Regras de Firewall de Saída no Windows Server 2008

Question

Um dos meus clientes levantou um requisito para implementar regras de firewall de saída em todos os seus servidores.

Ambiente atual O ambiente é construído na nuvem da AWS. Todos os servidores executam os sistemas operacionais Windows Server 2008 Base e Windows Server 2008 R2. Todos os servidores possuem acesso à internet e endereço IP público. O tráfego de entrada é controlado usando o firewall da Amazon.

Requisito A exigência do meu cliente é bloquear todo o tráfego de saída de todos os servidores, exceto o acesso do aplicativo ao aplicativo do Facebook por meio de um servidor proxy. Para ser mais preciso, o tráfego de aplicativos através de uma porta especificada deve atingir apenas o servidor proxy.

O que eu fiz Eu criei as seguintes regras no Firewall do Windows. Regra 1 - > Acesso ao aplicativo - > Via porta XXXX - > permitido somente para o servidor proxy IP XXX.XXX.XXX.XXX/32 Regra 2 - > Todos os outros acessos - > Via a mesma porta XXXX --- > Para ser bloqueado para todo o endereço IP XXX.XXX.XXX.XXX/0

Qual foi o resultado? Quando eu aplico esta regra, a 'Regra Negar' tem prioridade e bloqueia todo o acesso, bloqueando assim o servidor proxy também. Quando eu removo a regra de negação, o tráfego de saída flui para todo o endereço IP

Solução que preciso Eu preciso bloquear o tráfego de saída na porta especificada para todo o endereço IP, exceto o IP do servidor proxy. Como faço para conseguir isso

Por favor, deixe-me saber suas sugestões.

    

Answer 1

Vá para a regra Permitir e clique em "Propriedades". Vá para a aba "Scope" e selecione "These IP Addresses" e digite seu IP remoto lá. Isso deve permitir que a regra funcione apenas com o (s) endereço (s) IP que você especificar.

Em seguida, você precisa alterar a regra padrão "Regra de saída que não corresponde à regra" para negar conexões de saída que não correspondam à sua regra para a zona apropriada (o que eu consideraria público neste caso). Isso negará todas as conexões de saída, exceto a que você declarou na regra "Permitir".