Защитник Windows брандмауэра с расширенными мерами безопасности Windows Defender Firewall with Advanced Security design guide

Область применения Applies to

• Windows 10 Windows 10
• Windows Server 2016 Windows Server 2016

Защитник Windows брандмауэром с расширенными мерами безопасности является брандмауэр хост-системы, который обеспечивает безопасность устройства двумя способами. Windows Defender Firewall with Advanced Security is a host firewall that helps secure the device in two ways. Во-первых, он может фильтровать сетевой трафик, разрешенный для ввода устройства из сети, а также контролировать сетевой трафик, который устройство может отправлять в сеть. First, it can filter the network traffic permitted to enter the device from the network, and also control what network traffic the device is allowed to send to the network. Во-Защитник Windows брандмауэр поддерживает IPsec, что позволяет требовать проверку подлинности с любого устройства, которое пытается связаться с устройством. Second, Windows Defender Firewall supports IPsec, which enables you to require authentication from any device that is attempting to communicate with your device. Если требуется проверка подлинности, устройства, которые не могут проверить подлинность, не могут взаимодействовать с устройством. When authentication is required, devices that cannot authenticate cannot communicate with your device. С помощью IPsec можно также зашифровать определенный сетевой трафик, чтобы предотвратить его чтение или перехват во время перехода между устройствами. By using IPsec, you can also require that specific network traffic be encrypted to prevent it from being read or intercepted while in transit between devices.

Интерфейс для Защитник Windows брандмауэра гораздо более гибок и гибок, чем пользовательский интерфейс, Защитник Windows панели управления брандмауэром. The interface for Windows Defender Firewall is much more capable and flexible than the consumer-friendly interface found in the Windows Defender Firewall Control Panel. Они взаимодействуют с одними и теми же службами, но обеспечивают разные уровни контроля над этими службами. They both interact with the same underlying services, but provide different levels of control over those services. Хотя панель управления Защитник Windows брандмауэра отвечает требованиям для защиты одного устройства в домашней среде, она не предоставляет достаточных функций централизованного управления или безопасности для защиты более сложного сетевого трафика в типичной корпоративной среде. While the Windows Defender Firewall Control Panel meets the needs for protecting a single device in a home environment, it does not provide enough centralized management or security features to help secure more complex network traffic found in a typical business enterprise environment.

Об этом руководстве About this guide

В этом руководстве вы можете выбрать или создать проект для развертывания Защитник Windows брандмауэра в корпоративной среде. This guide provides recommendations to help you to choose or create a design for deploying Windows Defender Firewall in your enterprise environment. В руководстве описываются некоторые распространенные цели использования брандмауэра Защитник Windows, а затем описаны цели, применимые к вашему сценарию, с проектами, представленными в этом руководстве. The guide describes some of the common goals for using Windows Defender Firewall, and then helps you map the goals that apply to your scenario to the designs that are presented in this guide.

Это руководство предназначено для ИТ-специалистов, которым назначена задача развертывания технологий брандмауэра и IPsec в сети организации для достижения целей безопасности организации. This guide is intended for the IT professional who has been assigned the task of deploying firewall and IPsec technologies on an organization’s network to help meet the organization’s security goals.

Защитник Windows брандмауэр должен быть частью комплексного решения для обеспечения безопасности, которое реализует различные технологии безопасности, такие как брандмауэры периметра, системы обнаружения вторжений, виртуальная частная сеть (VPN), проверка подлинности IEEE 802.1X для беспроводных и проводных подключений, а также правила безопасности подключений IPsec. Windows Defender Firewall should be part of a comprehensive security solution that implements a variety of security technologies, such as perimeter firewalls, intrusion detection systems, virtual private networking (VPN), IEEE 802.1X authentication for wireless and wired connections, and IPsec connection security rules.

Для успешного использования этого руководства необходимо хорошо понимать как возможности брандмауэра Защитник Windows, так и то, как доставлять параметры конфигурации на управляемые устройства с помощью групповой политики в Active Directory. To successfully use this guide, you need a good understanding of both the capabilities provided by Windows Defender Firewall, and how to deliver configuration settings to your managed devices by using Group Policy in Active Directory.

Цели реализации можно использовать для формирования одной из этих Защитник Windows брандмауэра с расширенными макетами безопасности или настраиваемого дизайна, объединяющего элементы из представленных здесь элементов: You can use the implementation goals to form one of these Windows Defender Firewall with Advanced Security designs, or a custom design that combines elements from those presented here:

Проектирование базовой политики брандмауэра. Basic firewall policy design. Ограничивает сетевой трафик, в который и из ваших устройств, передается только необходимый и авторизованный трафик. Restricts network traffic in and out of your devices to only that which is needed and authorized.

Разработка политики изоляции домена. Domain isolation policy design. Предотвращает получение незапрошенного сетевого трафика с устройств, которые не являются членами домена, устройствам, которые являются членами домена. Prevents devices that are domain members from receiving unsolicited network traffic from devices that are not domain members. Можно установить дополнительные «зоны» для поддержки особых требований некоторых устройств, например: Additional «zones» can be established to support the special requirements of some devices, such as:

«Граница зоны» для устройств, которые должны иметь возможность получать запросы от не изолированных устройств. A «boundary zone» for devices that must be able to receive requests from non-isolated devices.

«Зона шифрования» для устройств, которые хранят конфиденциальные данные, которые должны быть защищены во время передачи по сети. An «encryption zone» for devices that store sensitive data that must be protected during network transmission.

Разработка политики изоляции сервера. Server isolation policy design. Ограничивает доступ к серверу только ограниченной группой авторизованных пользователей и устройств. Restricts access to a server to only a limited group of authorized users and devices. Обычно настраивается в качестве зоны в проекте изоляции домена, но также может быть настроен как изолированный дизайн, обеспечивая многие преимущества изоляции домена от небольшого набора устройств. Commonly configured as a zone in a domain isolation design, but can also be configured as a stand-alone design, providing many of the benefits of domain isolation to a small set of devices.

Проектирование политики изоляции на основе сертификатов. Certificate-based isolation policy design. Этот дизайн дополняет один из предыдущих двух макетов и поддерживает любую из их возможностей. This design is a complement to either of the previous two designs, and supports any of their capabilities. Вместо проверки подлинности Kerberos V5, используемой по умолчанию в Active Directory, используются криптографические сертификаты, развернутые на клиентах и серверах. It uses cryptographic certificates that are deployed to clients and servers for authentication, instead of the Kerberos V5 authentication used by default in Active Directory. Это позволяет устройствам, которые не являются частью домена Active Directory, например устройствам под управлением операционных систем, кроме Windows, участвовать в решении изоляции. This enables devices that are not part of an Active Directory domain, such as devices running operating systems other than Windows, to participate in your isolation solution.

В дополнение к описаниям и примерам для каждого проекта вы найдете рекомендации по сбору необходимых данных о вашей среде. In addition to descriptions and example for each design, you will find guidelines for gathering required data about your environment. Затем вы можете использовать эти рекомендации для планирования и разработки брандмауэра Защитник Windows с расширенным развертыванием безопасности. You can then use these guidelines to plan and design your Windows Defender Firewall with Advanced Security deployment. После прочтания этого руководства и завершения сбора, документирования и сопоставления требований организации у вас есть сведения, необходимые для начала развертывания брандмауэра Защитник Windows с помощью рекомендаций в руководстве по развертыванию брандмауэра Защитник Windows с расширенным развертыванием системы безопасности. After you read this guide, and finish gathering, documenting, and mapping your organization’s requirements, you have the information that you need to begin deploying Windows Defender Firewall using the guidance in the Windows Defender Firewall with Advanced Security Deployment Guide.

Вы можете найти Защитник Windows брандмауэра с помощью руководства по развертыванию advanced Security Deployment в указанных здесь расположениях. You can find the Windows Defender Firewall with Advanced Security Deployment Guide at these locations:

(Загружаемый документ Word) (Downloadable Word document)

В этом разделе In this section

Статья Topic	Описание Description
Understanding the Защитник Windows firewall with Advanced Security Design Process Understanding the Windows Defender Firewall with Advanced Security Design Process	Узнайте, как начать работу с брандмауэром Защитник Windows с помощью процесса разработки advanced Security. Learn how to get started with the Windows Defender Firewall with Advanced Security design process.
Определение брандмауэра Защитник Windows безопасности с помощью расширенных целей развертывания системы безопасности Identifying Your Windows Defender Firewall with Advanced Security Deployment Goals	Узнайте, как определить брандмауэр Защитник Windows с целями реализации advanced Security. Learn how to identify your Windows Defender Firewall with Advanced Security implementation goals.
Сопоставление целей развертывания с брандмауэром Защитник Windows с расширенным дизайном безопасности Mapping Your Deployment Goals to a Windows Defender Firewall with Advanced Security Design	После завершения проверки существующего брандмауэра Защитник Windows с целями реализации advanced Security и определения целей, важных для конкретного развертывания, можно сопооставить эти цели с определенным брандмауэром Защитник Windows с расширенным дизайном безопасности. After you finish reviewing the existing Windows Defender Firewall with Advanced Security implementation goals and you determine which goals are important to your specific deployment, you can map those goals to a specific Windows Defender Firewall with Advanced Security design.
Проектирование брандмауэра Защитник Windows с помощью стратегии «Advanced Security» Designing a Windows Defender Firewall with Advanced Security Strategy	Чтобы выбрать наиболее эффективную разработку для защиты сети, необходимо тратить время на сбор основных сведений о текущей компьютерной среде. To select the most effective design for helping to protect the network, you must spend time collecting key information about your current computer environment.
Планирование брандмауэра Защитник Windows с расширенным дизайном безопасности Planning Your Windows Defender Firewall with Advanced Security Design	После сбора соответствующей информации в предыдущих разделах и понимания основ разработки, как описано выше в этом руководстве, можно выбрать дизайн (или сочетание макетов), которые соответствуют вашим потребностям. After you have gathered the relevant information in the previous sections, and understand the basics of the designs as described earlier in this guide, you can select the design (or combination of designs) that meet your needs.
Приложение A. Пример файлов шаблонов GPO для параметров, используемых в этом руководстве Appendix A: Sample GPO Template Files for Settings Used in this Guide	XML-файл, содержащий настраиваемые параметры реестра, можно импортировать в объект групповой политики (GPO) с помощью функции «Настройки» консоли управления групповыми политиками (GPMC). You can import an XML file containing customized registry preferences into a Group Policy Object (GPO) by using the Preferences feature of the Group Policy Management Console (GPMC).

Терминология, используемая в этом руководстве Terminology used in this guide

В следующей таблице указаны и определены термины, используемые в этом руководстве. The following table identifies and defines terms used throughout this guide.

Firewall & network protection in Windows Security

Firewall & network protection in Windows Security lets you view the status of Microsoft Defender Firewall and see what networks your device is connected to. You can turn Microsoft Defender Firewall on or off and access advanced Microsoft Defender Firewall options for the following network types:

Domain (workplace) networks

Private (discoverable) networks

Public (non-discoverable) networks

If you want to change a setting select the network type you want to change it on.

You can specify that a particular network your device connects to is «private» or «public». The key difference is whether other devices on the same network are allowed to see, and maybe connect to, your device.

Your home network might be an example of a private network — in theory the only devices on that network are your devices, and devices owned by your family. So you might be fine with those other devices being able to see yours. We call that «discoverable» because all the devices on that network are allowed to «discover» each other.

The Wi-Fi at your local coffee shop, however, is a public network. Most of the other devices connected to it belong to strangers and you’d probably prefer they not be able to see, connect to, or «discover» your device.

Network settings

When you select one of the three network types you’ll get the settings page for it. Here Windows Security will tell you which, if any, networks of that type you’re currently connected to. Usually your computer will only be connected to one network at a time.

You’ll also find a simple slider for turning the firewall on, or off, for that type of network.

Important: Turning the firewall off may increase the risk to your device or data. We recommend leaving it on unless you absolutely need to turn it off.

Under the Incoming connections section you’ll find a single checkbox for Blocks all incoming connections, including those in the list of allowed apps. Checking this box tells the Microsoft Defender Firewall to ignore the allowed apps list and block everything. Turning this on increases your security, but may cause some apps to stop working.

Also on the Firewall & network protection page:

Allow an app through firewall — If the firewall is blocking an app you really need, you can add an exception for that app, or open a specific port. Learn more about that process (and why you might not want to) at Risks of allowing apps through Microsoft Defender Firewall.

Network and Internet troubleshooter — If you’re having general network connectivity issues you can use this troubleshooter to try and automatically diagnose and fix them.

Firewall notification settings — Want more notifications when your firewall blocks something? Fewer? Here’s where you can configure that.

Advanced settings — If you’re knowledgeable about firewall settings this will open the classic Windows Defender Firewall tool which lets you create inbound or outbound rules, connection security rules, and see monitoring logs for the firewall. Most users won’t want to dig into it that deeply; adding, changing, or deleting rules incorrectly can cause your system to be more vulnerable or can cause some apps not to work.

Restore firewalls to default — If someone, or something, has made changes to your Windows Firewall settings that is causing things not to work properly you’re just two clicks away from resetting the settings back to the way they were when you first got the computer. If your organization has applied any policies to configure the firewall those will be reapplied.