Ondrej Sevecek's Blog

Dneska ještě jedna odpověď - jak zablokovat přístup na internet z nějakých počítačů, centrálně přes GPO (Group Policy Object)?

Odpověď

Nejspíš docela jednoduše pomocí Windows Firewall. Windows Firewall se dá nastavit přes Group Policy. V editoru je to v části:

Computer configuration
  Policies
    Windows settings
      Security settings
        Windows firewal with advanced security

Česky to je tady:

Konfiugrace počítače
  zásady
    nastavení systému Windows
      nastavení zabezpečení
        brána Windows Firewall s pokročilým zabezpečením

Umí udělat blokovací Outbound pravidlo. Tam si zadáte třeba rozsah IP adres. Pokud bych měl třeba vnitřní síť 192.168.1.x, tak bych tam dal dva blokované rozsahy 0.0.0.0-192.168.0.255 a druhý nad tím privátním 192.168.2.0-223.255.255.255.

Nesmíte to přehnat moc nahoru, musíte skončit na 223. Protože nad tím je multicast, který potřebujete i ve vnitřní síti - možná. Jediná věc je, že tohle se nastavuje per počítač - tedy přes GPO, ale je to v počítačové části toho Group Policy Object.

To znamená, že se to bude vstahovat na konkrétní počítače a nikoliv na nějaké konkrétní uživatele. Pokud lidi mají svůj počítač, tak to je ok. Pokud se ale nějaký uživatel přesouvá, tak toho nedosáhnete.

Ještě odkazy na předchozí článečky o Windows Firewall - problémy s jeho GPO pravidly, pokud se používají výchozí předdefinovaná a obecně o jeho smysluplnosti.