Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

Windows Firewall op gescande computers

Waarom pc's met Windows Defender Firewall weinig laten zien bij een scan en hoe je via GPO alleen de collector toelaat als je ze toch wilt identificeren.

Windows-pc's en -servers met Windows Defender Firewall antwoorden standaard niet op de poorten die de collector probeert. Dat is normaal en geen blokkade van de collector. In dit artikel lees je wat je dan in het portaal ziet en hoe je, als je dat wilt, alleen de collector toegang geeft om ze beter te herkennen.

Wat je in het portaal ziet

  • Het inbound-profiel van Windows Firewall blokkeert alle verbindingen zonder allow-regel. Een poort zonder regel geeft dan geen antwoord. De collector ziet die poort als dicht.
  • Ping (ICMP Echo) staat op clients standaard uit.
  • In het eigen VLAN ziet de collector zo'n pc wel via ARP. Na een scan staat bij de collector dan bijvoorbeeld "12 alleen zichtbaar via ARP (eigen firewall)".
  • In een ander VLAN werkt ARP niet. Een pc die op geen enkele poort antwoordt, ziet de collector daar niet (zie Meerdere VLAN's scannen).

Voor het doel van Obsolens is dat meestal geen probleem: het gaat vooral om netwerkapparatuur, printers, NAS en servers. Pc's zijn geen factureerbare apparaten.

Toch identificeren: alleen de collector toelaten via GPO

Wil je dat de collector Windows-machines beter herkent, sta dan alleen vanaf het IP-adres van de collector verbindingen toe op poorten waar al diensten draaien. Het IP-adres van de collector vind je in het portaal onder Toegang regelen bij de collector (kies Windows Defender Firewall (gescande pc's) bij Stappen voor). In de stappen heet het COLLECTOR_IP.

TCP-regel

  1. Open de GPO en ga naar Computer Configuration > Policies > Windows Settings > Security Settings > Windows Defender Firewall with Advanced Security > Inbound Rules.
  2. Klik New Rule en kies Custom.
  3. Kies All programs.
  4. Zet Protocol op TCP. Vul bij Local port alleen poorten in waar daadwerkelijk een dienst draait, bijvoorbeeld 22, 80, 443, 445, 3389.
  5. Kies bij Scope onder Remote IP address de optie These IP addresses en vul COLLECTOR_IP in.
  6. Kies Allow the connection.
  7. Selecteer het profiel Domain (eventueel ook Private).
  8. Geef de regel een naam, bijvoorbeeld "Obsolens collector". Klik Finish.

Ping-regel (optioneel)

  1. Maak een nieuwe regel: Custom > All programs.
  2. Zet Protocol type op ICMPv4, klik Customize en kies Specific ICMP types > Echo Request.
  3. Zet Scope op COLLECTOR_IP.
  4. Kies Allow en klik Finish.
  5. Maak een aparte regel voor ICMPv6 als je IPv6 gebruikt.

SNMP

UDP 161 is alleen zinvol als de SNMP-service op Windows draait. Maak dan een vergelijkbare UDP-regel met scope COLLECTOR_IP.

Let op: open niet meer poorten dan nodig en zet geen extra diensten aan om de scan te helpen. Het doel is zien wat er draait, niet diensten openzetten.

De collector zelf op Windows

Draait de collector zelf op een Windows-machine, dan maakt de installatie een eigen inbound-regel Obsolens Collector (discovery). Die laat alleen voor het programma van de collector UDP-antwoorden van UPnP (1900) en mDNS (5353) uit het lokale subnet binnen, in de profielen Domain en Private. Verder luistert de collector nergens op. Bij het verwijderen van de collector verdwijnt de regel weer.

Controleren

  1. Wacht tot de GPO is toegepast (of voer gpupdate /force uit op een test-pc).
  2. Start in het portaal Nu scannen.
  3. Kijk of de pc nu met open poorten verschijnt en niet meer alleen via ARP.

Bronnen

Zie ook