O Novo Firewall do Windows no Windows Vista e no Windows Server "Longhorn": The Cable Guy, janeiro de 2006

O Novo Firewall do Windows no Windows Vista e do Windows Server "Longhorn"

Por The Cable Guy

As versões do Community Technology Preview (CTP) de dezembro do Microsoft Windows Vista (em fase de teste beta) e do Windows Server "Longhorn" (também em fase de teste beta) incluem uma nova e aprimorada versão do Firewall do Windows.

Nesta página

Introdução
Aperfeiçoamentos do novo Firewall do Windows
Usando o snap-in do Firewall do Windows com Segurança Avançada
Para obter mais informações

Introdução

Assim como o atual Firewall do Windows no Windows XP Service Pack 2 (SP2) e no Windows Server 2003 Service Pack 1 (SP1), o novo Firewall do Windows é um firewall baseado no host com monitoração de estado, que libera ou bloqueia o tráfego de rede de acordo com sua configuração e com os aplicativos que estão em execução no momento para proporcionar um nível de proteção contra usuários e programas mal-intencionados em uma rede.

Aperfeiçoamentos do novo Firewall do Windows

O novo Firewall do Windows no Windows Vista e no Windows Server "Longhorn" conta com os seguintes aperfeiçoamentos com relação ao Firewall do Windows atual no Windows XP SP2 e no Windows Server 2003 SP1:

• Oferece suporte para tráfego de entrada e de saída

• Novo snap-in do MMC (Console de Gerenciamento Microsoft) para configuração da GUI (interface gráfica do usuário)

• As configurações de filtragem do Firewall e de proteção do IPsec (Segurança do protocolo de Internet) são integradas

• É possível configurar exceções para contas e grupos do Active Directory, endereços IP de origem e destino, número de IP, portas de TCP (Protocolo de Controle de Transmissões) e de UDP (Protocolo de Datagrama de Usuário) de origem e destino, todas ou várias portas TCP ou UDP, tipos específicos de interfaces, tráfego de ICMP (Protocolo de Mensagens de Controle da Internet) e de ICMPv6 (ICMP para Protocolo de Internet versão 6) por Tipo e Código e também para serviços

Oferece suporte para tráfego de entrada e de saída

O novo Firewall do Windows oferece suporte para a criação de uma barreira de proteção para o tráfego de entrada, descartando qualquer tráfego de entrada não solicitado, que não corresponda a tráfego enviado como resposta a uma solicitação do computador (tráfego solicitado) ou a tráfego não solicitado que tenha sido especificado como permitido (tráfego de exceção). Este é o tipo de firewall mais importante a ser executado em um computador, já que ajuda a prevenir a contaminação de computadores por vírus no nível de rede e por worms que se disseminam por meio de tráfego de entrada não solicitado.

O novo Firewall do Windows oferece suporte para a criação de uma barreira de proteção tanto para tráfego de entrada quanto para tráfego de saída. Por exemplo, um administrador de rede pode configurar o novo Firewall do Windows com um conjunto de exceções para bloquear todo o tráfego enviado para portas específicas, como as conhecidas portas usadas por programas de vírus, ou para endereços específicos que contenham conteúdo confidencial ou indesejado.

O comportamento padrão do novo Firewall do Windows se destina a:

• Bloquear todo tráfego de entrada, a menos que seja solicitado ou corresponda a uma exceção configurada.

• Permitir todo tráfego de saída a menos que corresponda a uma exceção configurada.

Novo snap-in do MMC para configuração da GUI

Para o atual Firewall do Windows, a configuração da GUI consiste no item Firewall do Windows no Painel de Controle e uma série de configurações de diretiva de grupo no snap-in do editor de diretiva de grupo. Para obter mais informações sobre como configurar o atual Firewall do Windows, consulte Configurando manualmente o Firewall do Windows no Windows XP Service Pack 2.

Você pode configurar o novo Firewall do Windows usando o item Firewall do Windows no Painel de Controle, que exibe o mesmo conjunto de opções de configuração do atual Firewall do Windows. É possível definir configurações básicas para o novo Firewall do Windows, mas não configurar recursos avançados.

Por causa do número de opções de configuração avançada e do ganho proporcionado por ter a mesma GUI tanto para configurações locais como para configurações baseadas em diretivas de grupo do Active Directory, o novo Firewall do Windows também pode ser configurado usando um snap-in do MMC denominado Firewall do Windows com Segurança Avançada. Em versões beta do Windows Vista e do Windows Server "Longhorn", você deve adicionar o snap-in do Firewall do Windows com Segurança Avançada a um console MMC. Não há atualmente um console predefinido para o snap-in do Firewall do Windows com Segurança Avançada na pasta de Ferramentas Administrativas.

Com o novo snap-in do Firewall do Windows com Segurança Avançada, administradores de rede podem definir configurações para o novo Firewall do Windows em computadores remotos, o que não é possível para o atual Firewall do Windows sem uma conexão de área de trabalho remota.

Para configuração de linha de comando de configurações avançadas do novo Firewall do Windows, você pode usar comandos no contexto netsh advfirewall. Este contexto não existe para computadores que executam o Windows XP com SP2 ou o Windows Server 2003 com SP1.

Para configurações baseadas em diretivas de grupo do novo Firewall do Windows, vá para Configuração do Computador/Configurações do Windows/Configurações de Segurança/Firewall do Windows com Segurança Avançada/Snap-in do Editor de Diretivas de Grupo. O novo Firewall do Windows aplicará configurações de Diretivas de Grupo definidas para o Firewall do Windows atual em Configuração do Computador\Modelos Administrativos\Rede\Conexões de Rede\Firewall do Windows. Computadores que executam o Windows XP com SP2 ou o Windows Server “Longhorn” ignorarão as configurações de Diretiva de Grupo do novo Firewall do Windows.

Configurações de firewall e IPsec são integradas

O IPsec é um conjunto de padrões de Internet para fornecer proteção criptográfica ao tráfego IP. No Windows XP e no Windows Server 2003, o Firewall do Windows e o IPsec são configurados separadamente. Já que tanto um firewall baseado em host como o IPsec no Windows podem bloquear ou permitir tráfego de entrada, é possível criar exceções de firewall e regras do IPsec sobrepostas ou contraditórias. O novo Firewall do Windows combinou a configuração de ambos os serviços de rede usando os mesmos comandos da GUI e de linha de comando. Outro benefício da integração das configurações de firewall e IPsec é que a definição de configurações de IPsec é bastante simplificada. Para obter mais informações, consulte "Usando o snap-in do Firewall do Windows com Segurança Avançada" neste artigo.

Exceções podem ser configuradas para contas e grupos do Active Directory

Para exceções que especificam que o tráfego de entrada e de saída deve ser protegido com o IPsec, você pode especificar a lista de contas de computador, de grupos de contas de usuário e de grupos que são autorizados a iniciar comunicação protegida. Por exemplo, você pode especificar que o tráfego para servidores específicos com dados confidenciais deve ser protegido e pode apenas ser originado de usuários ou computadores específicos.

Exceções podem ser configuradas para endereços IP de origem e de destino

Com o atual Firewall do Windows, você pode especificar o escopo de tráfego de entrada de exceção. O escopo define a porção da rede a partir da qual o tráfego de exceção pode se originar, essencialmente os endereços IP de origem (IPv4 e IPv6) de tráfego de entrada. Com o novo Firewall do Windows, você pode configurar endereços IP de origem e de destino para tráfego de entrada e de saída, o que permite definir de maneira mais precisa o tráfego que está permitido ou bloqueado. Por exemplo, se um computador com um endereço IP específico não tiver permissão para originar tráfego para um conjunto de servidores, você poderá criar uma exceção de bloqueio de saída especificando o endereço localmente atribuído como endereço de origem e os endereços dos servidores como endereços de destino.

Para endereços de destino, você também pode especificar os seguintes endereços predefinidos com o novo Firewall do Windows:

• Gateway padrão, servidores WINS, servidores DHCP, servidores DNS

  Esses endereços predefinidos são mapeados dinamicamente para os endereços do gateway padrão, dos servidores WINS, dos servidores DHCP e dos servidores DNS atualmente definidos do host.

• Sub-rede local

  Esses endereços predefinidos são mapeados dinamicamente para o conjunto de endereços definido pelo endereço e pela máscara de sub-rede de IPv4 e pelo prefixo de sub-rede local de IPv6.

Exceções podem ser configuradas para o número do IP

No atual Firewall do Windows, você pode criar exceções com base no tráfego TCP ou UDP, mas não pode especificar outros tipos de tráfego que não usam TCP ou UDP. O novo Firewall do Windows permite que você selecione o protocolo por nome ou digite manualmente o valor do Protocolo IPv4 ou os campos do próximo cabeçalho IPv6 do tráfego desejado.

Exceções podem ser configuradas para portas TCP e UDP de origem e de destino

Com o atual Firewall do Windows, você pode especificar a porta TCP ou UDP de destino para tráfego de entrada. Com o novo Firewall do Windows, você pode configurar portas TCP ou UDP de origem e de destino para tráfego de entrada e de saída, o que permite definir de maneira mais precisa o tráfego que está permitido ou bloqueado. Por exemplo, se você deseja bloquear tráfego mal-intencionado ou indesejado que usa um conjunto conhecido de portas TCP, é possível criar exceções de bloqueio de saída e de entrada, especificando as portas TCP de origem e de destino do tráfego.

Exceções podem ser configuradas para várias portas ou para todas as portas

Ao configurar uma exceção baseada na porta com o atual Firewall do Windows, é possível especificar apenas uma única porta TCP ou UDP. Com o novo Firewall do Windows, também é possível especificar todas as portas TCP ou UDP (para todo o tráfego TCP ou UDP) ou uma lista separada por vírgulas de múltiplas portas. Para configurar o novo Firewall do Windows para um intervalo de portas, você deve especificar todas as portas no intervalo. Por exemplo, se desejar configurar uma exceção para o intervalo de portas 1090-1095, você deve configurar as seguintes portas: 1090,1091,1092,1093,1094,1095.

Exceções podem ser configuradas para tipos específicos de interfaces

Com o atual Firewall do Windows, todas as exceções ativadas são aplicadas a todas as interfaces nas quais o firewall está ativado. Com o novo Firewall do Windows, é possível especificar uma exceção que se aplique a todas as interfaces ou especificar tipos de interfaces, o que inclui rede local (LAN), acesso remoto ou interfaces sem fio. Por exemplo, se um aplicativo é usado apenas em conexões de acesso remoto e você não deseja que a exceção esteja ativa na rede local (LAN) e nas conexões sem fio, é possível configurar a exceção para que ela se aplique apenas a conexões de acesso remoto.

Exceções podem ser configuradas para tráfego de ICMP e de ICMPv6 por Tipo e Código

Com o atual Firewall do Windows, é possível ativar exceções para um conjunto fixo de mensagens ICMP (para IPv4) e ICMPv6. Com o novo Firewall do Windows, há um conjunto predefinido de mensagens de exceção de ICMP e ICMPv6, e é possível adicionar novas mensagens de ICMP ou ICMPv6 especificando os valores dos campos Tipo e Código da mensagem ICMP ou ICMPv6. Por exemplo, se desejar criar uma exceção para a mensagem Pacote Muito Grande do ICMPv6, você pode criar manualmente uma exceção para o Tipo 2 e o Código 0 do ICMPv6.

Exceções podem ser configuradas para serviços

Com o atual Firewall do Windows, você deve configurar uma exceção para um serviço especificando o caminho para o nome do arquivo do programa do serviço. Com o novo Firewall do Windows, é possível especificar que a exceção se aplique a qualquer processo, apenas a serviços, a um serviço específico pelo nome do serviço ou é possível digitar o nome abreviado do serviço. Por exemplo, se desejar configurar uma exceção que se aplique apenas ao serviço Navegador do Computador, é possível selecionar o serviço Navegador do Computador, na lista de serviços em execução no computador.

Usando o snap-in do Firewall do Windows com Segurança Avançada

Para definir configurações avançadas para o novo Firewall do Windows, você deve adicionar o novo snap-in do Firewall do Windows com Segurança Avançada a um console MMC seguindo este procedimento:

1. A partir da área de trabalho do Windows Vista ou do Windows Server "Longhorn", clique em Iniciar, digite mmc e, em seguida, pressione ENTER.

2. Na janela do console MMC, clique em Arquivo e, em seguida, clique em Adicionar/Remover Snap-in.

3. Na lista de Snap-ins disponíveis, clique em Firewall do Windows com Segurança Avançada e, em seguida, clique em Adicionar.

4. Quando solicitado a selecionar o computador a ser gerenciado, clique em Computador local, clique em Concluir e, em seguida, clique em OK.

A imagem a seguir mostra um exemplo da tela do snap-in do Firewall do Windows com Segurança Avançada.

Para modificar o estado do novo Firewall do Windows ou especificar configurações adicionais que controlem o comportamento, as configurações de logon e as configurações de IPsec do novo Firewall do Windows para cada perfil, clique com o botão direito do mouse em Firewall do Windows com Segurança Avançada na árvore e, em seguida, clique em Propriedades. A imagem a seguir mostra um exemplo.

A árvore do Firewall do Windows com Segurança Avançada tem os seguintes nós:

• Inbound Exceptions  Armazena o conjunto de exceções configuradas para tráfego de entrada.

• Outbound Exceptions  Armazena o conjunto de exceções configuradas para tráfego de saída.

• Computer Connection Security  Armazena o conjunto de regras para tráfego protegido.

• Monitoring  Exibe informações sobre as atuais exceções do firewall, regras de segurança de conexão e associações de segurança. O nó Monitoring não é exibido durante a visualização do snap-in do Firewall do Windows com Segurança Avançada dentro do snap-in do Editor de Diretiva de Grupo.

Quando você seleciona na árvore o nó Windows Firewall with Advanced Security, os seguintes painéis são exibidos:

• Overview  Exibe o estado atual do novo Firewall do Windows para o domínio e os perfis padrão, inclusive qual perfil está ativo.

• Getting Started  Fornece informações básicas sobre as funções do novo Firewall do Windows e fornece links para nós na árvore.

• Links and Resources  Fornece links para informações adicionais sobre procedimentos e tópicos comuns do novo Firewall do Windows.

O painel Actions exibe os comandos do menu de contexto do nó atualmente selecionado na árvore ou no painel de detalhes.

A configuração do novo Firewall do Windows consiste no seguinte:

• Inbound exceptions

• Outbound exceptions

• Regras de segurança de conexão do computador

Configurando uma Exceção de Entrada

Para criar uma exceção de entrada, clique com o botão direito do mouse em Inbound Exceptions na árvore e, em seguida, clique em New Exception. Alternativamente, clique em Inbound Exceptions na árvore e, em seguida, clique em New Exception no painel Actions.

O assistente New Inbound Exception é iniciado. A imagem a seguir mostra um exemplo.

Na página Exception Type do assistente New Inbound Exception, você pode selecionar:

• Program  Para especificar uma exceção de tráfego de entrada com base no nome de um programa. Você também deve especificar uma ação (para permitir, bloquear ou proteger), o perfil ao qual a exceção se aplica (padrão, domínio ou ambos) e um nome para a exceção.

• Port  Para especificar uma exceção de tráfego de entrada com base nas portas TCP ou UDP. Você também deve especificar uma ação (para permitir, bloquear ou proteger), o perfil ao qual a exceção se aplica (padrão, domínio ou ambos) e um nome para a exceção.

• Predefined  Para especificar uma exceção com base em um dos serviços predefinidos, o que inclui Assistência Remota, Compartilhamento de Arquivo e de Impressora, Área de Trabalho, Estrutura Universal Plug and Play (UPnP) e ICMP Echo Request (v4). Você também deve especificar um nome para a exceção.

• Custom  Para criar uma exceção que não especifique um programa, uma porta ou um serviço predefinido. Você deve selecionar esta opção quando desejar configurar manualmente o comportamento da exceção, talvez com base em configurações avançadas que não podem ser configuradas por meio das páginas do assistente New Inbound Exception. Você deve especificar um nome para a exceção.

Após a conclusão do assistente New Inbound Exception, haverá uma nova exceção de entrada com o nome especificado no painel de detalhes. Para configurar propriedades avançadas para a exceção, clique com o botão direito do mouse no nome da exceção de entrada e clique em Properties. Alternativamente, clique no nome e, em seguida, clique em Properties no painel Actions.

Configurando uma Exceção de Saída

Para criar uma nova exceção de saída, clique com o botão direito do mouse em Outbound Exceptions na árvore e, em seguida, clique em New Exception. Alternativamente, clique em Outbound Exceptions na árvore e, em seguida, clique em New Exception no painel Actions.

O assistente New Outbound Exception é iniciado. A imagem a seguir mostra um exemplo.

Na página Exception Type do assistente New Outbound Exception, você pode selecionar:

• Program

• Port

• Predefined

• Custom

Esses tipos de exceções são iguais aos das exceções de entrada, exceto pelo fato de que se referem ao tráfego de saída.

Após a conclusão do assistente New Outbound Exception, haverá uma nova exceção de saída com o nome especificado no painel de detalhes. Para configurar propriedades avançadas para a exceção, clique com o botão direito do mouse no nome da exceção de saída e, em seguida, clique em Properties. Alternativamente, clique no nome e, em seguida, clique em Properties no painel Actions.

A partir da caixa de diálogo de propriedades para uma exceção de entrada ou de saída, você pode definir configurações nas seguintes guias:

• General  O nome da exceção, o programa ao qual a exceção se aplica e a ação da exceção (permitir, bloquear ou proteger).

• Authorization  Se a ação da exceção é de proteção, as contas ou grupos do computador ou do usuário que estão autorizados a fazer conexões protegidas.

• Protocols and Ports  O IP da exceção, as portas TCP e UDP de origem e de destino e as configurações ICMP ou ICMPv6.

• Scope  Os endereços de origem e de destino da exceção.

• Advanced  Os perfis, tipos de interfaces e serviços aos quais a exceção se aplica.

Configurando uma Regra de Segurança da Conexão do Computador

Para criar uma nova regra de Segurança de Conexão do Computador, clique com o botão direito do mouse em Computer Connection Security na árvore e, em seguida, clique em New Rule. Alternativamente, clique em Computer Connection Security na árvore e, em seguida, clique em New Rule no painel Actions.

O assistente New Authentication Rule é iniciado. A imagem a seguir mostra um exemplo.

Na página Rule Type do assistente New Authentication Rule, você pode selecionar:

• Isolation  Para especificar que os computadores sejam isolados de outros computadores com base na associação a uma infra-estrutura comum do Active Directory ou porque eles têm uma condição de integridade atualizada e atual. Você deve especificar quando deseja que a autenticação ocorra (por exemplo, para tráfego de entrada e de saída, e se desejar exigir ou apenas solicitar proteção), o método de autenticação do tráfego protegido e um nome para a regra. O isolamento de computadores com base em sua condição de integridade utiliza a nova plataforma de Network Access Protection (Proteção de Acesso à Rede) do Windows Vista e do Windows Server Longhorn. Para obter mais informações, consulte o site de Network Access Protection.

• Authentication exception  Para especificar computadores que não tenham que autenticar ou proteger tráfego por meio de seus endereços IP.

• Server to server  Para especificar proteção de tráfego entre computadores específicos, geralmente servidores. Você deve especificar o conjunto de pontos de extremidade que farão troca de tráfego protegido por endereço IP, quando deseja que a autenticação ocorra, o método de autenticação para tráfego protegido e um nome para a regra.

• Tunnel  Para especificar proteção de tráfego encapsulado, geralmente usado ao enviar pacotes pela Internet entre dois computadores de gateway de segurança. Você deve especificar os pontos de extremidade do encapsulamento por endereço IP, o método de autenticação e um nome para a regra.

• Custom  Para criar uma regra que não especifique um comportamento de proteção. Você deve selecionar esta opção quando desejar configurar manualmente uma regra, talvez com base em propriedades avançadas que não podem ser configuradas por meio das páginas do assistente New Authentication Rule. Você deve especificar um nome para a regra.

Após a conclusão do assistente New Authentication Rule, haverá uma nova regra com o nome especificado no painel de detalhes do nó Computer Connection Security. Para configurar propriedades avançadas para a regra, clique com o botão direito do mouse no nome da regra e, em seguida, clique em Properties. Alternativamente, clique no nome da regra no painel de detalhes e, em seguida, clique em Properties no painel Actions.

A partir da caixa de diálogo de propriedades para uma regra, você pode definir configurações nas seguintes guias:

• General  O nome e a descrição da regra.

• Computers  O conjunto de computadores, por endereço IP, para o qual o tráfego é protegido.

• Authentication  Quando desejar que a autenticação para proteção de tráfego ocorra (por exemplo, para tráfego de entrada e de saída, e se desejar exigir ou apenas solicitar proteção) e o método de autenticação do tráfego protegido.

• Advanced  Os perfis e tipos de interfaces para os quais a regra se aplica e o comportamento de encapsulamento de IPsec.

Para obter mais informações

Para obter mais informações sobre este tópico, consulte:

• Página da Web do Windows Vista

• Página da Web Windows Vista Resources for IT Professionals (em inglês)

• Site Network Access Protection

• Configurando Manualmente o Firewall do Windows no Windows XP Service Pack 2

Para enviar comentários sobre o conteúdo desta coluna, escreva para o Microsoft TechNet. Lembre-se de que este não é um alias de suporte e o recebimento de uma resposta não é garantido.

Para obter uma lista de informações adicionais sobre todas as colunas do The Cable Guy, clique aqui (em inglês).