As configurações de Diretiva de Grupo do Firewall do Windows às vezes são ignoradas na inicialização

Question

Implementamos nossas configurações do Firewall do Windows (entre outras configurações de segurança) como políticas locais em nossas máquinas. Eles não fazem parte de um domínio. Há um reinício semanal configurado para cada máquina, combinado com um chkdisk .

O problema é que em algumas máquinas as configurações do firewall quando o serviço é iniciado NÃO são carregadas da Diretiva de Grupo - as configurações e regras locais são usadas (o que não desejamos). Isso acontece apenas ocasionalmente e o problema não é reproduzível de forma confiável. Quando eu verifico as Políticas de Grupo configuradas na máquina onde as configurações locais foram usadas, tudo está configurado corretamente.

Como o serviço do Firewall do Windows determina se deve carregar as regras e configurações da Diretiva de Grupo ou das configurações locais? Há problemas conhecidos ou condições de corrida em relação ao serviço de Diretiva de Grupo e ao serviço do Firewall do Windows ou alguém encontrou um problema semelhante? É possível que o chkdisk interfira nas políticas?

A solução alternativa seria definir as configurações locais para serem uma cópia das configurações de política, mas gostaríamos de entender qual é a causa desse problema.

A entrada do log de eventos é semelhante a essa (essas configurações são tiradas das configurações locais, não aquelas definidas na Diretiva de Grupo - embora estejam definidas!)

The following policy was active when the Windows Firewall started.

Group Policy Applied:   No
Profile Used:   Public
Operational mode:   On
Allow Remote Administration:    Disabled
Allow Unicast Responses to Multicast/Broadcast Traffic: Enabled
Security Logging:
Log Dropped Packets:    Disabled
Log Successful Connections: Disabled

    

Answer 1

Eu também encontrei esse problema. No nosso caso, não usa regras locais, bloqueia tudo. Não sei se ele está preso usando as regras persistentes ou se é padrão as regras locais e as regras locais são anuladas por uma configuração de política diferente. De qualquer forma está quebrado e eu não encontrei nenhuma resposta perguntando na comunidade da Microsoft. Não seria legal se os registros do Windows contivessem informações úteis?

Então eu uso esta solução alternativa: execute gpupdate / force na inicialização usando o Agendador de Tarefas. Eu corro como SYSTEM, embora não saibam se isso é necessário.