Comment activer le pare-feu de réseau privé à l'aide de Microsoft Intune

Commencez par naviguer vers le centre d'administration Microsoft Endpoint Manager et créez une nouvelle stratégie de configuration en utilisant la méthode du catalogue de paramètres, qui offre le contrôle le plus granulaire sur les paramètres du pare-feu.

https://endpoint.microsoft.com

Connectez-vous avec vos identifiants d'administrateur Intune. Une fois connecté, accédez à Appareils > Configuration > Créer > Nouvelle stratégie. Sélectionnez Windows 10 et versions ultérieures comme plateforme et choisissez Catalogue de paramètres comme type de profil.

Donnez à votre stratégie un nom descriptif comme "Pare-feu Réseau Privé - Activer & Bloquer Entrant" pour identifier clairement son objectif dans votre liste de stratégies.

Vérification : Confirmez que vous êtes sur la page de création du catalogue de paramètres avec la bonne plateforme sélectionnée avant de passer à l'étape suivante.

Vous allez maintenant configurer les paramètres spécifiques du pare-feu pour le profil de réseau privé. Cliquez sur Ajouter des paramètres et recherchez "Pare-feu" dans le navigateur de paramètres. Développez Pare-feu Windows Defender pour accéder aux options de configuration du pare-feu.

Configurez ces trois paramètres critiques :

Paramètre 1 : Activer le pare-feu du réseau privé

Chemin : Modèles d'administration/Réseau/Pare-feu Windows Defender/Profil privé
Paramètre : Pare-feu du réseau privé
Valeur : Activer

Paramètre 2 : Action par défaut pour les entrées

Chemin : Modèles d'administration/Réseau/Pare-feu Windows Defender/Profil privé
Paramètre : Pare-feu du réseau privé - Action par défaut pour les entrées
Valeur : Bloquer

Paramètre 3 : Action par défaut pour les sorties

Chemin : Modèles d'administration/Réseau/Pare-feu Windows Defender/Profil privé
Paramètre : Pare-feu du réseau privé - Action par défaut pour les sorties
Valeur : Autoriser (Standard) ou Bloquer (Environnements à haute sécurité)

Vérification : Assurez-vous que les trois paramètres affichent le statut "Configuré" avec vos valeurs sélectionnées avant de procéder aux affectations.

Accédez à l'onglet Affectations pour spécifier quels appareils ou utilisateurs recevront cette politique de pare-feu. Cliquez sur Sélectionner des groupes à inclure et choisissez vos groupes d'appareils cibles ou groupes d'utilisateurs.

Pour l'affectation basée sur les appareils (recommandée pour les politiques de pare-feu) :

Type d'affectation : Groupes d'appareils
Cible : Tous les appareils d'entreprise (ou groupes de sécurité spécifiques)
Filtre : Aucun (sauf si vous utilisez des filtres d'affectation)

Pour l'affectation basée sur les utilisateurs :

Type d'affectation : Groupes d'utilisateurs
Cible : Équipe de sécurité informatique, Travailleurs à distance, etc.
Filtre : Plateforme = Windows

Examinez attentivement vos affectations. Les politiques de pare-feu peuvent affecter la connectivité réseau, donc commencez par un groupe pilote avant de déployer sur tous les appareils.

Cliquez sur Suivant pour passer à l'écran de révision, puis cliquez sur Réviser + créer pour finaliser la politique.

Vérification : Confirmez que la politique affiche le statut "Créé" et apparaît dans votre liste de politiques de configuration sous Appareils > Configuration.

Comme approche alternative ou complémentaire, vous pouvez créer une politique de pare-feu de sécurité des points de terminaison dédiée. Accédez à Endpoint security > Firewall > Create Policy.

Configurez la politique avec ces paramètres :

Plateforme : Windows 10, 11, et Windows Server
Profil : Microsoft Defender Firewall
Nom : Politique de sécurité du réseau privé

Dans les paramètres de configuration, concentrez-vous sur la section Profil privé :

{
  "Activer le pare-feu du réseau privé": "Oui",
  "Action par défaut en entrée": "Bloquer",
  "Action par défaut en sortie": "Autoriser",
  "Notifications": "Bloquer",
  "Réponse unicast au multicast": "Bloquer"
}

Cette méthode offre une interface plus simplifiée spécifiquement conçue pour les politiques de sécurité et s'intègre mieux avec le tableau de bord de rapport de sécurité d'Intune.

Attribuez cette politique aux mêmes groupes que votre politique de configuration, ou utilisez-la comme solution autonome si vous préférez l'approche de sécurité des points de terminaison.

Vérification : Vérifiez que la politique apparaît sous Endpoint security > Firewall et montre le nombre correct d'assignations.

Pour accélérer le déploiement des politiques, forcez une synchronisation sur vos appareils cibles. Vous pouvez le faire via le centre d'administration Intune ou directement sur les appareils.

Méthode 1 : Via le centre d'administration Intune

Accédez à Appareils > Tous les appareils, sélectionnez un appareil cible et cliquez sur Synchroniser. Cela déclenche un rafraîchissement immédiat des politiques.

Méthode 2 : Directement sur l'appareil

Ouvrez les Paramètres sur l'appareil Windows et accédez à Comptes > Accéder au travail ou à l'école. Cliquez sur votre compte professionnel et sélectionnez Synchroniser.

Méthode 3 : Commande PowerShell

# Vérifier l'état d'enregistrement de l'appareil
dsregcmd /status

# Forcer la synchronisation des politiques Intune
Get-ScheduledTask -TaskName "PushLaunch" | Start-ScheduledTask

# Méthode de synchronisation alternative
Invoke-Command -ScriptBlock {Get-ScheduledTask | Where-Object {$_.TaskName -eq "PushLaunch"} | Start-ScheduledTask}

Attendez 5 à 10 minutes après avoir forcé la synchronisation avant de vérifier l'état d'application des politiques.

Vérification : Exécutez dsregcmd /status et recherchez les entrées récentes "LastSyncTime" pour confirmer que la synchronisation s'est terminée avec succès.

Une fois que les politiques ont été déployées et synchronisées, vérifiez que la configuration du pare-feu a été appliquée correctement sur vos appareils cibles.

Commandes de vérification PowerShell :

# Vérifier l'état du profil de pare-feu du réseau privé
Get-NetFirewallProfile -Profile Private

# Vérifier les paramètres spécifiques du pare-feu
Get-NetFirewallProfile -Profile Private | Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction

# Vérifier l'état du service Pare-feu Windows
Get-Service -Name "MpsSvc" | Select-Object Name, Status, StartType

Sortie attendue pour un pare-feu de réseau privé correctement configuré :

Name                 : Private
Enabled              : True
DefaultInboundAction : Block
DefaultOutboundAction: Allow
LogAllowed           : False
LogBlocked           : False

Vérification du registre :

# Vérifier les entrées de registre de la politique de pare-feu MDM
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\MDM\DMMap\AutoEnroll\Extensions\firewall"

# Vérifier les paramètres de registre du profil privé
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\PrivateProfile"

Vérification : Confirmez que Enabled apparaît comme True et que DefaultInboundAction apparaît comme Block dans la sortie PowerShell.

Utilisez les capacités de reporting intégrées d'Intune pour surveiller la conformité des politiques de pare-feu sur vos appareils gérés. Accédez à Rapports > Sécurité des points de terminaison > Pare-feu pour accéder à des rapports complets sur le pare-feu.

Rapports clés à surveiller :

1. Statut du pare-feu MDM - Résumé global de la conformité
2. Conformité de la politique de pare-feu - Détails de conformité au niveau de l'appareil
3. Configuration du pare-feu - Paramètres appliqués par appareil
4. Appareils non conformes - Appareils nécessitant une attention

Accédez au tableau de bord des rapports de pare-feu :

https://endpoint.microsoft.com/#view/Microsoft_Intune_Reporting/FirewallBlade

Configurez une surveillance automatisée de la conformité en créant des rapports personnalisés qui filtrent pour :

• Appareils avec pare-feu désactivé
• Appareils avec échecs d'application de politique
• Appareils ne se connectant pas pour les mises à jour de politique

Script de surveillance PowerShell :

# Créer un script de surveillance pour la conformité du pare-feu
$FirewallStatus = Get-NetFirewallProfile -Profile Private
if ($FirewallStatus.Enabled -eq $false) {
    Write-Output "ALERTE : Le pare-feu du réseau privé est désactivé"
    # Ajouter ici la logique de journalisation ou d'alerte
} else {
    Write-Output "OK : Le pare-feu du réseau privé est activé"
}

Vérification : Confirmez que vos appareils cibles apparaissent dans les rapports de conformité avec le statut "Conforme" dans les 24 heures suivant le déploiement de la politique.

Abordez les problèmes courants qui peuvent empêcher l'application correcte de la politique de pare-feu. Utilisez ces étapes de dépannage lorsque les appareils n'affichent pas un statut conforme ou que les paramètres de pare-feu ne sont pas appliqués correctement.

Problème 1 : Politique non appliquée

# Vérifier le statut d'enregistrement de l'appareil
dsregcmd /status | findstr "AzureAdJoined\|DomainJoined\|WorkplaceJoined"

# Vérifier l'extension de gestion Intune
Get-Process -Name "Microsoft.Management.Services.IntuneWindowsAgent" -ErrorAction SilentlyContinue

# Vérifier les journaux d'événements pour les erreurs de politique
Get-WinEvent -LogName "Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Admin" -MaxEvents 50

Problème 2 : Conflits de stratégie de groupe

# Vérifier les paramètres GPO conflictuels
gpresult /r /scope:computer | findstr "Firewall"

# Voir les stratégies de groupe appliquées
gpresult /h c:\temp\gpresult.html

Problème 3 : Remplacements par l'administrateur local

Empêchez les administrateurs locaux de désactiver le pare-feu en ajoutant ce paramètre à votre politique :

Paramètre : Pare-feu réseau privé - Empêcher les utilisateurs de désactiver le pare-feu
Valeur : Activer

Étapes de résolution courantes :

1. Forcer la synchronisation de l'appareil : Get-ScheduledTask -TaskName "PushLaunch" | Start-ScheduledTask
2. Redémarrer le service de pare-feu Windows : Restart-Service -Name "MpsSvc" -Force
3. Effacer le cache de la politique : Remove-Item "C:\Windows\System32\GroupPolicy\Machine\Registry.pol" -Force
4. Redémarrer l'appareil si des problèmes persistants surviennent

Vérification : Après le dépannage, exécutez Get-NetFirewallProfile -Profile Private à nouveau pour confirmer que le pare-feu est correctement configuré et activé.