![Windows 防火墙的组策略设置有时会在启动时被忽略](https://linux22.com/image/1386492/Windows%20%E9%98%B2%E7%81%AB%E5%A2%99%E7%9A%84%E7%BB%84%E7%AD%96%E7%95%A5%E8%AE%BE%E7%BD%AE%E6%9C%89%E6%97%B6%E4%BC%9A%E5%9C%A8%E5%90%AF%E5%8A%A8%E6%97%B6%E8%A2%AB%E5%BF%BD%E7%95%A5.png)
我们将 Windows 防火墙设置(以及其他安全设置)作为本地策略部署到我们的机器上。它们不是域的一部分。每台机器都配置了每周重启一次,并结合了chkdisk
。
问题是,在某些机器上,服务启动时的防火墙设置是不是从组策略加载 - 使用本地设置和规则(我们不希望这样)。这种情况只会偶尔发生,并且问题无法可靠地重现。当我检查使用本地设置的计算机上配置的组策略时,一切都设置正确。
Windows 防火墙服务如何确定是否应从组策略或本地设置加载规则和设置?组策略服务和 Windows 防火墙服务是否存在已知错误或竞争条件,或者是否有其他人遇到过类似问题?是否有可能干扰chkdisk
策略?
解决方法是我们将本地设置设为策略设置的副本,但我想了解导致此问题的原因是什么。
事件日志条目如下所示(这些设置取自本地设置,而不是组策略中定义的设置 - 尽管它们已定义!)
The following policy was active when the Windows Firewall started.
Group Policy Applied: No
Profile Used: Public
Operational mode: On
Allow Remote Administration: Disabled
Allow Unicast Responses to Multicast/Broadcast Traffic: Enabled
Security Logging:
Log Dropped Packets: Disabled
Log Successful Connections: Disabled
答案1
我也遇到过这个问题。在我们的案例中,它不使用本地规则,而是阻止一切。不知道它是否使用持久规则,或者它是否默认使用本地规则,而本地规则因不同的策略设置而无效。无论如何,它坏了,我在 Microsoft 社区中提问也没有找到任何答案。如果 Windows 日志实际上包含有用的信息,那不是很好吗?
因此我使用了这个解决方法:使用任务计划程序在启动时运行 gpupdate /force。我以 SYSTEM 身份运行它,但不知道是否有必要。