Windows Firewall dan aplikasi bisnis — daftarkan aturan masuk dari penginstal

“Di mesin pengembangan berjalan tanpa masalah, tetapi setelah dipasang di pelanggan, klien tidak tersambung ke server.” “Saat peluncuran pertama ada semacam peringatan, dan orang di lapangan tampaknya membatalkannya.” “netstat menunjukkan port sedang menunggu, tetapi dari PC sebelah tidak sampai” — di lapangan penerapan aplikasi bisnis, pertanyaan “tidak bisa berkomunikasi” jenis ini adalah yang paling klasik. Dan yang terus duduk di peringkat atas penyebabnya adalah Windows Firewall (Windows Defender Firewall).

Yang merepotkan, di mesin pengembangan masalahnya tidak terlihat. Di mesin pengembangan, Anda sendiri menekan izinkan saat debug Visual Studio, atau Anda sendiri administrator, jadi produk dikirim tanpa menyadari blok masuk default. Sementara di pelanggan, yang mengoperasikan adalah pengguna umum tanpa hak administrator, dan jaringan dikelola dengan GPO. Bukan “yang seharusnya jalan tidak jalan”, melainkan «mesin pengembangan kebetulan jalan» yang merupakan kenyataannya.

Artikel ini ditujukan kepada pengembang aplikasi bisnis yang menghadapi “tidak bisa berkomunikasi di pelanggan” pada aplikasi buatan sendiri, dan staf TI usaha kecil dan menengah yang menerima pertanyaan itu. Setelah menguasai setidaknya perilaku default Windows Firewall dan mekanisme profil, artikel ini menata desain aturan masuk, praktik pendaftaran dari penginstal, langkah pemilahan, dan poin perhatian di bawah pengelolaan GPO/Intune, berdasarkan informasi primer per Agustus 2026.

1. Intinya dulu

• Default Windows Firewall adalah «masuk diblokir, keluar diizinkan». Lalu lintas masuk yang bukan respons terhadap permintaan dibuang kecuali cocok dengan aturan.¹
• Aturan masuk hanya diperlukan untuk aplikasi bertipe server yang menunggu port. Aplikasi klien yang hanya tersambung sendiri dapat berkomunikasi dengan default. Pilah di sini dulu.¹
• Ada tiga profil (domain/privat/publik). Domain diterapkan otomatis saat pengontrol domain terdeteksi; publik adalah default jaringan yang tidak dikenali. Aturan aktif atau tidak diputuskan per profil.¹
• Jangan serahkan produksi pada dialog «Peringatan penting» itu. Jika administrator membatalkan, aturan blok dibuat; bagi pengguna tanpa hak administrator, aturan blok dibuat apa pun tombol yang ditekan. Sampai aturan yang dibuat dihapus, dialog tidak ditampilkan ulang.²
• Kesimpulannya: «daftarkan aturan masuk aplikasi bisnis dari penginstal». Microsoft sendiri merekomendasikan menempatkan aturan sebelum peluncuran pertama, dan menonaktifkan notifikasi masuk.²
• Rancang aturan dengan hak minimum. Berporos pada program + protokol + port, batasi profil ke domain/privat, dan sempitkan IP jarak jauh ke subnet yang diperlukan. Wildcard tidak dapat dipakai pada jalur program.²³
• Pemilahan dalam urutan Test-NetConnection → Get-NetFirewallRule → pfirewall.log. Log firewall secara default tidak ditulis; baru muncul setelah pencatatan paket yang dibuang diaktifkan.⁴⁵⁶
• Penonaktifan keseluruhan dengan menghentikan layanan di luar dukungan. Di bawah pengelolaan GPO/Intune, «penggabungan aturan lokal» kadang dinonaktifkan, dan saat itu aturan lokal tidak berlaku. Ajukan distribusi terpusat aturan ke staf TI.¹²

Peta pengetahuan artikel ini

Default Windows Firewall adalah blok masuk dan izinkan keluar, dan aturan masuk hanya diperlukan untuk aplikasi bisnis bertipe server yang menunggu port. Jika aplikasi tanpa aturan mulai menunggu, dialog «Peringatan penting» ditampilkan, tetapi tergantung operasi, aturan blok dapat terbakar dan menjadi penyebab gangguan tidak bisa berkomunikasi, jadi prinsipnya daftarkan aturan masuk dari penginstal. Di bawah pengelolaan GPO/Intune, penggabungan aturan lokal dinonaktifkan, dan aturan yang didaftarkan secara lokal kadang tidak diterapkan.

flowchart LR
    accTitle: Peta pengetahuan Windows Firewall dan aplikasi bisnis
    accDescr: Diagram yang menunjukkan hubungan Windows Firewall, aturan masuk, aplikasi yang menunggu, dialog «Peringatan penting», penginstal dan hak administrator, penyempitan aturan (penetapan program, pembatasan IP jarak jauh), penggabungan aturan lokal, gangguan tidak bisa berkomunikasi, dan perintah pemilahan
    windows_firewall["Windows Firewall"]
    inbound_rule["aturan masuk"]
    listen_app["aplikasi bisnis yang menunggu"]
    installer["penginstal"]
    network_profile["profil jaringan"]
    communication_failure["gangguan «tidak bisa berkomunikasi»"]
    firewall_notification["dialog «Peringatan penting»"]
    exe_path_change["perubahan jalur berkas eksekusi"]
    pfirewall_log["log firewall (pfirewall.log)"]
    group_policy["Kebijakan Grup"]
    intune["Microsoft Intune"]
    local_policy_merge["penggabungan aturan lokal"]
    mpssvc["layanan firewall (MpsSvc)"]
    port_rule["aturan berbasis port"]
    over_permission["izin berlebih pada aturan"]
    test_netconnection["Test-NetConnection"]
    get_netfirewallrule["Get-NetFirewallRule"]
    unsolicited_inbound["lalu lintas masuk yang tidak diminta"]
    netsh_advfirewall["netsh advfirewall"]
    new_netfirewallrule["New-NetFirewallRule"]
    admin_rights["hak administrator"]
    remote_ip_scope["pembatasan IP jarak jauh"]
    program_rule["aturan berbasis program"]
    mpssvc_stop["penghentian layanan MpsSvc"]
    firewall_disable["menonaktifkan firewall"]
    named_pipe["named pipe"]
    smb_445["SMB (TCP 445)"]
    get_netconnectionprofile["Get-NetConnectionProfile"]
    block_rule["aturan blok"]
    notify_disable["menonaktifkan notifikasi masuk"]
    service_rule["aturan berbasis layanan"]
    profile_limit["pembatasan profil"]
    updater_reregistration["pendaftaran ulang aturan saat pembaruan"]
    netstat["netstat"]
    listen_app -->|"mensyaratkan"| inbound_rule
    installer -->|"disarankan untuk"| inbound_rule
    network_profile -.->|"dapat menyebabkan"| communication_failure
    firewall_notification -.->|"dapat menyebabkan"| communication_failure
    exe_path_change -.->|"dapat menyebabkan"| communication_failure
    communication_failure -->|"diverifikasi dengan"| pfirewall_log
    windows_firewall -->|"dikonfigurasi dengan"| group_policy
    windows_firewall -->|"dikonfigurasi dengan"| intune
    inbound_rule -.->|"mensyaratkan"| local_policy_merge
    mpssvc -->|"mengimplementasikan"| windows_firewall
    windows_firewall -->|"menggunakan"| network_profile
    port_rule -.->|"dapat menyebabkan"| over_permission
    exe_path_change -.->|"dapat menyebabkan"| firewall_notification
    firewall_notification -->|"dikonfigurasi dengan"| group_policy
    communication_failure -->|"diverifikasi dengan"| test_netconnection
    communication_failure -->|"diverifikasi dengan"| get_netfirewallrule
    windows_firewall -->|"mencegah"| unsolicited_inbound
    inbound_rule -->|"dikonfigurasi dengan"| netsh_advfirewall
    inbound_rule -->|"dikonfigurasi dengan"| new_netfirewallrule
    inbound_rule -->|"mensyaratkan"| admin_rights
    remote_ip_scope -->|"mengurangi"| over_permission
    program_rule -->|"mengurangi"| over_permission
    firewall_notification -->|"tidak disarankan"| inbound_rule
    mpssvc_stop -->|"tidak disarankan"| firewall_disable
    remote_ip_scope -->|"disarankan untuk"| over_permission
    program_rule -->|"disarankan untuk"| over_permission
    named_pipe -->|"menggunakan"| smb_445
    network_profile -->|"diverifikasi dengan"| get_netconnectionprofile
    firewall_notification -.->|"dapat menyebabkan"| block_rule
    block_rule -->|"dapat menyebabkan"| communication_failure
    notify_disable -->|"mencegah"| firewall_notification
    service_rule -->|"mengurangi"| over_permission
    profile_limit -->|"mengurangi"| over_permission
    updater_reregistration -->|"disarankan untuk"| exe_path_change
    communication_failure -->|"diverifikasi dengan"| netstat

Pada diagram, garis utuh menunjukkan relasi yang selalu berlaku dan garis putus-putus menunjukkan relasi bersyarat (syaratnya ada pada penjelasan masing-masing relasi di halaman rincian). Daftar lengkap relasi (total 35, beserta bukti dan tingkat kepastian) serta definisi konsep utama dikumpulkan di halaman rincian peta pengetahuan (dalam bahasa Jepang). Data: JSON-LD / Turtle

2. Perilaku default dengan tepat — masuk diblokir secara default, keluar diizinkan secara default

Pertama, kuasai fondasinya dengan tepat. Windows Firewall adalah firewall berbasis host yang aktif secara default di semua edisi, dan perilaku defaultnya habis dalam dua baris ini.¹

• Masuk (inbound): semua diblokir kecuali merupakan respons terhadap permintaan (solicited) atau cocok dengan aturan
• Keluar (outbound): semua diizinkan kecuali cocok dengan aturan

Dari dua baris ini muncul pemilahan paling penting bagi aplikasi bisnis. Aturan masuk hanya diperlukan di «sisi yang menunggu».

• Aplikasi klien yang hanya tersambung sendiri ke server web, server DB, atau sistem inti internal → pada prinsipnya aturan tidak perlu. Paket balik sambungan adalah «respons terhadap permintaan» jadi lolos secara default.
• Aplikasi bertipe server atau layanan Windows yang membuka port dan menunggu sambungan dengan TCP, gRPC, protokol sendiri, dll. → aturan masuk wajib.
• Selain itu, konfigurasi yang memakai named pipe dari jarak jauh adalah pengecualian. Named pipe jarak jauh tidak lewat port aplikasi sendiri melainkan lewat SMB (TCP 445), jadi yang diperlukan bukan aturan aplikasi melainkan aturan sisi berbagi berkas (SMB).
• Pengecualiannya adalah lingkungan berkeamanan tinggi yang secara eksplisit mengubah default keluar menjadi blok. Konfigurasi ini hanya ada di sebagian organisasi, tetapi dalam kasus itu aplikasi klien juga perlu mengajukan aturan keluar.²

flowchart TB
    accTitle: Aturan masuk hanya diperlukan di sisi yang menunggu
    accDescr: Jika hanya tersambung sebagai klien, aturan masuk pada prinsipnya tidak perlu; jika membuka port dan menunggu, daftarkan aturan masuk dari penginstal
    APP["inventaris komunikasi aplikasi sendiri"] --> Q{"apakah membuka port dan<br/>menunggu sambungan?"}
    Q -- "tidak menunggu<br/>(hanya tersambung sebagai klien)" --> C1["aturan masuk pada prinsipnya tidak perlu<br/>balik sambungan lolos sebagai «respons»"]
    Q -- "menunggu<br/>(tipe server, penerimaan callback)" --> S1["aturan masuk wajib<br/>→ daftarkan dari penginstal (bab 5)"]
    C1 -.-> EX["pengecualian: di lingkungan berkeamanan tinggi<br/>dengan blok keluar default, ajukan aturan keluar"]

Gambar 1: Jika port menunggu, aturan masuk wajib; sambungan hanya sebagai klien pada prinsipnya tidak memerlukan aturan.

Kasus «aplikasi yang seharusnya klien ternyata juga menunggu» (penerimaan callback hasil, tempat menerima notifikasi dari proses lain, dll.) mudah terlewat. Jika cara komunikasi yang dipakai aplikasi buatan sendiri untuk menunggu masih kabur, konfirmasi juga “cara memilih komunikasi antardalam proses” sebagai penataan di tahap desain.

2.1. Profil dan «lokasi jaringan»

Aturan diterapkan per profil jaringan. Ada tiga profil.¹

Profil mana yang sedang diterapkan dapat dikonfirmasi dengan Get-NetConnectionProfile, dan peralihan privat/publik dilakukan dengan Set-NetConnectionProfile.¹ Insiden yang sering di lapangan: di lingkungan workgroup pelanggan, jaringan dinilai «publik», dan aturan masuk yang dibuat terbatas domain/privat tidak diterapkan. Saat «aturan ada tetapi tidak lolos», curigai kecocokan profil sebelum isi aturan.

2.2. Prioritas aturan

Evaluasi saat ada beberapa aturan bukan daftar urutan berbobot, melainkan diputuskan oleh prinsip konsisten berikut.²

1. Aturan izinkan eksplisit mengalahkan blok default
2. Aturan blok eksplisit mengalahkan aturan izinkan yang berkonflik
3. Dalam rentang yang tidak bertentangan dengan 2 di atas, aturan yang lebih spesifik diutamakan

Implikasi praktisnya: «jika ada satu aturan blok di suatu tempat, menambahkan aturan izinkan sebanyak apa pun kemudian tidak menang». Seperti terlihat di bab berikutnya, justru aturan blok inilah yang dibuat diam-diam oleh dialog itu.

3. Identitas dialog «Peringatan penting» — alasan tidak boleh diandalkan

Ketika aplikasi pertama kali mulai menunggu (listen) port, jika tidak ada aturan izinkan maupun aturan yang ditetapkan administrator untuk aplikasi itu, Windows menampilkan dialog «Peringatan penting Keamanan Windows» yang familiar: “Beberapa fitur aplikasi ini diblokir oleh Windows Defender Firewall”. Spesifikasi perilakunya jelas.²

• Jika ditampilkan kepada pengguna dengan hak administrator: aturan izinkan dibuat dengan «Izinkan akses». Namun jika «Batal» ditekan, aturan blok dibuat. Biasanya dua: untuk TCP dan UDP.
• Jika ditampilkan kepada pengguna tanpa hak administrator: aturan blok dibuat apa pun pilihan yang dipilih.
• Dalam kedua kasus, sampai aturan yang dibuat dihapus, dialog tidak pernah ditampilkan lagi, dan komunikasi terus diblokir.

flowchart TB
    accTitle: Percabangan dialog «Peringatan penting»
    accDescr: Jika tidak ada aturan dan notifikasi masuk aktif, dialog muncul, dan jika Batal atau pengguna umum mengoperasikan, aturan blok dibuat dan dialog tidak pernah muncul lagi
    L["aplikasi mulai menunggu port"] --> Q1{"apakah ada aturan yang cocok<br/>untuk aplikasi itu?"}
    Q1 -- "ada" --> R1["mengikuti aturan<br/>(dialog tidak muncul)"]
    Q1 -- "tidak" --> Q2{"apakah notifikasi masuk<br/>aktif?"}
    Q2 -- "nonaktif" --> R2["diblokir diam-diam<br/>(aturan tidak dibuat)"]
    Q2 -- "aktif" --> DLG["dialog «Peringatan penting»"]
    DLG -- "administrator «Izinkan akses»" --> OK["aturan izinkan dibuat"]
    DLG -- "administrator «Batal»" --> NG1["aturan blok dibuat"]
    DLG -- "pengguna tanpa hak administrator<br/>(operasi apa pun)" --> NG2["aturan blok dibuat"]
    NG1 --> NEVER["sampai aturan dihapus,<br/>dialog tidak pernah muncul lagi"]
    NG2 --> NEVER

Gambar 2: Membatalkan dialog atau operasi pengguna tanpa hak membakar aturan blok; dialog tidak muncul lagi sampai aturan dihapus.

Artinya, dialog ini tampak sebagai «mekanisme meminta izin kepada pengguna», tetapi di lapangan aplikasi bisnis ia bekerja sebagai «mekanisme yang membakar aturan blok begitu pengguna umum menyentuhnya». Jika petugas penerapan meluncurkan pertama kali dengan akun administrator dan mengizinkan di dialog, aturan izinkan yang dibuat berlaku untuk seluruh PC, jadi pengguna umum keesokan harinya untuk sementara dapat berkomunikasi. Meski begitu insiden tetap ada — ketika pengguna umum pertama kali menginjak menunggu yang tidak diinjak saat konfirmasi penerapan, ketika profil jaringan yang diterapkan berbeda dari saat penerapan, dan ketika jalur exe berubah karena pembaruan (bab 4 dan 5).

Microsoft sendiri secara eksplisit menyatakan praktik terbaik berikut untuk perangkat yang dipakai orang selain administrator.²

1. Tempatkan aturan yang diperlukan sebelum peluncuran pertama aplikasi (penginstal atau distribusi sisi pengelolaan)
2. Nonaktifkan notifikasi masuk (jika notifikasi diputus, pembuatan aturan otomatis saat runtime sendiri tidak dilakukan)

Penonaktifan notifikasi dapat dilakukan dengan Set-NetFirewallProfile -NotifyOnListen False, atau dengan Group Policy.⁷ «Jika dialog muncul, minta orang di lapangan menekan izinkan» bukan prosedur operasi, melainkan reservasi insiden. Daftarkan aturan masuk saat pemasangan — ini kesimpulan artikel ini, dan sejalan dengan rekomendasi Microsoft.

4. Desain aturan masuk — penetapan program, penetapan port, penetapan layanan

Isi aturan yang didaftarkan dirancang. Ada tiga sistem besar cara penetapan, dan Anda memutuskan dipakai sendiri atau dikombinasikan.

Di atas itu, tumpuk pembatasan cakupan. Rekomendasi desain Microsoft juga “buat aturan masuk sespesifik mungkin”.²

• Pembatasan profil: aturan masuk aplikasi bisnis yang hanya dipakai internal dibatasi ke domain/privat, dan tidak diaktifkan di publik. Mencegah insiden port menunggu terbuka ke dunia begitu notebook tersambung ke Wi-Fi di luar.
• Pembatasan IP jarak jauh: jika sumber sambungan sudah ditentukan, sempitkan -RemoteAddress ke subnet itu. Untuk jaringan rumah/kecil, pembatasan dengan kata kunci LocalSubnet direkomendasikan.²³
• Arah dan jumlah: jika menunggu hanya TCP, satu aturan TCP cukup. Jangan membuat aturan TCP/UDP keduanya secara inersia seperti yang dibuat otomatis dialog.

«Hanya dari pihak yang diperlukan, ke port yang diperlukan, hanya program yang diperlukan» — desain aturan masuk habis dalam satu kalimat hak minimum ini.

5. Praktik pendaftaran dari penginstal — netsh dan New-NetFirewallRule

5.1. Prasyarat: hak administrator diperlukan

Penambahan dan penghapusan aturan firewall adalah perubahan pengaturan seluruh komputer, jadi perlu dijalankan dengan hak administrator (proses yang ditingkatkan).⁸ Penginstal biasanya berjalan dengan hak administrator, jadi masuk akal menempatkan pendaftaran aturan di dalam pemrosesan pemasangan. Ini bukan alasan menjalankan tubuh aplikasi sebagai administrator. Cara berpikir garis ini dibahas secara rinci di “kapan hak administrator diperlukan”.

5.2. Pendaftaran dengan netsh advfirewall

Klasik, tetapi yang mudah dipanggil dari penginstal mana pun adalah netsh advfirewall firewall add rule.⁸

rem add rule menambahkan meski aturan bernama sama sudah ada, jadi untuk
rem eksekusi ulang pada pemasangan ulang, perbaikan, dan pembaruan, hapus
rem aturan bernama sama dulu lalu daftarkan ulang
netsh advfirewall firewall delete rule name="MyCompany OrderServer"

rem aturan izinkan masuk penetapan program + penetapan port + pembatasan profil
netsh advfirewall firewall add rule name="MyCompany OrderServer" dir=in action=allow program="C:\Program Files\MyCompany\OrderServer\OrderServer.exe" protocol=TCP localport=50051 profile=domain enable=yes

rem saat copot: hapus menurut nama
netsh advfirewall firewall delete rule name="MyCompany OrderServer"

add rule menambahkan dengan nama yang sama tanpa mengganti aturan bernama sama yang ada, jadi jika delete rule tidak dijalankan dulu, aturan berkembang biak setiap eksekusi ulang, dan aturan izinkan lama tetap hidup setelah pembaruan yang mengubah jalur atau cakupan (pada eksekusi pertama, delete rule di depan mengembalikan bahwa “tidak ada aturan yang cocok”, tetapi eksekusi batch berlanjut, jadi urutan ini tidak masalah. Jika penginstal menilai berhasil/gagal dengan kode keluar, lihat hasil add rule di akhir). Sumber sambungan juga dapat disempitkan seperti remoteip=157.60.0.1,172.16.0.0/16,LocalSubnet.⁸ Penghapusan menghapus sekaligus aturan yang cocok menurut nama, jadi jadikan nama aturan unik dengan awalan perusahaan sendiri lebih aman.

5.3. Pendaftaran dengan PowerShell (New-NetFirewallRule)

Untuk pengendalian lebih rinci, modul NetSecurity. -DisplayName wajib; -Profile dapat menetapkan beberapa dengan dipisah koma (tanpa spasi).³

# Pendaftaran (jalankan dari penginstal dalam keadaan ditingkatkan). -Name adalah
# pengidentifikasi unik, jadi eksekusi ulang pada pemasangan ulang, perbaikan,
# dan pembaruan error jika aturan bernama sama dibuat. Jadikan idempoten
# dengan menghapus aturan bernama sama yang ada lalu membuat ulang
Remove-NetFirewallRule -Name "MyCompany-OrderServer-In" -ErrorAction SilentlyContinue
New-NetFirewallRule -Name "MyCompany-OrderServer-In" `
    -DisplayName "MyCompany OrderServer (TCP 50051 masuk)" `
    -Direction Inbound -Action Allow `
    -Program "C:\Program Files\MyCompany\OrderServer\OrderServer.exe" `
    -Protocol TCP -LocalPort 50051 `
    -Profile Domain,Private -RemoteAddress LocalSubnet

# Saat copot: jangan error meski tidak ada
Remove-NetFirewallRule -Name "MyCompany-OrderServer-In" -ErrorAction SilentlyContinue

Ada alasan -Name dinyatakan di sini. -Name adalah pengidentifikasi unik aturan; jika dihilangkan, nilai acak diberikan. Nama tampilan (-DisplayName) dapat berubah tergantung lokal, jadi kunci untuk mengidentifikasi aturan dari skrip memakai -Name, menurut panduan Microsoft.³ Agar pencopot pasti hanya menghapus aturannya sendiri, anggap penetapan -Name wajib.

5.4. Jika jalur exe berubah karena pembaruan

Aturan penetapan program mengunci sasaran dengan jalur penuh. Artinya, jika lokasi pemasangan atau nama exe berubah karena pembaruan, aturan tetap ada tetapi kehilangan sasaran, dan menunggu diblokir lagi. Saat itu, exe jalur baru diperlakukan sebagai «aplikasi tanpa aturan», jadi di lingkungan notifikasi aktif dialog bab 3 muncul lagi, dan jika pengguna umum mengoperasikan, aturan blok terbakar. Di lingkungan yang menonaktifkan notifikasi sesuai rekomendasi bab 3, gagal diam-diam tanpa dialog pun. Insiden ini mudah terjadi terutama pada cara penempatan ke folder berisi nomor versi, atau cara penempatan yang bergerak dengan pembaruan sendiri.

flowchart TB
    accTitle: Jika jalur exe berubah karena pembaruan, aturan kehilangan sasaran
    accDescr: Aturan penetapan program mengunci jalur penuh, jadi jika lokasi pemasangan berubah sasaran hilang, dan menurut ada tidaknya notifikasi dialog ditampilkan ulang atau diblokir diam-diam
    V1["pasang v1.0<br/>aturan menunjuk exe di folder v1.0"] --> UP["pembaruan menempatkan ke folder v1.1<br/>jalur exe yang dijalankan berubah"]
    UP --> MISS["aturan jalur lama kehilangan sasaran<br/>(aturan ada tetapi tidak berlaku)"]
    MISS --> Q{"apakah notifikasi masuk<br/>aktif?"}
    Q -- "aktif" --> DLG["dialog ditampilkan ulang<br/>jika pengguna umum menyentuh, aturan blok"]
    Q -- "nonaktif" --> SILENT["diblokir diam-diam<br/>tanpa dialog pun"]
    MISS -.->|"tindakan"| FIX["kunci jalur lintas pembaruan<br/>atau hapus aturan lama lalu daftarkan ulang dalam pemrosesan pembaruan"]

Gambar 3: Jika jalur exe berubah karena pembaruan, aturan lama kehilangan sasaran; kunci jalurnya atau daftarkan ulang saat pembaruan.

Tindakannya sederhana, salah satu berikut.

• Kunci lokasi pemasangan, dan jadikan penempatan di mana jalur penuh exe tidak berubah lintas pembaruan
• Pada pembaruan yang jalur berubah, updater menghapus aturan lama dan mendaftarkan ulang dengan jalur baru (jalankan juga perintah 5.2/5.3 dalam pemrosesan pembaruan)

Jika MSI, pendaftaran aturan sebagai custom action yang dijalankan setelah penempatan berkas (saat copot, custom action sisi penghapusan) adalah praktik baku. Toolset seperti WiX juga punya perluasan yang mendeskripsikan aturan firewall secara deklaratif. Lokasi implementasi berubah menurut cara distribusi yang dipilih, jadi lihat juga “cara memilih cara distribusi aplikasi Windows”. Selain itu, deteksi keliru antivirus — gangguan klasik lain saat penerapan di pelanggan — dibahas di “penanganan deteksi keliru Microsoft Defender”.

6. Pemecahan masalah — alur pemilahan «tidak bisa berkomunikasi»

Langkah saat menerima pertanyaan dipakukan secara berurutan. Alur keseluruhan sebagai berikut.

flowchart TB
    accTitle: Pemilahan «tidak bisa berkomunikasi»
    accDescr: Konfirmasi berurutan menunggu sisi server, keterjangkauan sisi klien, kecocokan profil, aturan di ActiveStore, dan DROP di log
    S["«klien tidak bisa berkomunikasi»"] --> N["sisi server: netstat -ano"]
    N -- "tidak menunggu" --> APP["masalah sebelum firewall<br/>selidiki sisi aplikasi/layanan"]
    N -- "LISTENING" --> T["sisi klien: Test-NetConnection"]
    T -- "TcpTestSucceeded=True" --> OTHER["keterjangkauan normal<br/>selidiki lapisan aplikasi (autentikasi, protokol)"]
    T -- "False" --> P["sisi server: Get-NetConnectionProfile<br/>konfirmasi profil yang diterapkan"]
    P -- "tidak cocok dengan sasaran aturan" --> FIXP["tinjau penetapan profil aturan"]
    P -- "cocok" --> R["Get-NetFirewallRule -PolicyStore ActiveStore<br/>konfirmasi ada/tidaknya aturan izinkan dan masuknya aturan blok"]
    R --> LOGCHK["ukur pembuangan (DROP) di pfirewall.log"]

Gambar 4: Pemilahan mekanis: netstat → Test-NetConnection → profil → aturan ActiveStore → pfirewall.log.

Catatan langkah 4. Syarat port dan program ada di sisi objek filter, bukan tubuh aturan, jadi untuk menelusuri aturan dari port, kueri lewat filter.⁵⁷

# Telusuri aturan terkait port 50051
Get-NetFirewallPortFilter | Where-Object { $_.LocalPort -eq 50051 } | Get-NetFirewallRule

# Lacak asal aturan (lokal atau GPO)
Get-NetFirewallRule -PolicyStore ActiveStore -TracePolicyStore |
    Select-Object Name, DisplayName, PolicyStoreSourceType, PolicyStoreSource

Log firewall (pfirewall.log) langkah 5 secara default tidak mencatat apa pun. Jalur default adalah %windir%\system32\logfiles\firewall\pfirewall.log, ukuran maksimum default 4.096 KB, dan baru ditulis setelah salah satu «catat paket yang dibuang ke log» atau «catat sambungan yang berhasil ke log» diaktifkan.⁶ Di mesin tunggal, dapat diaktifkan sebagai berikut.⁶

netsh advfirewall set allprofiles logging droppedconnections enable
netsh advfirewall set allprofiles logging allowedconnections enable

Log adalah berkas teks, dan per baris mencatat apakah dibuang (DROP) atau diizinkan (ALLOW), protokol, IP dan port sumber/tujuan, jadi di sini dapat dipastikan “apakah SYN dari klien sampai lalu dibuang, atau tidak sampai sama sekali”. Selain itu, di lingkungan yang mengonfigurasi log dengan kebijakan, hak tulis ke folder log (FullControl layanan mpssvc) kadang kurang sehingga berkas tidak dibuat; dalam kasus itu pembuatan folder dan pemberian ACL diperlukan.⁶

Jika menggali lebih dalam, mengaktifkan kebijakan audit «Packet Drop pada Filtering Platform» mencatat peristiwa keamanan 5152 setiap kali pembuangan. Namun volume peristiwa sangat besar, jadi Microsoft menganjurkan memakai peristiwa 5157 (sambungan Filtering Platform) yang dicatat per sambungan. Ini alat yang diaktifkan hanya selama pemilahan, bukan pemakaian sehari-hari.⁹

Terakhir, perjelas pemilahan yang tidak boleh dilakukan. Penonaktifan keseluruhan dengan menghentikan layanan firewall (MpsSvc) di luar dukungan, dan menimbulkan masalah sisi OS seperti menu Mulai yang tidak bergerak atau pembaruan aplikasi Store yang gagal. Jika tetap ingin menonaktifkan untuk memastikan, nonaktifkan profil dengan Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled False sambil layanan tetap berjalan, dan segera kembalikan setelah konfirmasi.¹⁷ Dan jika sudah dipastikan penyebabnya firewall, penanganannya bukan menonaktifkan secara permanen melainkan menambah satu aturan yang benar.

7. Perhatian di bawah pengelolaan organisasi — lingkungan di mana aturan lokal tidak berlaku, dan tata cara pengajuan

Meski aturan didaftarkan dari penginstal, ada lingkungan di mana ia tidak berlaku. Di organisasi yang mengelola firewall secara terpusat dengan GPO atau Intune (CSP), «penggabungan aturan lokal» (AllowLocalPolicyMerge) dapat dinonaktifkan per profil. Jika pengaturan ini nonaktif, aturan yang dibuat administrator lokal (termasuk penginstal) tidak diterapkan, dan aturan aplikasi yang memerlukan sambungan masuk wajib didistribusikan terpusat dari GPO/CSP.²

flowchart TB
    accTitle: Jika penggabungan aturan lokal nonaktif, pendaftaran penginstal tidak berlaku
    accDescr: Di lingkungan AllowLocalPolicyMerge nonaktif, aturan lokal ada tetapi tidak diterapkan, jadi beralih ke distribusi terpusat GPO atau CSP
    GPOR["aturan yang didistribusikan dengan GPO/Intune"] --> EFF["himpunan aturan yang benar-benar berlaku<br/>(ActiveStore)"]
    LOCAL["aturan yang dibuat secara lokal<br/>(termasuk pendaftaran penginstal)"] --> Q{"penggabungan aturan lokal<br/>(AllowLocalPolicyMerge)"}
    Q -- "aktif (default)" --> EFF
    Q -- "nonaktif" --> DROP["aturan ada tetapi tidak diterapkan<br/>→ beralih ke distribusi terpusat GPO/CSP"]

Gambar 5: Jika penggabungan aturan lokal nonaktif, aturan penginstal tidak berlaku; distribusi terpusat lewat GPO/CSP diperlukan.

Kesiapan realistis sisi pengembangan dan penerapan sebagai berikut.

• Jadikan pendaftaran aturan penginstal desain yang «tidak gagal» (pendaftaran itu sendiri berhasil, jadi tidak terdeteksi sebagai error. Sertakan konfirmasi konektivitas setelah penerapan ke prosedur)
• Dengan langkah 4 bab 6 (-TracePolicyStore), konfirmasi apakah asal aturan yang berlaku lokal atau GPO⁵
• Jika diketahui aturan lokal tidak berlaku, beralih ke pengajuan distribusi aturan ke departemen TI

Serahkan informasi berikut sebagai satu set pada pengajuan. Aturan firewall baru dapat dibuat setelah arah, program, port, dan cakupan lengkap, jadi ini langsung menjadi «spesifikasi jaringan aplikasi bisnis».

Dari sisi staf TI, volume kerja sangat berbeda antara pengajuan yang punya tabel ini dan yang tidak. Sebaliknya, «tolong buka» hanya dengan nomor port cenderung menjadi izin berlebih seperti terlihat di bab 4. Selain itu, persyaratan komunikasi seputar berbagi berkas dan autentikasi di lingkungan domain juga berubah dengan pengencangan terpisah dari firewall (keharusan penandatanganan, dll.). Lihat juga “SMB signing dan LDAP channel binding”.

8. Ringkasan

• Default Windows Firewall adalah blok masuk, izinkan keluar. Aturan masuk hanya diperlukan untuk aplikasi bertipe server yang menunggu; jika hanya tersambung sebagai klien, pada prinsipnya tidak perlu.
• Aturan diterapkan per profil (domain/privat/publik). Tersangka pertama «aturan ada tetapi tidak lolos» adalah ketidakcocokan profil.
• Dialog «Peringatan penting» membuat aturan blok saat batal atau operasi pengguna tanpa hak, dan setelah itu tidak ditampilkan ulang. Jangan serahkan operasi produksi pada dialog ini.
• Daftarkan aturan masuk aplikasi bisnis dari penginstal — ini satu-satunya prinsip. Pendaftaran dengan hak administrator, dan implementasikan termasuk penghapusan dengan -Name yang dikunci.
• Aturan berporos pada program + protokol + port, lalu disempitkan dengan profil dan IP jarak jauh. Jika jalur exe berubah karena pembaruan, jangan lupa pendaftaran ulang aturan.
• Pemilahan secara mekanis dalam urutan netstat → Test-NetConnection → konfirmasi profil → Get-NetFirewallRule (ActiveStore) → pfirewall.log. Penonaktifan dengan menghentikan layanan di luar dukungan.
• Di bawah pengelolaan GPO/Intune, penggabungan aturan lokal kadang dinonaktifkan. Saat itu, ajukan distribusi ke staf TI dengan nama aturan, arah, program, port, IP jarak jauh, dan profil yang lengkap.

Artikel terkait

• Cara memilih komunikasi antardalam proses Windows — tabel keputusan named pipe / TCP / gRPC / memori bersama / COM
• Cara memilih cara distribusi aplikasi Windows — MSI/MSIX/ClickOnce/xcopy/pembaruan sendiri
• Kapan hak administrator Windows benar-benar diperlukan — UAC, area terlindungi, dan cara membedakannya dalam desain
• Jika aplikasi Windows buatan sendiri dianggap virus — penanganan deteksi keliru Microsoft Defender, dan cara bergaul dengan dampak kinerja
• SMB signing dan LDAP channel binding — mengencangkan «separuh yang tersisa» dari tindakan NTLM di praktik
• Cara membuat dan mengoperasikan layanan Windows — dari memilih antara Penjadwal Tugas dan layanan sampai menjadikan BackgroundService sebagai layanan

Area konsultasi terkait

KomuraSoft LLC menangani desain penginstal aplikasi bisnis bertipe server (termasuk pendaftaran dan penghapusan aturan firewall), investigasi penyebab «tidak bisa berkomunikasi» di lingkungan pelanggan, dan penataan persyaratan jaringan yang mengantisipasi penerapan di bawah pengelolaan GPO. Tidak apa-apa memulai dari pemilahan «jalan di mesin pengembangan tetapi tidak di pelanggan».

• Pengembangan aplikasi Windows
• Investigasi bug dan akar masalah
• Konsultasi teknis dan tinjauan desain
• Hubungi kami

Tautan referensi

Artikel terkait

Artikel terbaru dengan tag yang sama untuk mendalami topik-topik terdekat.

Topik terkait

Halaman-halaman ini menempatkan topik dalam konteks layanan dan keputusan yang lebih luas.

Layanan yang terkait dengan topik ini

Artikel ini berkaitan langsung dengan layanan berikut.

Pertanyaan yang sering diajukan

Pertanyaan yang sering muncul dalam konsultasi tentang topik artikel ini.

Apakah aplikasi yang hanya tersambung ke server sebagai klien juga memerlukan aturan firewall?

Pada prinsipnya tidak. Default Windows Firewall adalah «masuk diblokir, keluar diizinkan», jadi aplikasi klien yang hanya tersambung sendiri dapat berkomunikasi dengan default. Aturan masuk diperlukan hanya di sisi yang membuka port dan menunggu sambungan, yaitu aplikasi bertipe server. Namun ada dua pengecualian. Di lingkungan berkeamanan tinggi, keluar juga kadang diubah menjadi blok default, dan dalam kasus itu pengajuan aturan keluar diperlukan. Selain itu, jika aplikasi klien sendiri dirancang menunggu port sebagai tempat menerima notifikasi hasil, bagian itu memerlukan aturan masuk.

Bukankah cukup menekan «Izinkan akses» pada dialog «Peringatan penting Keamanan Windows»?

Untuk saat itu cukup, tetapi operasi produksi tidak dapat diserahkan padanya. Dialog ini, jika pengguna dengan hak administrator membatalkan, membuat aturan blok. Lebih jauh, bagi pengguna tanpa hak administrator, aturan blok dibuat apa pun tombol yang ditekan. Sampai aturan yang sudah dibuat dihapus, dialog tidak pernah ditampilkan lagi, dan komunikasi terus gagal. Pada aplikasi bisnis yang dioperasikan pengguna umum di PC lapangan, keadaan «seseorang sekali membatalkan lalu komunikasi tidak bisa selamanya» mudah terjadi. Microsoft juga merekomendasikan menempatkan aturan sebelum peluncuran pertama aplikasi.

Haruskah aturan masuk dibuat dengan penetapan port atau penetapan program?

Dasarnya bukan salah satu, melainkan kombinasi. Penetapan program dapat menyempitkan sasaran dengan jalur penuh exe, tetapi jika jalur berubah karena pembaruan, aturan kehilangan sasarannya (wildcard tidak dapat dipakai). Penetapan port membuat pengajuan ke staf TI jelas, tetapi juga melewatkan proses lain yang menunggu di port yang sama. Pada aplikasi bisnis produksi, bentuk hak minimum adalah berporos pada «program + protokol + port», membatasi profil ke domain/privat, dan menyempitkan IP jarak jauh ke subnet tempat klien berada. Hanya jika port dinamis, pakai penetapan program saja.

Aturan yang didaftarkan penginstal tampaknya tidak berlaku di PC pelanggan. Mengapa?

Kemungkinan besar firewall pelanggan dikelola terpusat dengan GPO atau Intune, dan «penggabungan aturan lokal» (AllowLocalPolicyMerge) dinonaktifkan. Jika pengaturan ini nonaktif, aturan yang dibuat secara lokal ada di profil tetapi tidak diterapkan, dan satu-satunya cara adalah mendistribusikan aturan secara terpusat dari sisi GPO/CSP. Konfirmasi keseluruhan aturan yang berlaku dengan Get-NetFirewallRule -PolicyStore ActiveStore, lalu ajukan distribusi aturan ke departemen TI. Pengajuan yang sekali lolos menyertakan nama aturan, arah, jalur program, protokol dan port, rentang IP jarak jauh, dan profil.

Bolehkah menonaktifkan firewall sementara untuk memilah komunikasi?

Penonaktifan dengan menghentikan layanan (MpsSvc) mutlak dihindari. Ini operasi di luar dukungan Microsoft, dan menimbulkan masalah sisi OS seperti menu Mulai yang tidak bergerak atau pembaruan aplikasi Store yang gagal. Jika tetap ingin menonaktifkan untuk pemilahan, cara yang benar adalah menonaktifkan profil dengan Set-NetFirewallProfile -Enabled False sambil layanan tetap berjalan. Namun ini pun dibatasi untuk memastikan dalam beberapa menit apakah penyebabnya firewall, dan segera dikembalikan setelah konfirmasi. Operasi yang dibiarkan nonaktif adalah menukar masalah yang selesai dengan menambah satu aturan dengan ketelanjangan seluruh PC.

Profil penulis

Halaman perkenalan penulis artikel.

Go Komura

Direktur KomuraSoft LLC

Berspesialisasi dalam pengembangan perangkat lunak Windows, konsultasi teknis, dan investigasi bug, terutama pada proyek dengan sistem yang sudah ada dan bug yang sulit direproduksi.