому блок входящего трафика не всегда решает задачу.

Решение: блокировать исходящие соединения для skype.exe в доменном профиле.

Переключитесь в “Outbound Rules” и создайте новое правило для программы.

Выберите “Программа”, укажите путь к skype.exe и продолжайте.

Оставьте действие — Block the connection (блокировать соединение), далее снимите профили Private и Public, чтобы правило действовало только на Domain.

Назовите правило и завершите мастер.

Теперь при подключении к домену Skype не сможет установить исходящее соединение и, следовательно, не сможет полноценно работать в рабочей сети.

При подключении вне домена (например, дома) приложение продолжит работать, если профили Private/Public включены и локальные правила позволяют это.

Экспорт политики

После тестирования всех правил на референсной машине экспортируйте конфигурацию:

1. В левой панели консоли выберите корень дерева “Windows Firewall with Advanced Security”.
2. В меню “Action” выберите “Export Policy”.

Сохраните файл экспорта на сетевой шаре или USB-накопителе (при использовании USB соблюдайте осторожность — возможна заражение вирусами при подключении к серверам).

Импорт политики в Group Policy

1. Откройте консоль управления групповыми политиками (GPMC) и создайте или откройте существующий GPO, связанный с OU, содержащим компьютеры. В примере — GPO “Firewall Policy”, связанный с OU “Geek Computers”.

2. Перейдите в:

Open Computer Configuration\Policies\Windows Settings\Security Settings\Windows Firewall with Advanced Security

3. Нажмите на “Windows Firewall with Advanced Security”, затем в меню “Action” выберите “Import Policy”.

Подтвердите предупреждение о перезаписи существующих настроек и укажите файл, экспортированный ранее. После завершения импорта появится уведомление.

После импорта правила, созданные для Skype, будут присутствовать в GPO и будут применяться к клиентам при обновлении политики.

Тестирование

Важно: не тестируйте поведение до того, как вы отключите локальные правила (см. следующий раздел). Если на клиенте уже есть локальные правила, они будут временно мешать — в этом и заключается одна из распространённых ловушек.

Шаги тестирования:

1. На клиентском компьютере откройте настройки брандмауэра. Должно появиться сообщение, что часть правил управляется администратором.

2. Перейдите в “Allow a program or feature through Windows Firewall” чтобы увидеть список программ и источников правил.

3. Сверьте входящие и исходящие правила: какие применяются из GPO, какие созданы локально.

Что происходит и как это исправить

По умолчанию локальные правила брандмауэра на клиенте объединяются (merge) с правилами из GPO. Это значит, что локальные администраторы могут создать свои правила, которые будут действовать вместе с групповыми — иногда это не то поведение, которое ожидает администратор центрального управления.

Чтобы отключить слияние и запретить локальные правила:

1. В GPO откройте Computer Configuration\Policies\Windows Settings\Security Settings\Windows Firewall with Advanced Security.
2. Правый клик по узлу “Windows Firewall with Advanced Security” → “Properties”.
3. В открывшемся окне нажмите кнопку “Customize” в секции Settings.

4. Измените опцию “Apply local firewall rules” с Not Configured на No.

5. Повторите для профилей Private и Public, если нужно. После применения GPO локальные правила перестанут объединяться с групповыми.

Важно: отключение локальных правил делает администраторов клиентов неспособными добавлять исключения локально. Убедитесь, что у вас есть рабочие процедуры для запроса и внесения изменений.

Проверочные тесты и критерии приёмки

Критерии приёмки:

• На клиенте в доменной сети Skype не подключается и не регистрируется.
• При подключении вне домена (Private/Public), Skype сохраняет работоспособность, если это разрешено локальными/сетевыми условиями.
• Команда безопасности подтверждает отсутствие обходов (например, прокси через браузер).

Тесты:

• Попытка запуска Skype и проверка исходящих соединений (netstat /ano) — отсутствуют соединения на известных портах Skype.
• Проверка журнала событий Windows Firewall на событие блокировки исходящего трафика для skype.exe.
• Проверка реестра и локальных правил — они не применяются, если политика настроена на «не применять локальные правила».

Руководство по откату (rollback)

Если после развертывания политики возникли критические проблемы, выполните следующие шаги:

1. На контроллере домена либо в GPMC откатите изменения, связав GPO с исходными настройками или верните предыдущую версию GPO (GPO имеет версионность).
2. Выполните gpupdate /force на клиентских машинах и перезагрузите при необходимости.
3. Если вы экспортировали текущую конфигурацию перед импортацией новой — импортируйте сохранённый файл обратно.
4. Если массовое восстановление требуется срочно, временно снимите ссылку GPO с OU и выполните gpupdate /force.

Примечание: перед массовыми изменениями всегда сохраняйте экспорт текущих настроек брандмауэра.

Чек-листы по ролям

Администратор сети:

• Создать и протестировать шаблон правил на референсной машине.
• Экспортировать файл политики и заархивировать копию.
• Импортировать в тестовый GPO, применить к тестовой OU.
• Тестирование на выборочной группе компьютеров.

Десктоп-поддержка:

• Помочь с запуском тестовых клиентов и сбором логов.
• Проверить netstat, журнал событий и состояние службы брандмауэра.
• Документировать обращения пользователей на случай необходимости корректировок.

Команда безопасности:

• Оценить правила на наличие обходных путей.
• Рекомендовать дополнительные правила (например, блокировать сторонние прокси).

Мини‑методология (быстрая последовательность)

1. Подготовка референсной машины.
2. Создание и тестирование входящих/исходящих правил.
3. Экспорт политики в файл (.wfw).
4. Импорт в GPO, применить к OU.
5. Отключить локальные правила (если требуется).
6. Тестирование, сбор логов, приёмка.

Диаграмма принятия решений

flowchart TD
  A[Есть ли AD/GPO?] -->|Нет| B[Использовать локальную политику или MDM]
  A -->|Да| C[Создать шаблон на референсной машине]
  C --> D[Экспортировать .wfw]
  D --> E[Импортировать в GPO]
  E --> F{Нужна ли блокировка локальных правил?}
  F -->|Да| G[Отключить применение локальных правил]
  F -->|Нет| H[Оставить слияние правил]
  G --> I[Тестирование]
  H --> I
  I --> J[Приёмка]
  J --> K[Производственный релиз]

Альтернативные подходы

• MDM/Endpoint Management (Intune, SCCM): если у вас нет GPO или вы хотите управлять мобильными устройствами и ноутбуками вне домена.
• Сторонние агенты безопасности: более гибкие правила, но требуют установки ПО на все устройства.
• Блокировка на уровне прокси/шлюза: эффективна, если Skype использует веб-трафик и может быть фильтрован на границе сети.

Безопасность и соответствие

• Убедитесь, что любые изменения в GPO согласованы с политиками безопасности и документированы.
• Перед массовым применением выполните оценку рисков: какие сервисы могут пострадать.

Конфиденциальность и GDPR: если вы планируете собирать логи работы пользователей (например, для подтверждения блокировок), проверьте соответствие требованиям конфиденциальности вашей организации и законодательства.

Совместимость и заметки по миграции

• Метод применим для Windows 7, 8.x, 10 и 11. Интерфейс консоли может немного отличаться, но понятие входящих/исходящих правил и профилей сохраняется.
• При миграции с локальных настроек на централизованное управление: сначала экспортируйте текущие политики, затем импортируйте и протестируйте — откат возможен при наличии бэкапов.

Тестовые сценарии (кратко)

• Сценарий 1: Клиент в домене, запуск Skype → ожидание: нет исходящих соединений.
• Сценарий 2: Клиент вне домена (домашняя сеть), запуск Skype → ожидание: соединение устанавливается.
• Сценарий 3: Локальный администратор пытается добавить правило локально → ожидание: правило не влияет при отключении локальных правил в GPO.

Частые ошибки и способы их устранения

• Проблема: после импорта правил локальные правила всё ещё работают. Решение: убедитесь, что вы настроили “Apply local firewall rules” = No в свойствах GPO для нужных профилей.
• Проблема: правило не применяется к компьютеру. Решение: проверьте связь OU/GPO, выполните gpupdate /force и проверьте журнал событий.
• Проблема: пользователи обходят запрет с помощью VPN. Решение: блокировать известные VPN-клиенты на уровне сетевого шлюза и/или использовать средства обнаружения аномалий.

Критерии приёмки

• На выборочной выборке компьютеров (не менее 5–10) правила работают корректно.
• Журналы событий фиксируют блокировки для skype.exe в домене.
• Пользователи подтверждают, что рабочая сеть не позволяет запускать Skype, при этом он остаётся рабочим вне домена.

Глоссарий (одна строка)

• GPO — групповая политика Active Directory, инструмент централизованного управления настройками.
• Firewall policy (.wfw) — файл экспорта конфигурации Windows Firewall.
• Inbound/Outbound rules — правила входящего и исходящего трафика.

Резюме

• Создавайте и тестируйте шаблон на референсной машине.
• Экспортируйте конфигурацию и импортируйте её в GPO, привязанное к OU с компьютерами.
• Отключите применение локальных правил, если нужно централизованное управление без слияния.
• Проведите тестирование, используйте чек-листы и подготовьте план отката.

Важно: делайте резервные копии настроек перед изменениями и документируйте каждое изменение политики.

Короткое объявление для пользователей (пример для рассылки)

В ближайшее время мы вводим централизованные правила безопасности брандмауэра, которые блокируют использование Skype в рабочей сети. Приложение останется доступным вне корпоративной сети (например, дома). Если вам нужно исключение — обратитесь в службу поддержки с обоснованием.