Ограничение правил брандмауэра Защитника Windows через NetSecurity без потери собственного сеанса

Цель

Добавить или ужесточить правило брандмауэра Защитника Windows из PowerShell, не обрывая тот самый сеанс (WinRM или RDP), из которого выполняется изменение.

Предварительные условия

Права администратора; встроенный модуль NetSecurity (есть в Windows Server 2019/2022/2025); второй независимый способ доступа к машине (внеполосная консоль или второй удалённый сеанс) до ужесточения широких разрешений.

Шаги

1. Перед любыми изменениями запишите текущее состояние: Get-NetFirewallProfile -Name Domain,Private,Public | Select-Object Name,Enabled | Export-Clixml firewall-profiles-before.xml. Get-NetFirewallProfile «показывает текущие настроенные параметры указанного профиля», соответствующие параметрам страницы свойств брандмауэра Windows в режиме повышенной безопасности.
2. Перечислите, что сейчас разрешено для нужного канала: Get-NetFirewallRule -DisplayGroup "Windows Remote Management" -Enabled True | Select-Object DisplayName,Direction,Action,Profile.
3. Добавьте узко ограниченное правило вместо широкого разрешения: New-NetFirewallRule -DisplayName "Allow-WinRM-Mgmt-Subnet" -Direction Inbound -Protocol TCP -LocalPort 5986 -RemoteAddress 10.0.5.0/24 -Profile Domain -Action Allow. -RemoteAddress ограничивает правило заданным диапазоном источников, а -Profile — указанным сетевым профилем; оба являются документированными параметрами New-NetFirewallRule.
4. Прежде чем удалять или сужать существующее широкое правило, откройте второе соединение с использованием нового, более узкого правила и подтвердите его работу; только затем уберите старое с помощью Remove-NetFirewallRule.
5. Подтвердите изменение: Get-NetFirewallRule -DisplayName "Allow-WinRM-Mgmt-Subnet" должен вернуть правило; проверка соединения с адреса внутри разрешённого диапазона должна пройти, а снаружи — завершиться неудачей.

Ожидаемый результат

Порт управления отвечает только из целевого диапазона источников, а сеанс, использованный для изменения, не затронут, поскольку его доступ не убирали до проверки замены.

Ограничения и основа проверки

На узле, включённом в домен, правила брандмауэра из групповой политики могут иметь приоритет над локальным New-NetFirewallRule; проверьте (Get-NetFirewallRule -DisplayName '...').PolicyStoreSourceType, если новое правило как будто не действует. Для отмены Remove-NetFirewallRule -DisplayName "Allow-WinRM-Mgmt-Subnet" удаляет именно добавленное в шаге 3; восстановление настроек профиля требует повторного применения значений, сохранённых в шаге 1, через Set-NetFirewallProfile. Перезагрузка не нужна: изменения правил и профилей вступают в силу немедленно.