Windows Firewall: Domänen- und Standardprofil für LAN und extern?

[axelK77 10]

Hallo zusammen,

 

anlehnend an diesem alten Thread

möchte ich gerne wissen, wie es mir möglich ist, die Domänenrichtlinien so zu setzen, dass sie sinnvoll und funktionell sind.

 

Ich habe hier im Netzwerk einige Laptops von Mitarbeitern die regelmäßig unterwegs sind. Sind diese extern, melden sie sich temporär an die Domäne an (Damit sie nur ein Profil haben).

In diesem Moment wäre es schön, wenn der Windows Firewall im XP (SP2) aktiviert wäre UND das er auch noch zu administrieren ist. Die Mitarbeiter haben derzeit noch Adminrechte in ihrem Profil, möchte sie aber gerne zur Netzwerkgruppe oder Hauptbenutzer herabstufen.

Wenn der Benutzer sich mit dem Laptop im Firmen-LAN anmeldet, sollte erstmal der Firewall deaktiviert sein, weil es ein paar Dienste gibt, die z.B. ihre Software verteilen möchten, es aber nicht schaffen, weil der Windows Firewall aktiviert ist. Im zweiten Schritt kann man dann dafür Regeln setzen.

 

Oder man geht hin und regelt alles so, dass der Firewall aktivert wird und die Regeln besagen, dass im Firmen-LAN alles gemacht werden darf (192.168.200.0/any/any) und draußen von extern nichts rein darf, aber alles rausgeht. Weitere Sicherheitssoftware (AV/AS) ist natürlich installiert!

Der einzige Zugang von extern könnte ein Admin-Port sein. RDP, VNC, etc....

 

Dann habe ich in der GPO unter Adm.Vorlage/Netzwerk/Netzwerkverb./Windows Firewall das Standardprofil und Domänenprofil noch nicht wirklich verstanden. Wann ist welches Profil aktiv bzw. was wird damit sinnvoll genutzt? Gut, falls es in der Erklärung steht, sollte ich diese noch mal aufmerksamer lesen.

 

Besten Dank fürs Lesen...

Axel

[SEAG 10]

Hallo

 

Genau das selbe würde mich ebenfalls sehr interessieren. Hat keiner von euch eine Idee wie das genau funktioniert?

[IThome 10]

Diese Einstellungen sind standortbezogen (damit ist die IP-Adressierung gemeint). Das Domänenprofil bezieht sich auf den IP-Adressbereich, der auf dem Client konfiguriert ist, wenn er Kontakt zum DC hat (wenn diese Richtlinie angewendet wird). Das Standardprofil umfasst alle anderen IP-Bereiche. Das gilt auch dann, wenn der entsprechende Netzwerkadapter deaktiviert wird ...

Kannst ja mal im Domänenprofil den Windows-Firewall deaktivieren und im Standardprofil aktivieren. Dann startest Du einen XP-Rechner, die Richtlinie wird angewendet, das Domänenprofil wirkt also immer dann, wenn der XP-Rechner eine Adresse in dem Bereich hat, der gültig war, als die Richtlinie angewendet wurde (in diesem Beispiel ist der Firewall nicht aktiv). Jetzt deaktivierst Du die Netzwerkkarte des Clients oder änderst den Netzbereich und wirst sehen, dass alle Verbindungen eine aktive Firewall haben