Windows-Defender-Firewall-Regeln mit NetSecurity eingrenzen, ohne sich aus der eigenen Sitzung auszusperren

Ziel

Eine Windows-Defender-Firewall-Regel per PowerShell hinzufügen oder verschärfen, ohne genau die Sitzung (WinRM oder RDP) zu kappen, über die die Änderung vorgenommen wird.

Voraussetzungen

Administratorrechte; das integrierte Modul NetSecurity (vorhanden unter Windows Server 2019/2022/2025); ein zweiter, unabhängiger Zugang zum System (Out-of-Band-Konsole oder eine zweite Remoting-Sitzung), bevor eine breit gefasste Regel eingeschränkt wird.

Schritte

1. Vor jeder Änderung den aktuellen Zustand festhalten: Get-NetFirewallProfile -Name Domain,Private,Public | Select-Object Name,Enabled | Export-Clixml firewall-profiles-before.xml. Get-NetFirewallProfile "zeigt die aktuell konfigurierten Optionen für ein angegebenes Profil an" und entspricht damit den Optionen auf der Eigenschaftenseite von Windows-Firewall mit erweiterter Sicherheit.
2. Auflisten, was für den betroffenen Kanal derzeit erlaubt ist: Get-NetFirewallRule -DisplayGroup "Windows Remote Management" -Enabled True | Select-Object DisplayName,Direction,Action,Profile.
3. Statt einer breiten Freigabe eine eng eingegrenzte Regel anlegen: New-NetFirewallRule -DisplayName "Allow-WinRM-Mgmt-Subnet" -Direction Inbound -Protocol TCP -LocalPort 5986 -RemoteAddress 10.0.5.0/24 -Profile Domain -Action Allow. -RemoteAddress beschränkt die Regel auf den angegebenen Quelladressbereich, -Profile auf das genannte Netzwerkprofil; beides sind dokumentierte Parameter von New-NetFirewallRule.
4. Bevor eine bestehende, breit gefasste Regel entfernt oder eingeschränkt wird, eine zweite Verbindung über die neue, engere Regel aufbauen und prüfen, dass sie funktioniert; erst danach die alte Regel mit Remove-NetFirewallRule entfernen.
5. Die Änderung prüfen: Get-NetFirewallRule -DisplayName "Allow-WinRM-Mgmt-Subnet" sollte die Regel zurückgeben; ein Verbindungstest von einer Adresse innerhalb des eingegrenzten Bereichs sollte gelingen, einer von ausserhalb dagegen scheitern.

Erwartetes Ergebnis

Der Verwaltungsport antwortet nur noch aus dem vorgesehenen Quelladressbereich. Die Sitzung, über die die Änderung erfolgt, bleibt unberührt, da die alte Regel erst entfernt wurde, nachdem der Ersatz verifiziert war.

Grenzen und Prüfbasis

Auf einem domänenverbundenen Host können per Gruppenrichtlinie verteilte Firewallregeln Vorrang vor einer lokal mit New-NetFirewallRule erstellten Regel haben; wenn eine neue Regel scheinbar wirkungslos ist, (Get-NetFirewallRule -DisplayName '...').PolicyStoreSourceType prüfen. Zum Rückgängigmachen löscht Remove-NetFirewallRule -DisplayName "Allow-WinRM-Mgmt-Subnet" genau das, was in Schritt 3 hinzugefügt wurde; um Einstellungen auf Profilebene wiederherzustellen, sind die in Schritt 1 erfassten Werte mit Set-NetFirewallProfile erneut anzuwenden. Ein Neustart ist nicht erforderlich; Änderungen an Regeln und Profilen wirken sofort.