Zugriffe auf Windows-Server mit PowerShell und GUI steuern Windows-Firewall für Netzwerkprofile konfigurieren

Die Windows Defender Firewall auf Windows-Servern ermöglicht das Festlegen von Firewall-Regeln, basierend auf den verschiedenen Netzwerkprofilen, die sich in Windows Server 2019/2022 definieren lassen. Wir zeigen in diesem Beitrag, welche Möglichkeiten dabei bestehen.

Windows-Server und -Arbeitsstationen können in drei verschiedenen Netzwerkprofilen betrieben werden. Das sind die Profile "Öffentlich", "Privat" und "Domäne". Wenn ein Windows-Server oder eine Arbeitsstation Mitglied in einer Active Directory-Domäne wird, stellt sich der Server automatisch zum Domänenprofil um. Das lässt sich manuell nicht ändern und kann auch nicht eingestellt werden, wenn ein Server kein Mitglied in einer Active Directory-Domäne ist.

GlassWire, Windows 10 Firewall Control und Firewall App Blocker nutzen

Windows-Firewall mit Freeware im Griff behalten

Anzeigen des Netzwerkprofils in GUI, PowerShell und Registry

Welches Profil aktuell eingestellt ist, lässt sich in der GUI über das Kontextmenü des Netzwerkicons im Traybereich der Taskleiste anzeigen. Dazu steht der Menüpunkt "Netzwerk und Interneteinstellungen öffnen" zur Verfügung. Effektiver ist die Verwendung des Cmdlets "Get-NetConnectionProfile".

Bildergalerie

Bildergalerie mit 6 Bildern

Ist ein Computer Mitglied in einem Active Directory ist bei "NetworkCategory" das Netzwerkprofil "DomainAuthenticated" zu sehen. Bei alleinstehenden Computern sind an dieser Stelle entweder "Private" oder "Public" zu finden. Bei "Public" ist der Server am meisten vom Netzwerk abgeschottet.

Das Netzwerkprofil lässt sich zwischen "Public" und "Private" am besten mit der PowerShell und dem Cmdlet "Set-NetConnectionProfile" anpassen, zum Beispiel mit:

Die Interface-Nummer des entsprechenden Adapters lässt sich mit dem Cmdlet "Get-NetAdapter" auslesen. Natürlich können beim Einsatz mehrerer Netzwerkadaptern auf einem Server verschiedene Netzwerkprofile zum Einsatz kommen. Jeder Adapter erhält sein eigenes Profil.

Das jeweilige Profil ist in der Registry im Pfad „HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\NetworkList\Profiles“ zu finden. Der Wert „1“ steht für privates Netzwerk, „0“ für öffentliches Netzwerk und „2“ für das Profil „Domain“.

Windows Defender-Firewall über PowerShell an Netzwerkprofile binden

Die Einstellungen der Windows-Firewall auf Basis der Netzwerkprofile kann in der PowerShell angezeigt werden, zum Beispiel mit:

Um die Firewall für ein bestimmtes Profil zu aktivieren oder zu deaktivieren, kann in der PowerShell der folgende Befehl genutzt werden:

Dieses Cmdlet aktiviert die Firewall für das Domänenprofil. Durch das Ändern von "True" in "False" lassen sich die Einstellungen wieder ändern. Es gibt aber noch weitere Möglichkeiten.

Tool-Tipp: Simplewall

Simplewall parallel zur Windows-Firewall nutzen

Eingehenden Datenverkehr blockieren oder zulassen:

Dieses Cmdlet konfiguriert die Firewall so, dass eingehender Datenverkehr standardmäßig blockiert wird. Ändern Admins den Wert "Block" in "Allow", lässt die Firewall den eingehenden Datenverkehr zu.

Ausgehenden Datenverkehr blockieren oder zulassen:

Dieses Cmdlet konfiguriert die Firewall so, dass ausgehender Datenverkehr standardmäßig zugelassen wird.

Firewall für Netzwerkprofile aktivieren

Über "firewall.cpl" zeigt die Windows Defender-Firewall in Windows Server 2019/2022 an für welche Netzwerkprofile die Firewall aktiv ist. Es ist auch möglich die Firewall für einzelne Schnittstellen und Profile zu deaktivieren. Außerdem ist an dieser Stelle zu sehen, ob aktuell Netzwerkschnittstellen mit den einzelnen Profilen verbunden sind.

Firewall-Regeln für Netzwerkprofile erstellen

Um Firewall-Regeln für Netzwerkprofile zu erstellen, kann wiederum "wf.msc" genutzt werden. Diese Das geht für einzelne Server oder über Gruppenrichtlinien im Bereich "Computerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Windows Defender Firewall mit erweiterter Sicherheit -> Windows Defender Firewall mit erweiterter Sicherheit ". Hierüber ist es möglich die Windows-Firewall über Gruppenrichtlinien für verschiedene Profile zu aktivieren oder zu deaktivieren.

Außerdem ist an dieser Stelle das Erstellen von Firewall-Regeln für verschiedene Netzwerkprofile möglich. Über Active Directory lassen sich auf diesem Weg mit Gruppenrichtlinien Firewallregeln im Netzwerk verteilen.

An der gleichen Stelle können in den erweiterten Einstellungen der Windows-Firewall für den lokalen Server festlegen. Dazu steht in der Mitte der Menüpunkt "Windows Defender Firewall-Eigenschaften" zur Verfügung.

Video-Tipp: Windows Defender Firewall

Windows Defender Firewall steuern mit Gruppenrichtlinien

Ein- und ausgehende Firewall-Regeln auf Basis von Netzwerkprofilen erstellen

Über die Menüpunkte "Eingehende Regeln" und "Ausgehende Regeln" werden Firewall-Regeln erstellen, die den ausgehenden oder eingehenden Netzwerkverkehr betreffen. In jeder Regel lassen sich über den Menüpunkt "Profil" festlegen, für welche der drei Netzwerkprofile die entsprechende Regel aktiv sein soll. Nachträglich lässt sich das für jede Firewall-Regeln in den Eigenschaften auf der Registerkarte "Erweitert" bei "Profile" definieren.

In Windows ermöglicht die PowerShell das Erstellen und Verwalten von Firewall-Regeln. Für die verschiedenen Netzwerkprofile Privat, Öffentlich und Domäne können unterschiedliche Vorgehensweisen angewendet werden. Zum Erstellen einer neuen Firewall-Regel dient das Cmdlet "New-NetFirewallRule". Damit kann eine Regel definiert werden, die eingehenden Datenverkehr blockiert. Ein typisches Beispiel wäre die Erstellung einer Regel, die den gesamten eingehenden TCP-Verkehr auf Port 80 blockiert:

Die Netzwerkprofile können mit dem Parameter -Profile angegeben werden. Die Optionen sind "Domain", "Private" und "Public". Um eine Regel für ein spezifisches Profil zu erstellen, kann der folgende Befehl verwendet werden:

Die Verwaltung der Firewall-Regeln erfolgt durch verschiedene Cmdlets. Mit "Get-NetFirewallRule" können bestehende Regeln abgerufen werden. Die Regel, die zuvor erstellt wurde, könnte zum Beispiel durch den folgenden Befehl gefunden werden:

Um eine Regel zu ändern, kann das Cmdlet "Set-NetFirewallRule" verwendet werden. Dieses Cmdlet ermöglicht es, die Eigenschaften einer bestehenden Regel zu ändern. Zum Beispiel kann die zuvor erstellte Regel so geändert werden, dass sie den Datenverkehr nicht mehr blockiert:

Zum Löschen einer Regel dient das Cmdlet "Remove-NetFirewallRule". Die zuvor erstellte Regel kann mit dem folgenden Befehl gelöscht werden:

So können Firewall-Regeln für die verschiedenen Netzwerkprofile in Windows mit der PowerShell erstellt und verwaltet werden.

Video-Tipp: Firewall-Einstellungen mit GPOs

Windows-Firewall mit Gruppenrichtlinien steuern

(ID:49578865)