Firewall de Windows a escala con GPO e Intune

Configurar el Firewall de Windows en un equipo es fácil. Mantener miles de equipos con una directiva coherente e intencionada es donde se atascan la mayoría de los programas: las reglas se acumulan en muchas GPO, los instaladores añaden reglas locales, Intune y la directiva de grupo tocan los mismos dispositivos y nadie sabe decir qué regla permite realmente un puerto determinado.

El pilar de endurecimiento del Firewall de Windows define qué debe ser la directiva. Esta guía cubre cómo gestionarla a escala: cómo se combinan las fuentes de directiva, cómo se evalúan las reglas, cómo estructurar las GPO y los perfiles de Intune y cómo demostrar lo que impone un dispositivo. Consulte el tema Firewall de Windows para ver la serie completa.

Cómo se combinan los almacenes de directiva

El Firewall de Windows guarda las reglas en varios almacenes y las combina en un único almacén activo que el motor impone:

Se aplican dos comportamientos de combinación distintos:

• Las reglas se suman. Todas las reglas de todas las GPO del ámbito acaban en el almacén activo. Para las reglas no existe «gana el último que escribe».
• La configuración de perfil sigue la precedencia. El estado del firewall, las acciones de entrada y salida por defecto, las notificaciones, el registro y los interruptores de combinación local son valores únicos; en directiva de grupo se aplica el orden LSDOU normal y la GPO de mayor precedencia gana para cada opción.

La consecuencia: una regla de permiso para TCP 3389 desde Any en una GPO heredada y olvidada, vinculada a la raíz del dominio, se impone en todos los equipos, por mucho cuidado que pongan sus nuevas GPO por rol en limitar RDP.

Cómo se evalúan las reglas

Cuando llega un paquete, el motor aplica las reglas en este orden:

1. Restricciones de protección de servicios de Windows (integradas, no se pueden anular).
2. Reglas de seguridad de conexión (IPsec) que autentican o protegen el tráfico.
3. Reglas de omisión autenticada (reglas de permiso con Override block rules, solo utilizables con IPsec).
4. Reglas de bloqueo.
5. Reglas de permiso.
6. La acción por defecto del perfil.

El bloqueo siempre prevalece sobre el permiso. Un error habitual es una regla amplia «Block SMB inbound» seguida de una regla «Allow SMB from management servers»: gana el bloqueo y la administración se rompe. Con una acción de entrada por defecto Block casi nunca necesita reglas de bloqueo de entrada explícitas; exprese la intención con reglas de permiso con ámbito y reserve los bloqueos explícitos para lo que nunca debe ocurrir (por ejemplo, SMB saliente hacia Internet).

Paso 1: desactivar en todas partes la combinación de reglas locales

En las propiedades del firewall de la GPO, para cada perfil, haga clic en Customize en Settings y establezca Apply local firewall rules en No y Apply local connection security rules en No. En Intune, las opciones equivalentes del perfil de firewall son Allow Local Policy Merge y Allow Local Ipsec Policy Merge, ambas en False por perfil (Firewall CSP MdmStore/<Profile>/AllowLocalPolicyMerge y AllowLocalIpsecPolicyMerge).

Las reglas locales no se eliminan; permanecen en el PersistentStore y simplemente se ignoran. Eso facilita la reversión, pero también significa que debe saber cuáles de esas reglas locales importaban de verdad. Antes de activar el cambio en un grupo piloto, exporte lo que crearon los instaladores:

Get-NetFirewallRule -PolicyStore PersistentStore -Direction Inbound -Enabled True -Action Allow |
  ForEach-Object {
    $port = $_ | Get-NetFirewallPortFilter
    $app  = $_ | Get-NetFirewallApplicationFilter
    [pscustomobject]@{ Name=$_.DisplayName; Profile=$_.Profile; Protocol=$port.Protocol
                       LocalPort=$port.LocalPort; Program=$app.Program }
  } | Export-Csv "$env:TEMP\local-inbound-rules.csv" -NoTypeInformation

Recopile ese CSV de una muestra representativa, elimine lo que nadie necesita y convierta el resto en reglas centrales.

Paso 2: estructurar las GPO

Una organización que sigue siendo legible con los años:

Pautas que evitan la deriva:

• Un responsable por GPO, indicado en el comentario de la GPO.
• Los nombres de regla incluyen el ticket o la finalidad (SQL-1433-from-AppTier-CHG1234), y se rellena la propiedad Group de la regla para poder filtrar y generar informes de las reglas como conjunto.
• Nunca habilite grupos de reglas predefinidos (Remote Desktop, File and Printer Sharing) sin modificar su ámbito remoto; por defecto es Any.
• Audite las GPO heredadas en busca de reglas de firewall. Exportar todas las GPO con Get-GPOReport -All -ReportType Xml y buscar en la salida los elementos de regla de firewall encuentra rápidamente directivas olvidadas.

Las reglas de firewall de una GPO se pueden escribir por script directamente en la directiva con una sesión de GPO, lo que evita editar a mano cientos de reglas:

$gpo = Open-NetGPO -PolicyStore 'corp.example.com\FW-Role-SQL'
New-NetFirewallRule -GPOSession $gpo -DisplayName 'SQL-1433-from-AppTier' `
  -Group 'Role-SQL' -Direction Inbound -Protocol TCP -LocalPort 1433 `
  -RemoteAddress 10.30.20.0/24 -Profile Domain -Action Allow
Save-NetGPO -GPOSession $gpo

Guarde los scripts en control de código fuente. Se convierten en su documentación y en su reversión.

Paso 3: el equivalente en Intune

En el Centro de administración de Intune, Endpoint security > Firewall ofrece dos tipos de perfil para Windows:

• Windows Firewall (configuración de perfil): estado, acciones por defecto, combinación local, registro, por perfil.
• Windows Firewall Rules: reglas individuales. Un solo perfil admite un número limitado de reglas (150 en el momento de escribir esto), así que divídalas por rol, como con las GPO.

Asigne los perfiles de reglas a grupos de dispositivos que reflejen sus roles de GPO y use filtros de asignación para las excepciones en lugar de clonar perfiles. Intune también admite grupos de configuración reutilizables para intervalos de IP remotas, de modo que la «subred de administración Tier 2» se define una vez y la referencian todas las reglas que la necesitan; cambie el intervalo en un solo sitio y todas las reglas lo siguen.

En los dispositivos unidos de forma híbrida que reciben directiva de firewall tanto de GPO como de Intune, ambos conjuntos de reglas llegan al almacén activo. Evite solapar la configuración de perfil: elija una autoridad por población y mueva los dispositivos entre ellas de forma explícita. La directiva MDMWinsOverGP solo se aplica a las opciones del Policy CSP, no al Firewall CSP, así que no resuelve los solapamientos. El Firewall CSP documenta su propia regla de combinación: para la configuración de perfil, como el estado del firewall, la acción de entrada por defecto y las opciones de registro, un valor configurado por directiva de grupo prevalece sobre el valor MDM, de modo que en los dispositivos híbridos una GPO de firewall residual anula en silencio su perfil de Intune.

Paso 4: gestión de cambios

Los cambios de firewall rompen producción más rápido que la mayoría de los cambios de directiva. Un proceso viable:

1. Solicitud con pruebas: qué proceso, puerto, dirección y origen, idealmente respaldado por pfirewall.log o por eventos 5157 del registro del firewall.
2. Piloto: vincule o asigne primero a una OU o un grupo piloto. Sirven tanto los anillos de Intune como el filtrado de seguridad de las GPO.
3. Registrar el estado anterior: netsh advfirewall export en un host de referencia y Backup-GPO para la directiva.
4. Promover a un ámbito amplio tras el periodo piloto.
5. Revisar cada trimestre: las reglas que llevan meses sin coincidir con tráfico son candidatas a eliminación. Habilitar temporalmente el registro de aciertos en una muestra lo hace medible.

Qué se rompe

• Las aplicaciones que crean sus propias reglas al instalarse (clientes de colaboración, componentes de actualización entre pares, herramientas de desarrollo, plataformas de virtualización y contenedores) dejan de recibir tráfico entrante en cuanto se desactiva la combinación local. La mayoría de los clientes modernos funcionan solo con tráfico saliente; el resto necesita una regla central.
• Las rutas de programa por usuario bajo %LocalAppData% son difíciles de expresar de forma centralizada. Para esas aplicaciones, prefiera reglas basadas en puerto y protocolo con ámbito limitado a las direcciones remotas adecuadas.
• Las reglas de bloqueo explícitas pensadas como «bloquear excepto» anulan en silencio las reglas de permiso añadidas después.
• Mezclar directiva de GPO e Intune hace aparecer reglas que ninguno de los dos equipos reconoce.
• La caché entre pares de Optimización de distribución (TCP 7680) y funciones similares dejan de funcionar entre clientes si no las permite; decídalo de forma deliberada.

Comprobarlo

El almacén activo es la verdad. Pregúntele de dónde procede cada regla:

Get-NetFirewallRule -PolicyStore ActiveStore |
  Group-Object PolicyStoreSourceType | Select-Object Name, Count

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound -Action Allow -Enabled True |
  Select-Object DisplayName, PolicyStoreSource, Profile |
  Sort-Object PolicyStoreSource

PolicyStoreSource indica la GPO o el almacén de cada regla, así que detectará de inmediato una regla de permiso procedente de una GPO que no esperaba. Revise la configuración de perfil del mismo modo:

Get-NetFirewallProfile -PolicyStore ActiveStore |
  Select-Object Name, Enabled, DefaultInboundAction, AllowLocalFirewallRules, AllowLocalIPsecRules

AllowLocalFirewallRules debe ser False en todos los perfiles. Compleméntelo con gpresult /h para la parte de GPO y con el estado de directiva por dispositivo de Intune para el MDM, y siga el evento de seguridad 4954 (configuración de firewall de directiva de grupo aplicada) desde su canalización de reenvío de eventos.

Lista de comprobación

• Combinación de reglas locales y de reglas de seguridad de conexión desactivada en todos los perfiles
• Reglas locales de los instaladores exportadas, revisadas y sustituidas por reglas centrales donde haga falta
• Configuración de perfil en una única GPO o perfil de Intune de línea base; reglas divididas por rol
• Ninguna regla de bloqueo entrante explícita usada como «bloquear excepto»
• Grupos de reglas predefinidos con el ámbito redefinido; GPO heredadas auditadas en busca de reglas
• Una sola autoridad de directiva (GPO o Intune) por población de dispositivos
• Almacén activo revisado por PolicyStoreSource; cambios probados en piloto y respaldados

Una directiva coherente y con un responsable central es también la base de las reglas basadas en identidad con aislamiento de dominio y de servidor mediante IPsec, y del modelo de acceso por niveles de la administración por niveles.