Как сделать резервную копию моей рекомендации НЕ отключать службу брандмауэра Windows?

14

Из личного опыта я знаю, что отключение службы брандмауэра Windows в системах после XP может привести к возникновению всевозможных проблем с сетью, и что правильным способом ее отключения является его настройка, чтобы не блокировать какой-либо трафик, оставляя при этом фактическую службу работающей , Это связано с тем, что начиная с Vista служба брандмауэра Windows является критически важным компонентом сетевого стека Windows, и ее остановка приведет к хаосу совершенно случайным образом.

Тем не менее, я продолжаю сталкиваться с людьми, которые думают, что просто остановить и отключить службу - это хорошее решение, и что для того, чтобы должным образом отключить ее, нужно потратить слишком много времени. Затем, когда возникают всевозможные сетевые проблемы, они просто не осознают истинную причину и попробуют что-то еще, прежде чем неохотно примут это, да, может быть, эта служба действительно должна быть запущена.

Помимо нанесения ударов по людям тяжелыми (и / или острыми) предметами, реальным решением здесь был бы официальный документ, в котором говорилось бы: «Не отключайте эту службу, или вы просто требуете неприятностей». И все же, единственный пост на эту тему, который мне удалось найти, просто говорит о том, что «остановка службы, связанной с брандмауэром Windows в режиме повышенной безопасности, не поддерживается Microsoft», которая просто не выглядит достаточно угрожающей, чтобы помешать им совершать идиотские поступки. ,

Есть ли что-то лучшее, к чему я могу обратиться, чтобы подтвердить мое утверждение о том, что служба брандмауэра Windows действительно НЕ должна быть остановлена?


Небольшое уточнение: я на самом деле имел в виду не пользователей, а администраторов со слишком большим отношением и слишком маленькими реальными знаниями, которые считают вышеописанную конфигурацию справедливой, реализовали ее с помощью объектов групповой политики во всей своей сети и просто не Слушая, когда я говорю им, что те случайные сетевые проблемы, с которыми они сталкиваются, имеют очень высокий шанс быть вызванным этим.

В настоящее время мне поручено решить эти проблемы (и внедрить некоторые новые сервисы, которые не работают должным образом из-за этой проблемы), и мне нужен способ убедить их просто оставить эту чертову службу в покое; к сожалению, личный опыт кажется недостаточно официальным.

Massimo
источник

Ответы:

12

Вы уже знаете, что такое лучшая практика; поддерживаемая MS вещь. Вы уже видели, как отключение службы может привести к непредсказуемому поведению и нарушению других функциональных возможностей, которые тангенциально связаны со службой. Если вы, как администратор, не имеете права мешать идиотам совершать идиотские поступки, то передайте это администратору, который это сделает, и поместит его в объект групповой политики. Попросите политиков вашей компании заявить, что эта служба не должна быть отключена. Тогда они не просто идиоты, они нарушают политику компании.

/superuser/137930/when-the-windows-firewall-service-is-disabled-i-cannot-remote-desktop-rdp-to-t

http://weestro.blogspot.com/2009/06/server-2008-and-windows-firewall.html

Райан Райс
источник
1
Отключение межсетевого экрана нарушает IPSec, с одной стороны.
mfinni
Расширен для ясности. У меня проблемы с убеждением других администраторов , а не пользователей.
Массимо
2
Вы пишете «реальным решением здесь будет официальный документ с указанием« не отключайте эту службу, или вы просто просите о неприятностях », а затем в следующем предложении вы ссылаетесь на официальный документ MS, в котором говорится« не отключайте это или вы просто просите о неприятностях! »Кроме того, я привел две ссылки в качестве примеров парней, которые взломали RDP, потому что отключили службу. Кроме того, я сказал вам, что если ваши администраторы делают неправильный выбор, то это проблема HR и должна решаться с помощью политики компании. Не уверен, что еще дать вам
Райан Райс
4
«Остановка службы, связанной с брандмауэром Windows в режиме повышенной безопасности, не поддерживается Microsoft». Это заявление от продавца.
Райан Райс
2
@Massimo Эта статья Technet совершенно ясна. Если ваши коллеги не понимают этого, возможно, они не компетентны занимать свои нынешние должности.
Майкл Хэмптон