GPO Ausgehender Verkehr ins Internet blockiert

[EmmKay 2]

@All

 

Für einige Systeme möchte ich den ausgehenden Verkehr ins Internet per Gruppenrichtlinie blockieren. Für diese Zwecke habe ich in einer Gruppenrichtlinie eine ausgehende Regel definiert, die alle Protokolle und Ports für den Bereich Internet blockiert. Sobald die Regel aktiv ist, hat das System keine Verbindung mehr zu Domäne. Der Domänencontroller befindet sich im selben Netz wie die betreffende Systeme. Lt. FW_ADDRESS_KEYWORD stellt das Schlüsselwort FW_ADDRESS_KEYWORD_INTERNET eine Sammlung von Adressen dar, die sich derzeit nicht im lokalen Intranet oder Remote-Intranet des Computers befinden.

 

Wie sollte die Regel formuliert werden, dass die Kommunikation im lokalen Netzwerk funktioniert, aber der Verkehr für bestimmte Computer ins Internet blockiert wird? Das Netzwerk: 10.xxx.xxx.0/24

[NorbertFe 2.155]

vor 5 Minuten schrieb EmmKay:

10.xxx.xxx.0

Hilft es die privaten IP Bereiche zu anonymisieren? ;) Naja.

 

Sinnvoller wäre es natürlich sowas nicht per GPO zu steuern, weil das in meinen Augen falsche Sicherheit vorgaukelt. Normalerweise würde man sowas am Router/FW vor dem Host regeln. Ob das dann die Edge Firewall oder eine interne ist hängt von der Umgebung ab. Wenn du es nicht per GPO regeln magst aber auch nicht per Firewall könnte man natürlich auch einfach die Default Route ändern und nur die internen Kreise sauber routen.

[EmmKay 2]

vor 28 Minuten schrieb NorbertFe:

Hilft es die privaten IP Bereiche zu anonymisieren? ;) Naja.

Da war ich schreibfaul. Das Netzwerk: 10.50.215.0/24

 

vor 35 Minuten schrieb NorbertFe:

Sinnvoller wäre es natürlich sowas nicht per GPO zu steuern, weil das in meinen Augen falsche Sicherheit vorgaukelt.

Kannst Du mir es erläutert, warum es falsche Sicherheit vorgaukelt?

 

Vorerst habe ich es so gelöst, dass ich die IP-Adressbereiche angegeben habe, für die diese Regel gelten soll. Das Schlüsselwort Internet scheint nicht zu funktionieren. Vielleicht funktioniert es nur mit klassischen privaten Netzen.

 

[NorbertFe 2.155]

vor 32 Minuten schrieb EmmKay:

Kannst Du mir es erläutert, warum es falsche Sicherheit vorgaukelt?

Weil es lokal definiert ist und somit bei Kompromittierung auch lokal aufgehoben werden kann. Im Gegensatz zu einer externen Firewall.

[EmmKay 2]

vor 8 Minuten schrieb NorbertFe:

Weil es lokal definiert ist und somit bei Kompromittierung auch lokal aufgehoben werden kann. Im Gegensatz zu einer externen Firewall.

Das leuchtet ein. Daran hatte ich nicht gedacht.

[daabm 1.384]

Etwas spät, aber: Da sind wir wieder bei Schlangenöl und Lufthaken

[cj_berlin 1.393]

Am 27.1.2025 um 12:28 schrieb EmmKay:

Vorerst habe ich es so gelöst, dass ich die IP-Adressbereiche angegeben habe, für die diese Regel gelten soll. Das Schlüsselwort Internet scheint nicht zu funktionieren. Vielleicht funktioniert es nur mit klassischen privaten Netzen.

10.x.y.z ist ein klassisches privates Netz