Вопрос или проблема
Я настраиваю групповую политику OU для брандмауэра и других настроек в соответствии с рекомендациями CIS SCA. У меня возникла проблема с настройками брандмауэра. ПК в OU получают все настройки GPO, как и ожидалось, и всё работает хорошо; однако, через неизвестное количество времени, несколько часов или на следующий день, на контроллере домена настройки GPO OU для “Брандмауэра Windows с расширенной безопасностью” возвращаются к настройкам по умолчанию, как будто я ничего не менял – все остальные настройки GPO остаются установленными, как я и задавал.
Конфигурация компьютера\Политики\Настройки Windows\Настройки безопасности\Брандмауэр Windows с расширенной безопасностью
Настройки:
Состояние:
- Включение всех 3 (Доменный, Частный, Публичный брандмауэр)
- Блокировать входящие (значение по умолчанию)
- Разрешить исходящие (значение по умолчанию)
Настройки:
- Показать уведомление = Нет
- Слияние правил: Применять локальные правила брандмауэра = Нет
- Применять локальные правила безопасности соединений = Нет
Журналирование
- %SystemRoot%\System32\logfiles\firewall\domainfw.log (privatefw.log и publicfw.log соответственно)
- SizeLimit 16,384
- Записывать сброшенные пакеты = Да
- Записывать успешные подключения
Примечание* Брандмауэр успешно записывает во все 3 файла.
- Windows Server 2019, ПК – Dell Wyse ThinClients на Windows 10 Enterprise LTSC
- Нет других GPO, кроме Default Domain и Default Domain Controllers…
Я застрял, кто-нибудь сталкивался с этим раньше или есть предложения?
Спасибо за ваше время,
Ответ или решение
Уважаемый пользователь,
Судя по вашему описанию, ваша проблема заключается в том, что настройки Windows Defender Firewall, настроенные через объект групповой политики (GPO), периодически сбрасываются на значения по умолчанию. Это может быть связано с несколькими факторами, которые мы сейчас рассмотрим.
Возможные причины и решения:
-
Конфликт GPO:
Даже если вы указали, что других GPO нет, есть вероятность наличия скрытых или унаследованных настроек. Проверьте, нет ли других объектов групповой политики на уровне домена, которые могут перекрывать ваши настройки. Для этого используйте командуgpresult /h gp_result.htmlна проблемной машине. Это создаст отчет о групповом政策ировании, где будет видно, какие политики применяются. -
Настройки Local Group Policy:
Локальные настройки групповой политики на клиентских машинах (например, через редактор локальной групповой политикиgpedit.msc) могут конфликтовать с настройками, определенными в GPO. Убедитесь, что локальная политика не установлена в противоречие с вашей GPO. -
Таймерные/периодические проверки:
Некоторые антивирусные или другие средства управления политиками могут переопределять настройки брандмауэра. Убедитесь, что нет программного обеспечения, которое периодически меняет настройки брандмауэра. -
Правильная конфигурация GPO:
Проверьте, правильно ли вы настроили GPO. Возможно, вам нужно обратиться к документации Microsoft по управлению брандмауэром с помощью GPO, чтобы убедиться, что вы не пропустили какие-либо критически важные настройки. -
Сеть и связь:
Убедитесь, что клиентские ПК правильно подключены к домену и могут нормально получать обновления от контроллера домена. Проблемы с сетью могут препятствовать корректному применению GPO. -
Проверка журналов событий:
Проверьте журналы событий на клиентских машинах, связанных с безопасностью и приложениями. Это может дать дополнительную информацию о том, что происходит с настройками брандмауэра. -
Файлы .pol:
Проверьте, не повреждены ли файлы .pol, относящиеся к вашей GPO. Это можно сделать через утилиты, такие как Group Policy Management Console (GPMC). -
Обновление и исправления:
Убедитесь, что и сервер, и клиенты обновлены до последних версий Windows. Иногда проблемы могут быть вызваны багами, которые были исправлены в обновлениях.
Если ни одно из вышеуказанных решений не помогло, вам возможно стоит рассмотреть возможность создания новой GPO, которая будет конкретно настраивать только брандмауэр, чтобы изолировать проблему и принять во внимание любую специфику вашего окружения.
Надеюсь, что это поможет вам решить проблему. Если у вас останутся дополнительные вопросы, не стесняйтесь обращаться.
С уважением,
[Ваше имя]
Эксперт в области администрирования Windows и управления политиками безопасности.