Skip to main content
このLibrary ItemはWindowsコンピュータで利用できます
Windows Firewall Library Itemを使用すると、Windowsコンピュータのファイアウォール設定を構成して適用できます。このプロファイルでは、グローバルなファイアウォールの動作を管理し、セキュリティアソシエーションのルールを定義し、パブリック、プライベート、ドメインの各ネットワークでプロファイル固有のポリシーを適用できます。 このLibrary Itemを使用することで、組織内のWindowsコンピュータで一貫したファイアウォール構成が使用されるようになり、構成ミスや管理されていないローカルルールのリスクを軽減できます。
各ファイアウォール設定の詳細な技術的背景については、Microsoftの公式Windows Firewallのドキュメントを参照してください。

​
Windows Firewall Profile Library Itemを作成する

このLibrary ItemをIru Endpoint Libraryに追加するには、Libraryの概要の記事に記載されている手順に従ってください。
1

Libraryに移動する

LibraryでLibrary Item を追加を選択します。
2

Windows Firewallを選択する

Windows Firewallを検索して選択します。
3

Library Itemに名前を付ける

Library Itemに名前を付けます。
4

Blueprintsに割り当てる

プロファイルを1つ以上のBlueprintsに割り当てます。必要に応じて、Blueprints内でAssignment Mapsを使用して条件付きロジックを適用できます。

​
グローバル設定

これらのオプションは、すべてのファイアウォールプロファイルにグローバルに適用されます。
  • ステートフル FTP 転送を無効にする 有効にすると、ステートフルなFile Transfer Protocol（FTP）フィルタリングを無効にします。
  • パケットキューを有効にする IPsecトンネルにおける暗号化された転送パスとクリアテキストの転送パスのスケーリングを構成します。パケットの順序が維持されるようにします。デフォルトはオフです。
  • IPSec の除外 IPsecトラフィックの除外を定義します。
  • セキュリティアソシエーションのアイドル時間 使用されていないセキュリティアソシエーションが削除されるまでのアイドル時間（秒）を設定します。デフォルトは300です。

​
プロファイル設定

プロファイル設定は、Public、Private、Domainの各ネットワークプロファイルに個別に適用できます。各プロファイルの管理は、セクション上部で切り替えます。

​
コアファイアウォール設定

  • シールド ルールに関係なく、すべての受信トラフィックをブロックします。慎重に使用してください。
  • 既定の受信アクション 受信トラフィックに対するアクション（許可またはブロック）を指定します。
  • 既定の送信アクション 送信トラフィックに対するアクション（許可またはブロック）を指定します。

​
ポリシー管理

  • ローカル IPsec ポリシーのマージを許可 ローカルの接続セキュリティルールを適用するかどうかを決定します。
  • ローカルポリシーのマージを許可 ローカルのファイアウォールルールを適用するかどうかを決定します。
  • ユーザーが承認したグローバルポートをマージ ユーザが定義したグローバルポートのルールを適用するかどうかを決定します。
  • ユーザーが承認したアプリのファイアウォール規則をマージ ユーザが定義したアプリのファイアウォールルールを適用するかどうかを決定します。

​
詳細オプション

  • 受信通知を無効にする アプリの待ち受けがブロックされたときの通知を抑制します。
  • ステルスモードを無効にする 有効にすると、ステルスモード（要求されていないトラフィックを破棄する）を無効にします。
  • マルチキャスト/ブロードキャストへのユニキャスト応答を無効にする マルチキャストまたはブロードキャスト要求に対するユニキャスト応答をブロックします。

​
ログの構成

  • 破棄されたパケットをログに記録 破棄されたすべてのパケットを記録します。
  • 無視された規則をログに記録 実装に応じて、ルールが無視された場合に記録します。
  • 成功した接続をログに記録 成功した受信接続を記録します。
  • ログファイルのパス ファイアウォールログの書き込み先を定義します（例：%programdata%\kandji\agent\logs）。
  • ログの最大ファイルサイズ ログファイルの最大サイズ（KB）です。デフォルトは1024です。

​
ネットワークプロファイルの構成

ドメインプロファイルは、デバイスがドメインネットワークに接続されている場合に適用されます。通常、企業環境では最も制限の緩いプロファイルです。推奨設定：
  • Default inbound action：Block
  • Default outbound action：Allow
  • Allow local policy merge：Enabled
  • ログ：監視のために有効

​
考慮事項

  • 「Not configured」とマークされた設定は、ローカルデバイスの構成を上書きしません。
  • Shieldedですべての受信トラフィックをブロックする場合は、必要な管理サービスとアップデートサービスに引き続きアクセスできることを確認してください。
  • 厳格なルールをフリート全体に展開する前に、ログオプションを使用してファイアウォールの動作を検証してください。

​
ベストプラクティス

1

構成をテストする

フリート全体に配信する前に、少数のデバイスでファイアウォール構成をテストします。
2

ログを有効にする

適切なログを有効にして、ファイアウォールの動作を監視し、問題のトラブルシューティングを行います。
3

例外を文書化する

業務アプリケーションやサービスに必要なファイアウォールの例外を文書化します。
4

定期的に見直す

ファイアウォールのログとポリシーを定期的に見直し、組織のニーズに引き続き適していることを確認します。

​
トラブルシューティング

考えられる原因：
  • ファイアウォールが必要なポートまたはアプリケーションをブロックしている
  • プロファイル設定が正しくない
  • ファイアウォールルールが不足している
解決策：
  • ファイアウォールログでブロックされた接続を確認する
  • 正しいネットワークプロファイルがアクティブになっていることを確認する
  • アプリケーションに適切なファイアウォールルールを追加する
考えられる原因：
  • ファイアウォールが管理用ポートをブロックしている
  • Shieldedモードが有効になっている
  • プロファイルの構成が正しくない
解決策：
  • 管理用ポートが許可されていることを確認する
  • 必要に応じてShieldedモードを無効にする
  • 管理対象デバイスのドメインプロファイル設定を確認する
考えられる原因：
  • ログが有効になっていない
  • ディスク容量が不足している
  • ログファイルのパスが正しくない
解決策：
  • 適切なログオプションを有効にする
  • 使用可能なディスク容量を確認する
  • ログファイルのパスにアクセスできることを確認する

​
セキュリティに関する推奨事項

ネットワークのセグメンテーション

異なるファイアウォールプロファイルを使用して、信頼レベルに基づくネットワークのセグメンテーションを実装します。

監視

ログを有効にしてネットワークトラフィックを監視し、潜在的なセキュリティ問題を検出します。

定期的な更新

新たな脅威やビジネス要件に対応するため、ファイアウォールポリシーを定期的に見直して更新します。

テスト

本番環境に配信する前に、管理された環境でファイアウォール構成をテストします。