Windows Firewall with Advanced Security via GPO¶

Architecture WFAS et ancrage registre¶

De Windows Firewall à WFAS¶

L'ancien Windows Firewall (présent jusqu'à XP SP2) était une solution mono-profil, mono-direction (entrant uniquement), sans gestion des règles sortantes ni intégration IPsec.

Windows Vista a introduit Windows Firewall with Advanced Security (WFAS), un moteur unifié qui gère simultanément le filtrage de paquets et les règles IPsec. WFAS est un composant du service MpsSvc (Windows Defender Firewall service).

Les deux surfaces de configuration coexistent encore dans la GPMC pour des raisons de compatibilité ascendante, mais elles ciblent des nœuds de registre distincts.

Ancrage registre des GPO pare-feu¶

La CSE Windows Firewall¶

La Client-Side Extension responsable du pare-feu est identifiée par :

# Read the CSE registration entry for Windows Firewall
Get-ItemProperty `
    "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{4CFB060C-16D2-11D4-8E6B-00902745EE2C}" |
    Select-Object DllName, NoBackgroundPolicy, NoGPOListChanges

DllName           : fwpolicyiomgr.dll
NoBackgroundPolicy: 0
NoGPOListChanges  : 0

Les 3 profils réseau et la détection NLA¶

Domain, Private, Public¶

WFAS maintient trois profils indépendants. Chaque interface réseau d'une machine peut se trouver dans un profil différent. Une règle de pare-feu GPO peut cibler un, deux ou les trois profils simultanément.

Mécanisme NLA¶

NLA (service NlaSvc) évalue le réseau au moment de la connexion. Pour détecter le profil Domain, NLA tente de joindre le contrôleur de domaine via DNS puis LDAP.

flowchart TD
    A[Interface réseau connectée] --> B{NlaSvc : résolution DNS du domaine ?}
    B -- Non --> E[Profil Public]
    B -- Oui --> C{Contrôleur de domaine joignable ?}
    C -- Non --> D{Réseau marqué privé ?}
    C -- Oui --> F[Profil Domain]
    D -- Non --> E
    D -- Oui --> G[Profil Private]

Paramètres par profil dans la GPO¶

Chaque profil dispose de ses propres paramètres de base, configurables séparément dans la GPMC :

# Read active firewall profile configuration
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction, LogAllowed, LogBlocked

Name    Enabled DefaultInboundAction DefaultOutboundAction LogAllowed LogBlocked
----    ------- -------------------- --------------------- ---------- ----------
Domain     True                Block                 Allow      False      False
Private    True                Block                 Allow      False      False
Public     True                Block                 Block      False       True

Structure d'une règle de pare-feu GPO¶

Les dimensions d'une règle¶

Une règle WFAS est définie par l'intersection de plusieurs dimensions. Toutes doivent correspondre pour que la règle s'applique.

Créer une règle via PowerShell¶

# Create inbound rule allowing RDP from corporate subnet only
New-NetFirewallRule `
    -Name "Corp-RDP-Inbound" `
    -DisplayName "RDP from Corporate Subnet" `
    -Description "Allow RDP inbound from 10.0.0.0/8 - corporate network only" `
    -Direction Inbound `
    -Protocol TCP `
    -LocalPort 3389 `
    -RemoteAddress "10.0.0.0/8" `
    -Action Allow `
    -Profile Domain `
    -Enabled True `
    -Group "Corporate Baseline"

Name                  : Corp-RDP-Inbound
DisplayName           : RDP from Corporate Subnet
Enabled               : True
Profile               : Domain
Direction             : Inbound
Action                : Allow
EdgeTraversalPolicy   : Block
PrimaryStatus         : OK
Status                : The rule was parsed successfully from the store. (65536)

Format de stockage registre¶

Dans le registre, chaque règle est stockée comme une valeur REG_SZ sous HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\FirewallRules\. Le nom est libre (généralement le GUID de la règle), la valeur est une chaîne encodée avec des champs séparés par |.

# Read raw firewall rule registry value
Get-ItemProperty `
    "HKLM:\SOFTWARE\Policies\Microsoft\WindowsFirewall\FirewallRules" |
    Select-Object -ExpandProperty "Corp-RDP-Inbound"

v2.30|Action=Allow|Active=TRUE|Dir=In|Protocol=6|LPort=3389|
RA4=10.0.0.0/8|Name=RDP from Corporate Subnet|
Desc=Allow RDP inbound from 10.0.0.0/8|Profile=Domain|
App=%SystemRoot%\system32\svchost.exe|Svc=termservice|
EmbedCtxt=Corporate Baseline|

Chemin GPMC complet¶

Computer Configuration
  └── Policies
        └── Windows Settings
              └── Security Settings
                    └── Windows Firewall with Advanced Security
                          ├── Windows Firewall with Advanced Security - LDAP://...
                          ├── Inbound Rules
                          ├── Outbound Rules
                          └── Connection Security Rules

GPO vs netsh advfirewall¶

:material-terminal: Le déploiement classique : netsh advfirewall¶

Avant les GPO pare-feu WFAS, l'outil de référence pour le déploiement en masse était netsh advfirewall. Il est encore utilisé dans des scripts de configuration initiale ou dans des images Sysprep.

:: Export current firewall configuration to a policy file
netsh advfirewall export "C:\Backup\firewall-policy.wfw"

Ok.

:: Import firewall policy from a previously exported file
netsh advfirewall import "\\SERVER\Share\firewall-baseline.wfw"

Comparatif GPO vs netsh¶

Comportement de fusion des règles GPO¶

Lorsque plusieurs GPO contribuent des règles pare-feu, le comportement de fusion dépend d'un paramètre explicite dans chaque profil :

Apply local firewall rules (AllowLocalFirewallRules, DWORD) :

• 1 : les règles locales de la machine coexistent avec les règles GPO.
• 0 : seules les règles GPO s'appliquent. Les règles locales sont ignorées.

Ce paramètre est critique en environnement sécurisé : positionné à 0, il garantit que seules les règles approuvées par la GPO sont actives, même si un administrateur local a ajouté des règles manuellement.

# Check whether local rules are merged with GPO rules per profile
Get-NetFirewallProfile | Select-Object Name, AllowLocalFirewallRules

Name    AllowLocalFirewallRules
----    -----------------------
Domain                    False
Private                    True
Public                    False

Logging du pare-feu via GPO¶

Activation du logging¶

Le logging pare-feu est désactivé par défaut. Il se configure indépendamment par profil, toujours dans Computer Configuration → Policies → Windows Settings → Security Settings → Windows Firewall with Advanced Security → [Profil] → Logging.

# Enable dropped-packet logging for Domain profile
Set-NetFirewallProfile -Profile Domain `
    -LogBlocked True `
    -LogFileName "%systemroot%\system32\LogFiles\Firewall\pfirewall.log" `
    -LogMaxSizeKilobytes 16384

Name   : Domain
LogBlocked    : True
LogAllowed    : False
LogFileName   : %systemroot%\system32\LogFiles\Firewall\pfirewall.log
LogMaxSizeKilobytes : 16384

Format du fichier log¶

Le fichier pfirewall.log est un fichier texte W3C. Chaque ligne correspond à un paquet.

#Version: 1.5
#Software: Microsoft Windows Firewall
#Time Format: Local
#Fields: date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack tcpwin icmptype icmpcode info path

2024-11-15 14:23:07 DROP TCP 203.0.113.42 10.10.1.15 54231 3389 52 S 3291847263 0 64240 - - - RECEIVE
2024-11-15 14:23:08 ALLOW TCP 10.0.5.22 10.10.1.15 49201 445 52 S 1847362910 0 65535 - - - RECEIVE

Le champ action prend les valeurs ALLOW, DROP ou INFO-EVENTS-LOST (paquets perdus si le buffer est saturé).

Event IDs dans le journal Security¶

Le pare-feu peut écrire dans le journal Security de l'Observateur d'événements (en complément du fichier log W3C). Ces événements sont générés par la politique d'audit Filtering Platform Connection et Filtering Platform Policy Change.

# Retrieve last 10 blocked connection events from Security log
Get-WinEvent -FilterHashtable @{
    LogName   = "Security"
    Id        = 5157
} -MaxEvents 10 |
Select-Object TimeCreated,
    @{n="SourceIP";e={$_.Properties[2].Value}},
    @{n="DestPort";e={$_.Properties[4].Value}},
    @{n="Protocol";e={$_.Properties[7].Value}} |
Format-Table -AutoSize

TimeCreated          SourceIP       DestPort Protocol
-----------          --------       -------- --------
15/11/2024 14:23:07  203.0.113.42   3389     6
15/11/2024 14:23:06  198.51.100.8   22       6
15/11/2024 14:23:05  203.0.113.42   445      6

Flux de traitement d'un paquet¶

Décision de filtrage WFAS¶

Le moteur WFP (Windows Filtering Platform) évalue chaque paquet selon un ordre précis. La décision finale suit ce flux :

flowchart TD
    A[Paquet réseau reçu / émis] --> B{Interface : quel profil NLA ?}
    B -- Domain --> C[Évaluation règles profil Domain]
    B -- Private --> D[Évaluation règles profil Private]
    B -- Public --> E[Évaluation règles profil Public]

    C --> F{Règle explicite BLOCK ?}
    D --> F
    E --> F

    F -- Oui --> G[DROP — Event 5157]
    F -- Non --> H{Règle explicite ALLOW ?}
    H -- Oui --> I[ALLOW — Event 5156]
    H -- Non --> J{Action par défaut du profil ?}
    J -- Block --> G
    J -- Allow --> I

Priorité des règles¶

WFAS n'a pas de numéro de priorité explicite comme les ACL réseau. Les règles BLOCK ont la priorité sur les règles ALLOW si les deux correspondent au même paquet.

Piège de production : Block All Outbound sans exception¶

Le scénario catastrophe¶

C'est le piège le plus fréquent et le plus destructeur lors du déploiement de règles WFAS via GPO.

L'objectif semble légitime : passer de l'action par défaut "Allow Outbound" à "Block All Outbound" pour forcer une liste blanche explicite des flux sortants.

La séquence d'actions dans la GPMC :

1. Ouvrir les propriétés du profil Domain.
2. Modifier "Outbound connections" de Allow à Block.
3. Lier la GPO à l'OU cible.
4. Forcer un gpupdate.

Résultat immédiat : les machines ne peuvent plus joindre quoi que ce soit en sortie — y compris le contrôleur de domaine pour le prochain refresh GPO. La GPO corrective ne peut pas être appliquée. La seule sortie est l'intervention locale ou le redémarrage en mode sans échec.

La procédure correcte¶

# Step 1 — Allow DNS outbound (required for domain name resolution)
New-NetFirewallRule -Name "Corp-Allow-DNS-Out" -DisplayName "DNS Outbound" `
    -Direction Outbound -Protocol UDP -RemotePort 53 -Action Allow -Profile Domain

# Step 2 — Allow LDAP/Kerberos outbound (required for GPO and authentication)
New-NetFirewallRule -Name "Corp-Allow-LDAP-Out" -DisplayName "LDAP/Kerberos Outbound" `
    -Direction Outbound -Protocol TCP -RemotePort 88,389,636,3268,3269 `
    -Action Allow -Profile Domain

# Step 3 — Allow SMB outbound for SYSVOL access (required for GPO script/files)
New-NetFirewallRule -Name "Corp-Allow-SMB-Out" -DisplayName "SMB SYSVOL Outbound" `
    -Direction Outbound -Protocol TCP -RemotePort 445 `
    -RemoteAddress "10.0.0.0/8" -Action Allow -Profile Domain

# Step 4 — Allow NTP outbound (clock sync for Kerberos)
New-NetFirewallRule -Name "Corp-Allow-NTP-Out" -DisplayName "NTP Outbound" `
    -Direction Outbound -Protocol UDP -RemotePort 123 -Action Allow -Profile Domain

# Step 5 — ONLY THEN set default outbound to Block
Set-NetFirewallProfile -Profile Domain -DefaultOutboundAction Block

Stratégie de déploiement sécurisée¶

Ne déployez jamais "Block All Outbound" directement sur un périmètre large. Suivez cette progression :

1. Audit first — activez le logging Allow pendant 72h pour cartographier les flux réels.
2. Règles d'exception — créez toutes les règles Allow nécessaires dans une GPO dédiée.
3. Groupe pilote — liez la GPO à un groupe restreint de machines de test.
4. Validation — vérifiez que les machines du groupe pilote fonctionnent normalement pendant 48h.
5. Rollout progressif — étendez par vagues, avec une procédure de rollback documentée.

# Audit all outbound allowed connections from Security log (last 24h)
$StartTime = (Get-Date).AddHours(-24)
Get-WinEvent -FilterHashtable @{
    LogName   = "Security"
    Id        = 5156
    StartTime = $StartTime
} | Where-Object { $_.Properties[7].Value -eq "2" } | # Direction 2 = outbound
    ForEach-Object {
        [PSCustomObject]@{
            Time    = $_.TimeCreated
            App     = $_.Properties[1].Value
            DestIP  = $_.Properties[6].Value
            DestPort= $_.Properties[8].Value
            Protocol= $_.Properties[7].Value
        }
    } | Sort-Object DestPort -Unique | Format-Table -AutoSize

Références croisées¶

Les sujets connexes traités dans d'autres chapitres de cette série :

• Déploiement pare-feu en entreprise (règles d'exceptions par rôle serveur, segmentation) → ../gpo-pour-les-admins/14-securite-endpoint.md
• Contexte d'audit et stratégies de sécurité globales (Event IDs, Advanced Audit Policy) → 13-securite-strategies.md
• AppLocker et WDAC (contrôle des applications, complémentaire au pare-feu sortant) → 15-applocker-wdac.md