Discussion :

[Pko1722]

Bonjour,

Est-il possible dans le firewall Windows Server (2008 R2) de fermer TOUS les ports sauf 1 ou 2. J'arrive à créer une règle bloquant tous les ports mais si j'ajoute une règle ouvrant un port particulier, celle-ci est inhibée par la règle bloquant tout (qui est prioritaire). J'ai pensé sinon à faire un .bat pour fermer tous les ports de 1 à 65k mais ça me semble pas optimal ...

Avez-vous une idée ?

[Merwyn]

Bonjour,

Les règles du firewall sont, par convention, traitées l'une après l'autre. La première a être traitée est la première de la liste.

Ainsi, si votre règle permissive est en dessous de la règle de rejet, les packets seront rejeté avant que la règle permissive ne soit lue.

Donc, pour résoudre votre soucis, il suffit de mettre votre règle permissive au dessus de la liste (drag'n'drop)

En général, il n'est même pas nécessaire de créer une règle 'qui bloque tout'. A la fin de la liste, une foi que toutes les règles créées ont été lues, il existe ce que l'on appelle une règle de 'blocage explicite'. Celle-ci n'est pas forcément visible, cela dépend des firewalls...

Pour résumer, il faut toujours garder à l'esprit que lorsqu'un packet passe par le firewall, celui-ci subit les règles dans l'ordre de la liste jusqu'à ce qu'il y aie une correspondance pour ce packet (ou blocage par la règle explicite).

En cas de soucis, n'hésitez pas à nous le faire savoir ;-)

[Pko1722]

Bonjour, merci de votre réponse.

J'ai bien saisi le principe de fonctionnement que vous m'énoncez. Cependant, dans le firewall intégré à Windows Server, je ne vois pas d'ordre dans les règles. Celles-ci peuvent être triées en fonction de leur nom, etc. mais n'ont pas de numéro ou autre indiquant un quelconque ordre. Avez-vous une idée pour ce firewall ?

[Merwyn]

Bonjour,

Peut-être ce billet pourra-t-il vous aider à comprendre comment le firewall Windows fonctionne :

http://technet.microsoft.com/fr-BE/l...llrulepriority

Apparemment, les règles ne sont effectivement pas 'processed' dans un ordre numérique. Comme l'explique le post, les règles de blocage sont lues avant les règles permissives, donc si vous avez une règle qui bloque tout, tout sera bloqué, même si vous avez aussi une règle pour permettre un port particulier.

Ainsi, il faudrait modifier votre règle de blocage afin qu'elle ne contienne pas le/les port(s) que vous souhaitez ouvrir.

Je ne suis pas vraiment familier de la configuration du FW intégré à Windows, mais je pense bien, à la lecture du post, que cela fonctionne bien ainsi.

Bien à vous,

[Pko1722]

Oui c'est ça que j'avais vu aussi. Donc a priori sur le FW intégré, pas possible de "bloquer tout sauf".

Merci !