Estou tentando configurar máquinas endpoint com um firewall que permite apenas o tráfego de listas brancas e todas as outras conexões estão bloqueadas.
As máquinas clientes são desktops e laptops que executam o Windows 7 (x86 e x64) usando o Firewall do Windows com Segurança Avançada. Toda máquina faz parte de um domínio do Windows Server 2008 e estou configurando o firewall usando a Diretiva de Grupo. Estou testando essa configuração de firewall com um pequeno subconjunto de máquinas.
Neste momento, tenho o Firewall do Windows configurado para bloquear todo o tráfego de entrada e saída que não corresponda a uma regra de permissão explícita. Aqui estão as comunicações básicas que estão ativadas atualmente:
Além disso, tenho algumas regras definidas para os aplicativos de negócios que usamos. Isso tem funcionado muito bem, mas hoje eu encontrei alguns problemas com o MSRPC (Microsoft Remote Procedure Call).
Eu abro mmc.exe e carrego o snap-in de gerenciamento do computador para modificar o grupo de administradores locais. Na janela "Selecionar usuários, computadores ...", insiro o nome de usuário e clique em "Verificar nomes". Isso me dá o seguinte erro:
Windows cannot process the object with the name "Foo Bar" because of the following error:
Access is denied.
Quando removo as restrições do firewall, tudo funciona bem. O tráfego sendo bloqueado é MSRPC e usa uma porta selecionada aleatoriamente no intervalo de [49100 ... 65535].
Como posso criar uma regra para o Firewall do Windows que permita o tráfego MSRPC sem criar uma regra excessivamente ampla, como permitir o tráfego TCP em todas as portas?
Eu criei uma regra do Firewall do Windows que permite todo o tráfego TCP para %SystemRoot%\System32\mmc.exe e que resolveu completamente o problema.
Além disso, notei dois outros programas que também precisam ter todo o tráfego TCP permitido:
KB154596 "Como configurar a alocação de porta dinâmica de RPC para trabalhar com firewalls"
Em suma, parece que você implantará muitas alterações no registro por meio de um GPO. Certifique-se de documentar tudo o que você faz e por que você fez isso. Se alguém tiver que curar os sistemas lá, será um choque ver algo tão básico quanto o RPC conectado a certas portas. Não que seja ruim , lembre-se de você. Apenas diferente.
Tags firewall rpc windows-firewall