Windows Firewall

Die Richtlinien-Konfiguration Windows Firewall verwaltet die Windows-Firewall auf verwalteten Geräten. Sie besteht aus drei Teilen: globalen Eigenschaften, Einstellungen je Netzwerkprofil und einzelnen Firewallregeln.

Globale Eigenschaften #

Die globalen Eigenschaften gelten profilübergreifend für das gesamte Gerät und stehen im Abschnitt Allgemein. Sie werden über den Schalter Konfigurierung der globalen Einstellungen freigeschaltet; ohne ihn sind die folgenden Felder nicht bearbeitbar und werden nicht übertragen. Wird der Schalter deaktiviert, werden die zuvor übertragenen globalen Eigenschaften wieder vom Gerät entfernt.

• Blockiert das statusbehaftete FTP (File Transfer Protocol)
• Leerlaufzeit für Sicherheitszuordnung vor Löschvorgang: Anzahl Sekunden ohne Netzwerkdatenverkehr, nach der eine Sicherheitszuordnung gelöscht wird (300–3600).
• Codierung vorinstallierter Schlüssel
• IPsec-Ausnahmen (Auswahl):
  • Keine
  • Neighbor Discovery-IPv6-Codes vom Typ ICMP
  • ICMP
  • Router Discovery-IPv6-Codes vom Typ ICMP
  • Sowohl IPv4- als auch IPv6-DHCP-Datenverkehr
• Überprüfung der Zertifikatssperrliste (Pflichtfeld, Standard: Deaktiviert):
  • Deaktiviert
  • Überprüfung der Zertifikatssperrliste nur bei gesperrtem Zertifikat fehlerhaft
  • Überprüfung der Zertifikatssperrliste bei jedem Fehler fehlerhaft
• Authentifizierungssatz opportunistisch pro Schlüsselerstellungsmodul abgleichen
• Aktiviert Paketwarteschlange (Standard: Deaktiviert):
  • Deaktiviert
  • Nur eingehende verschlüsselte Pakete in Warteschlange einreihen
  • Pakete nach der Entschlüsselung nur zu Weiterleitung in Warteschlange einreihen

Profileigenschaften #

Für jedes Netzwerkprofil – Domänennetzwerk (Arbeitsbereichsnetzwerk), Öffentliches Netzwerk (nicht sichtbar) und Privates Netzwerk (sichtbar) – gibt es einen eigenen Abschnitt mit dem Schalter Konfiguration der Profileigenschaften. Erst wenn er aktiviert ist, lassen sich die folgenden Einstellungen bearbeiten und werden an das Gerät übertragen. Wird er deaktiviert, werden die zuvor übertragenen Einstellungen des Profils wieder vom Gerät entfernt.

• Aktiviert Firewall
  • Geschützt: nur auswählbar, wenn Aktiviert Firewall gesetzt ist; blockiert zusammen mit der Firewall den gesamten eingehenden Datenverkehr.
• Erlaubt die Standardaktion für eingehende Verbindungen (Standard: aktiviert)
• Erlaubt die Standardaktion für ausgehende Verbindungen (Standard: aktiviert)
• Deaktiviert eingehende Benachrichtigungen
• Deaktiviert geschützten Modus
  • Ausnahme für durch IPsec geschützte Pakete bei geschütztem Modus: nur auswählbar, wenn Deaktiviert geschützten Modus gesetzt ist.
• Deaktiviert Unicastantworten auf Multicastbroadcasts
• Firewall-Regeln für autorisierte Anwendungen aus dem lokalen Speicher (Standard: aktiviert)
• Firewall-Regeln für den globalen Port aus dem lokalen Speicher (Standard: aktiviert)
• Firewall-Regeln aus dem lokalen Speicher (Standard: aktiviert)
• IPsec-Regeln aus dem lokalen Speicher (Standard: aktiviert)

Werden die Standardaktionen für eingehende oder ausgehende Verbindungen nicht erlaubt, ist eine Firewallregel erforderlich, die die Verbindungen mit Relution zulässt. Andernfalls kann Relution das Gerät nicht mehr verwalten.

Firewallregeln #

Die Firewallregeln stehen in einer Liste mit den Spalten Regelname, Regelbeschreibung, Datenverkehrsrichtung und Regel aktiviert. Über Hinzufügen, Bearbeiten und Löschen werden Regeln angelegt, geändert oder entfernt. Je Konfiguration sind maximal 100 Firewallregeln möglich.

Je Regel lassen sich Anwendung, Ports und Netzwerktypen festlegen:

• Regelname (Pflichtfeld)
• Regelbeschreibung
• Regel aktiviert (Standard: aktiviert)
• Erlaubt Verbindung für diese Regel (Standard: aktiviert): legt fest, ob die Regel den Datenverkehr zulässt oder blockiert.
• EdgeTraversal-Einstellung aktiviert (Standard: deaktiviert)
• Datenverkehrsrichtung: Eingehend oder Ausgehend (Standard)
• Netzwerktypen (Pflichtfeld, Mehrfachauswahl):
  • Alle existierenden Netzwerksets und jegliche zukünftige Netzwerksets (Standard; schließt die übrigen Optionen aus)
  • Domäne
  • Privat
  • Öffentlich
• Paketfamilienname der Anwendung, Dateipfad der Anwendung und Windows-Dienst (Abschnitt Anwendung)
• Lokaler Adressbereich und Remote Adressbereich (Abschnitt IP-Adresse): IPv4- oder IPv6-Adressen, als einzelne Adresse oder als Bereich mit Untere Bereichsgrenze und Obere Bereichsgrenze
• IP Protokoll: Zahl von 0 bis 255, mit Vorschlagsliste (z. B. 6 - TCP, 17 - UDP)
• Lokaler Portbereich und Remote Portbereich: Ports von 1 bis 65535, als einzelner Port oder als Bereich
• Schnittstellen-Typen (Mehrfachauswahl, Standard: alle): Lokales Netzwerk, Drahtlosnetzwerke, Remotezugriff
• Lokale Benutzer-Authorisierungsliste: autorisierte lokale Benutzer im SDDL-Format; ohne Angabe gilt die Regel für alle Benutzer. Für Regeln, die auf einen Windows-Dienst zielen, ist keine Liste möglich.

Je Bereichsliste (Lokaler Portbereich, Remote Portbereich, Lokaler Adressbereich, Remote Adressbereich) sind maximal 20 Einträge möglich; Bereiche innerhalb einer Liste dürfen sich nicht überschneiden. Portbereiche stehen nur zur Verfügung, wenn als IP Protokoll 6 - TCP oder 17 - UDP gewählt ist.

Verwandte Themen #

• VPN → — VPN-Profile für Windows-Geräte.
• Custom CSP → — Einstellungen, die keine eigene Konfiguration haben.