Configuración de las reglas del Firewall de Windows mediante la directiva de grupo
El Firewall de Microsoft Defender está integrado en todas las versiones modernas de Windows y Windows Server y le permite configurar reglas para filtrar el tráfico de red entrante y/o saliente en su computadora. Las reglas del Firewall de Windows se pueden configurar localmente en la computadora del usuario (usando el
wf.mscconsola, la
netsho el módulo PowerShell integrado de NetSecurity). En equipos con Windows unidos a un dominio de Active Directory, puede administrar de forma centralizada las reglas y la configuración del Firewall de Microsoft Defender mediante directivas de grupo.
En las redes empresariales, las reglas de filtrado de puertos generalmente se establecen a nivel de enrutadores, conmutadores L3 o dispositivos de firewall dedicados. Sin embargo, nada le impide implementar sus reglas de acceso a la red de Firewall de Windows en estaciones de trabajo o servidores de Windows.
Habilitar el Firewall de Microsoft Defender a través de GPO
Abra la consola de administración de directivas de grupo del dominio (
gpmc.msc), cree un nuevo objeto GPO (política) con el nombre gpoFirewallDefault y cambie al modo de edición.
Para evitar que los usuarios (incluso con permisos de administrador local) detengan el servicio de firewall, se recomienda configurar el inicio automático de Firewall de Windows mediante GPO. Para hacerlo, vaya a Configuración de la computadora-> Configuración de Windows -> Configuración de seguridad -> Servicios del sistema. Busque Firewall de Windows en la lista de servicios y cambie el tipo de inicio a automático (Definir esta configuración de política -> Modo de inicio del servicio Automático). Asegúrese de que sus usuarios no tengan permiso para detener el servicio.
A continuación, vaya a Configuración del equipo -> Políticas -> Plantillas administrativas -> Red -> Conexiones de red -> Windows Defender -> Cortafuegos -> Perfil de dominio y habilite la política Firewall de Windows Defender: proteger todas las conexiones de red.
Vaya a la sección Configuración del equipo -> Configuración de Windows -> Configuración de seguridad en la consola de GPO. Haga clic con el botón derecho en Firewall de Windows con seguridad avanzada y abra las propiedades.
Cambie el estado del Firewall a Activado (recomendado) en las tres pestañas: Perfil de dominio, Perfil privado y Perfil público (¿Qué son los perfiles de red (ubicaciones) en Windows?). Según las políticas de seguridad de su empresa, puede especificar que todas las conexiones entrantes estén bloqueadas de forma predeterminada (Conexiones entrantes -> Bloquear) y que se permitan las conexiones salientes (Conexiones salientes -> Permitir). Guarde los cambios.
Puede depurar sus reglas de Firewall de Windows Defender en las computadoras de los clientes habilitando el inicio de sesión
%systemroot%\system32\logfiles\firewall\pfirewall.log. De forma predeterminada, el registro de conexión de red está deshabilitado en Windows. Puede registrar solo paquetes rechazados (Registrar paquetes perdidos) o paquetes permitidos por las reglas del firewall (Registrar conexiones exitosas).
¿Cómo crear una regla de Firewall de Windows con GPO?
Ahora veamos cómo crear reglas de firewall de Microsoft Defender a través de la Política de grupo. Para configurar sus reglas, vaya a Configuración de la computadora -> Configuración de Windows -> Configuración de seguridad -> Firewall de Windows con seguridad avanzada.
Las siguientes secciones están disponibles en Firewall GPO:
Reglas de entrada
Reglas de salida
Reglas de seguridad de conexión
Intentemos crear una regla de firewall entrante que permita. Por ejemplo, queremos permitir la conexión RDP entrante en Windows (el puerto RDP predeterminado es TCP 3389). Haga clic con el botón derecho en la sección Reglas de entrada y seleccione Nueva regla. Se inicia el Asistente para nueva regla de cortafuegos.
El asistente de reglas de firewall tiene una interfaz similar a la del Firewall de Windows local en la computadora de escritorio del usuario.
Seleccione el tipo de regla. Puede permitir el acceso a:
-
Programa: puede seleccionar un programa ejecutable (.exe);
Puerto: puede seleccionar un puerto TCP/UDP o un rango de puertos;
Predefinido: seleccione una de las reglas estándar de Windows, que ya contienen reglas de acceso (se describen tanto los archivos ejecutables como los puertos) a servicios típicos (p. ej., AD, HTTP(s), DFS, BranchCache, reinicio remoto, SNMP, KMS, WinRM, etc.);
Personalizado: aquí puede especificar un programa, un protocolo (protocolos que no sean TCP o UDP, como ICMP, GRE, L2TP, IGMP, etc.), direcciones IP de clientes o una red IP completa (subred).
En nuestro caso, seleccionaremos la regla Puerto. Especifiquemos TCP como protocolo y 3389 como número de puerto local.
Luego debe seleccionar qué hacer con dicha conexión de red: Permitir la conexión, Permitir la conexión si es segura o Bloquear la conexión.
Luego seleccione los perfiles de red para aplicar la regla de firewall. Puede dejar todos los perfiles habilitados (Dominio, Privado y Público).
En el último paso, especifique el nombre y la descripción de la regla. Haga clic en Finalizar y aparecerá en la lista de reglas de firewall.
Las versiones modernas de Windows también usan el puerto UDP 3389 para el tráfico de escritorio remoto (RDP). Por lo tanto, cree también una segunda regla de Microsoft Defender para ese puerto.
De la misma manera, puede configurar otras reglas de firewall de entrada para aplicar a sus clientes de Windows. Puede crear reglas para el tráfico entrante y saliente.
Arriba, vimos cómo usar el asistente gráfico para crear reglas de Firewall de Windows Defender. También puede crear una lista de reglas en formato de texto sin formato y agregar rápidamente una gran cantidad de excepciones a Defender Firewall GPO.
Vaya a Configuración del equipo -> Políticas -> Plantillas administrativas -> Red -> Conexiones de red -> Perfil de Windows Defender -> Perfil de dominio y abra la política Firewall de Windows Defender: Definir excepciones de puertos entrantes. Aquí puede crear una lista de reglas de firewall con cadenas de texto simples.
A continuación se muestra la lista de reglas de firewall entrantes que deseo agregar a la Política de grupo:
3389:UDP:localsubnet:enabled:In_RDP_UDP_3389
445:TCP:localsubnet:enabled:In_SMB_TCP_443
443:TCP:192.168.110.11:enabled:In_HTTP_TCP_445Haga clic en el botón Mostrar y copie sus reglas línea por línea en el formulario Definir excepciones de puertos.
Este método le permite crear rápidamente una gran cantidad de reglas de entrada para el firewall de Windows.
Aplicación de reglas de firewall de Microsoft Defender a equipos con Windows
Ahora queda asignar la política Firewall-Policy a la OU (Unidad Organizativa) con los equipos de los usuarios. Busque la unidad organizativa deseada en la consola de administración de directivas de grupo, haga clic con el botón derecho en ella y seleccione Vincular un GPO existente. Seleccione su política de firewall de la lista.
Importante. Antes de aplicar una política de firewall a la unidad organizativa con equipos de producción, se recomienda probarla en algunos equipos de prueba. De lo contrario, debido a una configuración de firewall incorrecta, puede bloquear completamente el acceso a la red en las computadoras. Para diagnosticar cómo se aplica su política de grupo, use la herramienta gpresult.
Actualice la configuración de la política de grupo en sus clientes (gpupdate /force). Verifique que los puertos que especificó estén abiertos en las computadoras de los usuarios (puede usar el cmdlet Test-NetConnection o la herramienta Portqry para buscar puertos abiertos).
En la computadora de un usuario, abra el Panel de control -> Sistema y seguridad -> Firewall de Windows Defender y asegúrese de que esté el mensaje Por su seguridad, algunas configuraciones están controladas por la Política de grupo y se usa la configuración de su firewall.
Ahora un usuario no puede cambiar la configuración del firewall y todas las reglas que ha creado deben aparecer en la lista de Reglas de entrada. Tenga en cuenta que, de forma predeterminada, las nuevas reglas del GPO se agregan a las reglas de firewall locales existentes.
También puede mostrar la configuración actual de Windows Defender con el comando:
netsh firewall show stateO puede obtener la lista de reglas de entrada en forma de tabla usando un script de PowerShell:
Get-NetFirewallRule -Action Allow -Enabled True -Direction Inbound |
Format-Table -Property Name,
@{Name='Protocol';Expression={($PSItem | Get-NetFirewallPortFilter).Protocol}},
@{Name='LocalPort';Expression={($PSItem | Get-NetFirewallPortFilter).LocalPort}},
@{Name='RemotePort';Expression={($PSItem | Get-NetFirewallPortFilter).RemotePort}},
@{Name='RemoteAddress';Expression={($PSItem | Get-NetFirewallAddressFilter).RemoteAddress}},
Enabled,Profile,Direction,Action
¿Cómo exportar e importar reglas de firewall en Windows?
La Consola de firewall de Windows Defender le permite exportar e importar la configuración actual del firewall a un archivo de texto. Puede configurar reglas de firewall en el equipo de referencia y exportarlas a la consola de directivas de grupo.
Configure las reglas que necesita, luego vaya a la raíz del complemento del firewall (Windows Defender Firewall Monitor with Advanced Security) y seleccione Acción -> Exportar política
Sus reglas de firewall se exportarán a un archivo WFW, que se puede importar al Editor de administración de políticas de grupo seleccionando la opción Importar política y especificando la ruta al archivo .wfw (se sobrescribirá la configuración de la política actual).
Fusión de reglas de firewall locales y de dominio de Microsoft Defender
En el GPO, puede especificar si desea permitir que los administradores locales creen sus propias reglas de firewall en sus equipos y cómo estas reglas deben fusionarse con las reglas asignadas a través del GPO.
Abra las propiedades de la política de Firewall de Windows en el GPO, seleccione la pestaña con el perfil (Dominio) y haga clic en el botón Personalizar. Compruebe la configuración en la sección Combinación de reglas. De forma predeterminada, la combinación de reglas está habilitada. Puede obligar a un administrador local a crear sus propias reglas de cortafuegos: seleccione Sí (predeterminado) en la opción Aplicar reglas de cortafuegos locales.
Consejo. Las reglas de bloqueo del cortafuegos tienen mayor prioridad que las de autorización. Significa que un usuario no puede crear una regla de acceso permitido si contradice la regla de denegación configurada por un administrador mediante GPO. Sin embargo, un usuario podrá crear una regla de bloqueo local, incluso si el administrador permite el acceso en la política.
Algunos consejos sobre cómo administrar el Firewall de Windows usando un GPO:
Cree GPO separados con reglas de firewall para servidores y estaciones de trabajo (es posible que deba crear sus propias políticas para cada grupo de servidores similares según su rol). Esto significa que las reglas de firewall para un controlador de dominio, un servidor de Exchange, un servidor con el rol de host de servicios de escritorio remoto (RDSH) o Microsoft SQL Server serán diferentes;
Puede utilizar los filtros WMI GPO para orientar políticas con mayor precisión a los clientes (por ejemplo, puede aplicar la política a hosts en una subred de IP específica);
Puede averiguar qué puertos deben abrirse para cada servicio en la documentación del sitio web del proveedor. El proceso es bastante laborioso y complicado a primera vista. Sin embargo, finalmente puede obtener una configuración de Firewall de Windows en funcionamiento que permita solo conexiones de red aprobadas y bloquee el resto. Desde mi experiencia, me gustaría señalar que puede encontrar rápidamente la lista de puertos TCP/UDP usados para la mayoría de los servicios de Microsoft.