Appliquer les prérequis du pare-feu

UserLock nécessite des règles spécifiques dans le pare-feu Windows pour assurer une communication fiable entre le serveur UserLock et les postes de travail ou serveurs de session protégés.

Ces règles peuvent être configurées :

• Individuellement, sur chaque ordinateur (utile pour les tests ou petites infrastructures)

• Centralement, via des objets de stratégie de groupe (GPO) (recommandé pour les environnements étendus)

Les règles de partage de fichiers et d’imprimantes permettent au serveur UserLock de communiquer avec les postes et de déployer les agents.

1. Ouvrez Pare-feu Windows Defender avec fonctions avancées de sécurité.

2. Dans le panneau de gauche, sélectionnez Règles de trafic entrant, puis cliquez sur Nouvelle règle...

3. Choisissez Prédéfinie → Partage de fichiers et d’imprimantes → Suivant.

   

4. Sélectionnez et activez les règles suivantes :

   • Partage de fichiers et d’imprimantes (Requête d’écho – ICMPv4-In)

   • Partage de fichiers et d’imprimantes (Requête d’écho – ICMPv6-In)

   • Partage de fichiers et d’imprimantes (SMB-In)

   

5. Cliquez sur Terminer.

   

Pour renforcer la sécurité, limitez le partage de fichiers et le registre à distance de manière à autoriser uniquement la communication entre le serveur UserLock et les machines protégées.

1. Ouvrez les Propriétés de chaque règle précédemment créée.

2. Allez dans l’onglet Portée.

3. Définissez les adresses IP autorisées comme suit :

• Adresse IP locale : ajoutez l’adresse (ou les adresses) IP du serveur UserLock.

• Adresse IP distante : ajoutez le sous-réseau ou la plage d’adresses des postes protégés.

• Adresse IP locale : ajoutez le sous-réseau ou la plage d’adresses des postes.

• Adresse IP distante : ajoutez l’adresse (ou les adresses) IP du serveur UserLock.

Pour les environnements importants, il est préférable de déployer les règles via les GPO afin d’assurer une configuration homogène sur tous les ordinateurs.

Créez deux GPO distinctes :

• Une pour le serveur UserLock

• Une pour les machines protégées

1. Ouvrez la console de gestion des stratégies de groupe (GPMC).

2. Créez ou modifiez une GPO pour chaque périmètre (serveur ou postes).

3. Accédez à :
   Configuration ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Pare-feu Windows Defender avec fonctions avancées de sécurité → Règles de trafic entrant

4. Faites un clic droit sur Règles de trafic entrant → Nouvelle règle...

5. Suivez l’assistant pour recréer les règles nécessaires (Partage de fichiers, Registre à distance, etc.) comme décrit précédemment.

• Liez la GPO à l’unité d’organisation (OU) contenant le serveur UserLock.

• Configurez les règles entrantes pour autoriser les connexions provenant de la plage d’adresses IP des postes protégés.

• Liez la GPO à l’OU contenant les postes protégés.

• Configurez les règles entrantes pour autoriser les connexions provenant des adresses IP du serveur UserLock.

• Documentez clairement vos plages d’adresses IP afin d’éviter toute exposition accidentelle.

• Vérifiez régulièrement l’application des GPO à l’aide de gpresult /r ou de rsop.msc.

• Testez la connectivité entre le serveur UserLock et un poste témoin avec :

  • ping (ICMP) pour la connectivité réseau

  • \\NomServeur (SMB) pour vérifier le partage de fichiers

💡️ Une fois les règles de pare-feu configurées, vous pouvez vérifier que toutes les communications requises fonctionnent correctement en suivant le guide Vérifier les services et protocoles réseau requis.