Windows Firewall dan aplikasi bisnis — daftarkan aturan masuk lewat penginstal

“Di mesin pengembangan berjalan tanpa masalah, tetapi setelah dipasang di pelanggan, klien tidak tersambung ke server.” “Saat peluncuran pertama ada semacam peringatan, dan orang di lapangan tampaknya membatalkannya.” “netstat menunjukkan port sedang mendengarkan, tetapi dari PC sebelah tidak sampai” — di lapangan penerapan aplikasi bisnis, pertanyaan “tidak bisa berkomunikasi” jenis ini adalah yang paling klasik. Dan yang secara konsisten menempati peringkat atas penyebabnya adalah Windows Firewall (Windows Defender Firewall).

Yang merepotkan, di mesin pengembangan masalahnya tidak terlihat. Di mesin pengembangan, izin ditekan sendiri saat debug Visual Studio, atau pengembang sendiri administrator, sehingga produk dikirim tanpa menyadari blok masuk default. Sementara di pelanggan, yang mengoperasikan adalah pengguna umum tanpa hak administrator, dan jaringan dikelola dengan GPO. Bukan “yang seharusnya jalan tidak jalan”, melainkan «mesin pengembangan kebetulan jalan» yang merupakan kenyataannya.

Artikel ini ditujukan kepada pengembang aplikasi bisnis yang menghadapi “tidak bisa berkomunikasi di pelanggan” pada aplikasi buatan sendiri, dan staf TI usaha kecil dan menengah yang menerima pertanyaan itu. Setelah menguasai setidaknya perilaku default Windows Firewall dan mekanisme profil, artikel ini menata desain aturan masuk, praktik pendaftaran lewat penginstal, langkah menelusuri masalah, dan poin perhatian di bawah pengelolaan GPO/Intune, berdasarkan informasi primer per Agustus 2026.

1. Intinya dulu

• Default Windows Firewall adalah «masuk diblokir, keluar diizinkan». Lalu lintas masuk yang bukan respons terhadap permintaan dibuang kecuali cocok dengan aturan.¹
• Aturan masuk hanya diperlukan untuk aplikasi bertipe server yang mendengarkan port. Aplikasi klien yang hanya memulai koneksi sendiri dapat berkomunikasi dengan pengaturan default. Pilah di sini dulu.¹
• Ada tiga profil (domain/privat/publik). Domain diterapkan otomatis saat pengontrol domain terdeteksi; publik adalah default jaringan yang tidak dikenali. Aturan aktif atau tidak diputuskan per profil.¹
• Jangan serahkan produksi pada dialog «Peringatan penting» itu. Jika administrator membatalkan, aturan blok dibuat; bagi pengguna tanpa hak administrator, aturan blok dibuat apa pun tombol yang ditekan. Sampai aturan yang dibuat dihapus, dialog tidak ditampilkan ulang.²
• Kesimpulannya: «daftarkan aturan masuk aplikasi bisnis lewat penginstal». Microsoft sendiri merekomendasikan menempatkan aturan sebelum peluncuran pertama, dan menonaktifkan notifikasi masuk.²
• Rancang aturan dengan hak minimum. Berporos pada program + protokol + port, batasi profil ke domain/privat, dan sempitkan IP jarak jauh ke subnet yang diperlukan. Wildcard tidak dapat dipakai pada jalur program.²³
• Penelusuran dalam urutan Test-NetConnection → Get-NetFirewallRule → pfirewall.log. Log firewall secara default tidak ditulis; baru muncul setelah pencatatan paket yang dibuang diaktifkan.⁴⁵⁶
• Penonaktifan keseluruhan dengan menghentikan layanan di luar dukungan. Di bawah pengelolaan GPO/Intune, «penggabungan aturan lokal» kadang dinonaktifkan, dan saat itu aturan lokal tidak berlaku. Ajukan distribusi terpusat aturan ke staf TI.¹²

Pada diagram, garis utuh menunjukkan relasi yang selalu berlaku dan garis putus-putus menunjukkan relasi bersyarat (syaratnya ada pada penjelasan masing-masing relasi di halaman rincian). Daftar lengkap relasi (total 35, beserta bukti dan tingkat kepastian) serta definisi konsep utama dikumpulkan di halaman rincian peta pengetahuan (dalam bahasa Jepang). Data: JSON-LD / Turtle

2. Perilaku default dengan tepat — masuk diblokir secara default, keluar diizinkan secara default

Pertama, kuasai fondasinya dengan tepat. Windows Firewall adalah firewall berbasis host yang aktif secara default di semua edisi, dan perilaku defaultnya terangkum dalam dua baris ini.¹

• Masuk (inbound): semua diblokir kecuali merupakan respons terhadap permintaan (solicited) atau cocok dengan aturan
• Keluar (outbound): semua diizinkan kecuali cocok dengan aturan

Dari dua baris ini muncul pemilahan paling penting bagi aplikasi bisnis. Aturan masuk hanya diperlukan di «sisi yang mendengarkan».

• Aplikasi klien yang hanya memulai koneksi sendiri ke server web, server DB, atau sistem inti internal → pada prinsipnya aturan tidak perlu. Paket balik koneksi adalah «respons terhadap permintaan» jadi lolos secara default.
• Aplikasi bertipe server atau layanan Windows yang membuka port dan mendengarkan koneksi dengan TCP, gRPC, protokol sendiri, dan sejenisnya → aturan masuk wajib.
• Selain itu, konfigurasi yang memakai named pipe dari jarak jauh adalah pengecualian. Named pipe jarak jauh tidak lewat port aplikasi sendiri melainkan lewat SMB (TCP 445), jadi yang diperlukan bukan aturan aplikasi melainkan aturan sisi berbagi berkas (SMB).
• Pengecualiannya adalah lingkungan berkeamanan tinggi yang secara eksplisit mengubah default keluar menjadi blok. Konfigurasi ini hanya ada di sebagian organisasi, tetapi dalam kasus itu aplikasi klien juga perlu mengajukan aturan keluar.²

flowchart TB
    APP["Inventarisasi komunikasi aplikasi sendiri"] --> Q{"Apakah membuka port dan<br/>mendengarkan koneksi?"}
    Q -- "Tidak mendengarkan<br/>(hanya tersambung sebagai klien)" --> C1["Aturan masuk pada prinsipnya tidak perlu<br/>balikan koneksi lolos sebagai «respons»"]
    Q -- "Mendengarkan<br/>(tipe server, penerimaan callback)" --> S1["Aturan masuk wajib<br/>→ daftarkan lewat penginstal (bab 5)"]
    C1 -.-> EX["Pengecualian: di lingkungan berkeamanan tinggi<br/>dengan blok keluar default, ajukan aturan keluar"]

Kasus «aplikasi yang seharusnya klien ternyata juga mendengarkan» (penerimaan callback hasil, saluran notifikasi dari proses lain, dan sejenisnya) mudah terlewat. Jika cara komunikasi yang dipakai aplikasi buatan sendiri untuk mendengarkan masih kabur, konfirmasi juga “cara memilih komunikasi antarpproses” sebagai penataan di tahap desain.

2.1. Profil dan «lokasi jaringan»

Aturan diterapkan per profil jaringan. Ada tiga profil.¹

Profil mana yang sedang diterapkan dapat dikonfirmasi dengan Get-NetConnectionProfile, dan peralihan privat/publik dilakukan dengan Set-NetConnectionProfile.¹ Insiden yang sering di lapangan: di lingkungan workgroup pelanggan, jaringan dinilai «publik», dan aturan masuk yang dibuat terbatas domain/privat tidak diterapkan. Saat «aturan ada tetapi tidak lolos», curigai kecocokan profil sebelum isi aturan.

2.2. Prioritas aturan

Evaluasi saat ada beberapa aturan bukan daftar urutan berbobot, melainkan diputuskan oleh prinsip konsisten berikut.²

1. Aturan izinkan eksplisit mengalahkan blok default
2. Aturan blok eksplisit mengalahkan aturan izinkan yang berkonflik
3. Dalam rentang yang tidak bertentangan dengan 2 di atas, aturan yang lebih spesifik diutamakan

Implikasi praktisnya: «jika ada satu aturan blok di suatu tempat, menambahkan aturan izinkan sebanyak apa pun kemudian tidak menang». Seperti terlihat di bab berikutnya, justru aturan blok inilah yang dibuat diam-diam oleh dialog itu.

3. Identitas dialog «Peringatan penting» — alasan tidak boleh diandalkan

Ketika aplikasi pertama kali mulai mendengarkan (listen) port, jika tidak ada aturan izinkan maupun aturan yang ditetapkan administrator untuk aplikasi itu, Windows menampilkan dialog «Peringatan penting Keamanan Windows» yang familiar: “Beberapa fitur aplikasi ini diblokir oleh Windows Defender Firewall”. Spesifikasi perilakunya jelas.²

• Jika ditampilkan kepada pengguna dengan hak administrator: aturan izinkan dibuat dengan «Izinkan akses». Namun jika «Batal» ditekan, aturan blok dibuat. Biasanya dua: untuk TCP dan UDP.
• Jika ditampilkan kepada pengguna tanpa hak administrator: aturan blok dibuat apa pun pilihan yang dipilih.
• Dalam kedua kasus, sampai aturan yang dibuat dihapus, dialog tidak pernah ditampilkan lagi, dan komunikasi terus diblokir.

flowchart TB
    L["Aplikasi mulai mendengarkan port"] --> Q1{"Apakah ada aturan yang cocok<br/>untuk aplikasi itu?"}
    Q1 -- "Ada" --> R1["Mengikuti aturan<br/>(dialog tidak muncul)"]
    Q1 -- "Tidak" --> Q2{"Apakah notifikasi masuk<br/>aktif?"}
    Q2 -- "Nonaktif" --> R2["Diblokir diam-diam<br/>(aturan tidak dibuat)"]
    Q2 -- "Aktif" --> DLG["Dialog «Peringatan penting»"]
    DLG -- "Administrator «Izinkan akses»" --> OK["Aturan izinkan dibuat"]
    DLG -- "Administrator «Batal»" --> NG1["Aturan blok dibuat"]
    DLG -- "Pengguna tanpa hak administrator<br/>(operasi apa pun)" --> NG2["Aturan blok dibuat"]
    NG1 --> NEVER["Sampai aturan dihapus,<br/>dialog tidak pernah muncul lagi"]
    NG2 --> NEVER

Artinya, dialog ini tampak sebagai «mekanisme meminta izin kepada pengguna», tetapi di lapangan aplikasi bisnis ia bekerja sebagai «mekanisme yang menanamkan aturan blok begitu pengguna umum menyentuhnya». Jika petugas penerapan meluncurkan pertama kali dengan akun administrator dan mengizinkan di dialog, aturan izinkan yang dibuat berlaku untuk seluruh PC, jadi pengguna umum keesokan harinya untuk sementara dapat berkomunikasi. Meski begitu insiden tetap ada — ketika pengguna umum pertama kali memicu listen yang tidak terpicu saat uji penerapan, ketika profil jaringan yang diterapkan berbeda dari saat penerapan, dan ketika jalur exe berubah karena pembaruan (bab 4 dan 5).

Microsoft sendiri secara eksplisit menyatakan praktik terbaik berikut untuk perangkat yang dipakai orang selain administrator.²

1. Tempatkan aturan yang diperlukan sebelum peluncuran pertama aplikasi (penginstal atau distribusi sisi pengelolaan)
2. Nonaktifkan notifikasi masuk (jika notifikasi diputus, pembuatan aturan otomatis saat runtime sendiri tidak dilakukan)

Penonaktifan notifikasi dapat dilakukan dengan Set-NetFirewallProfile -NotifyOnListen False, atau dengan Group Policy.⁷ «Jika dialog muncul, minta orang di lapangan menekan izinkan» bukan prosedur operasi, melainkan undangan insiden. Daftarkan aturan masuk saat pemasangan — ini kesimpulan artikel ini, dan sejalan dengan rekomendasi Microsoft.

4. Desain aturan masuk — penetapan program, penetapan port, penetapan layanan

Isi aturan yang didaftarkan dirancang. Ada tiga sistem besar cara penetapan, lalu diputuskan apakah dipakai sendiri atau dikombinasikan.

Di atas itu, tumpuk pembatasan cakupan. Rekomendasi desain Microsoft juga “buat aturan masuk sespesifik mungkin”.²

• Pembatasan profil: aturan masuk aplikasi bisnis yang hanya dipakai internal dibatasi ke domain/privat, dan tidak diaktifkan di publik. Mencegah insiden port yang didengarkan terbuka ke dunia begitu notebook tersambung ke Wi-Fi di luar.
• Pembatasan IP jarak jauh: jika sumber koneksi sudah ditentukan, sempitkan -RemoteAddress ke subnet itu. Untuk jaringan rumah/kecil, pembatasan dengan kata kunci LocalSubnet direkomendasikan.²³
• Arah dan jumlah: jika yang didengarkan hanya TCP, satu aturan TCP cukup. Jangan membuat aturan TCP/UDP keduanya secara inersia seperti yang dibuat otomatis dialog.

«Hanya dari pihak yang diperlukan, ke port yang diperlukan, hanya program yang diperlukan» — desain aturan masuk terangkum dalam satu kalimat hak minimum ini.

5. Praktik pendaftaran lewat penginstal — netsh dan New-NetFirewallRule

5.1. Prasyarat: hak administrator diperlukan

Penambahan dan penghapusan aturan firewall adalah perubahan pengaturan seluruh komputer, jadi perlu dijalankan dengan hak administrator (proses yang ditingkatkan).⁸ Penginstal biasanya berjalan dengan hak administrator, jadi masuk akal menempatkan pendaftaran aturan di dalam pemrosesan pemasangan. Ini bukan alasan menjalankan aplikasi itu sendiri sebagai administrator. Cara berpikir garis ini dibahas secara rinci di “kapan hak administrator diperlukan”.

5.2. Pendaftaran dengan netsh advfirewall

Klasik, tetapi yang mudah dipanggil dari penginstal mana pun adalah netsh advfirewall firewall add rule.⁸

rem add rule menambahkan lagi meskipun aturan bernama sama sudah ada,
rem jadi hapus dulu aturan bernama sama lalu daftarkan ulang
rem agar aman dijalankan ulang saat pemasangan ulang, perbaikan, atau pembaruan
netsh advfirewall firewall delete rule name="MyCompany OrderServer"

rem aturan izinkan masuk: penetapan program + penetapan port + pembatasan profil
netsh advfirewall firewall add rule name="MyCompany OrderServer" dir=in action=allow program="C:\Program Files\MyCompany\OrderServer\OrderServer.exe" protocol=TCP localport=50051 profile=domain enable=yes

rem saat copot: hapus menurut nama
netsh advfirewall firewall delete rule name="MyCompany OrderServer"

add rule menambahkan dengan nama yang sama tanpa mengganti aturan bernama sama yang ada, jadi jika delete rule tidak dijalankan dulu, aturan berkembang biak setiap eksekusi ulang, dan aturan izinkan lama tetap hidup setelah pembaruan yang mengubah jalur atau cakupan (pada eksekusi pertama, delete rule di depan mengembalikan bahwa “tidak ada aturan yang cocok”, tetapi eksekusi batch berlanjut, jadi urutan ini tidak masalah. Jika penginstal menilai berhasil/gagal dengan kode keluar, lihat hasil add rule di akhir). Sumber koneksi juga dapat disempitkan seperti remoteip=157.60.0.1,172.16.0.0/16,LocalSubnet.⁸ Penghapusan menghapus sekaligus aturan yang cocok menurut nama, jadi jadikan nama aturan unik dengan awalan perusahaan sendiri lebih aman.

5.3. Pendaftaran dengan PowerShell (New-NetFirewallRule)

Untuk pengendalian lebih rinci, modul NetSecurity. -DisplayName wajib; -Profile dapat menetapkan beberapa dengan dipisah koma (tanpa spasi).³

# Pendaftaran (jalankan dari penginstal dalam keadaan ditingkatkan). -Name adalah
# pengidentifikasi unik, jadi eksekusi ulang pada pemasangan ulang, perbaikan,
# dan pembaruan, pembuatan aturan bernama sama akan error. Jadikan idempoten
# dengan menghapus aturan bernama sama yang ada lalu membuat ulang
Remove-NetFirewallRule -Name "MyCompany-OrderServer-In" -ErrorAction SilentlyContinue
New-NetFirewallRule -Name "MyCompany-OrderServer-In" `
    -DisplayName "MyCompany OrderServer (TCP 50051 masuk)" `
    -Direction Inbound -Action Allow `
    -Program "C:\Program Files\MyCompany\OrderServer\OrderServer.exe" `
    -Protocol TCP -LocalPort 50051 `
    -Profile Domain,Private -RemoteAddress LocalSubnet

# Saat copot: jangan error meski tidak ada
Remove-NetFirewallRule -Name "MyCompany-OrderServer-In" -ErrorAction SilentlyContinue

Ada alasan -Name dinyatakan di sini. -Name adalah pengidentifikasi unik aturan; jika dihilangkan, nilai acak diberikan. Nama tampilan (-DisplayName) dapat berubah tergantung lokal, jadi kunci untuk mengidentifikasi aturan dari skrip memakai -Name, menurut panduan Microsoft.³ Agar pencopot pasti hanya menghapus aturannya sendiri, anggap penetapan -Name wajib.

5.4. Jika jalur exe berubah karena pembaruan

Aturan penetapan program mengunci sasaran dengan jalur penuh. Artinya, jika lokasi pemasangan atau nama exe berubah karena pembaruan, aturan tetap ada tetapi kehilangan sasaran, dan pendengaran diblokir lagi. Saat itu, exe jalur baru diperlakukan sebagai «aplikasi tanpa aturan», jadi di lingkungan notifikasi aktif dialog bab 3 muncul lagi, dan jika pengguna umum mengoperasikan, aturan blok tertanam. Di lingkungan yang menonaktifkan notifikasi sesuai rekomendasi bab 3, gagal diam-diam tanpa dialog pun. Insiden ini mudah terjadi terutama pada cara penempatan ke folder berisi nomor versi, atau cara penempatan yang bergerak dengan pembaruan sendiri.

flowchart TB
    V1["Pasang v1.0<br/>aturan menunjuk exe di folder v1.0"] --> UP["Pembaruan menempatkan ke folder v1.1<br/>jalur exe yang dijalankan berubah"]
    UP --> MISS["Aturan jalur lama kehilangan sasaran<br/>(aturan ada tetapi tidak berlaku)"]
    MISS --> Q{"Apakah notifikasi masuk<br/>aktif?"}
    Q -- "Aktif" --> DLG["Dialog ditampilkan ulang<br/>jika pengguna umum menyentuh, aturan blok"]
    Q -- "Nonaktif" --> SILENT["Diblokir diam-diam<br/>tanpa dialog pun"]
    MISS -.->|"Tindakan"| FIX["Kunci jalur lintas pembaruan<br/>atau hapus aturan lama lalu daftarkan ulang dalam pemrosesan pembaruan"]

Tindakannya sederhana, salah satu berikut.

• Kunci lokasi pemasangan, dan jadikan penempatan di mana jalur penuh exe tidak berubah lintas pembaruan
• Pada pembaruan yang jalur berubah, updater menghapus aturan lama dan mendaftarkan ulang dengan jalur baru (jalankan juga perintah 5.2/5.3 dalam pemrosesan pembaruan)

Jika MSI, pendaftaran aturan sebagai custom action yang dijalankan setelah penempatan berkas (saat copot, custom action sisi penghapusan) adalah praktik baku. Toolset seperti WiX juga punya perluasan yang mendeskripsikan aturan firewall secara deklaratif. Lokasi implementasi berubah menurut cara distribusi yang dipilih, jadi lihat juga “cara memilih cara distribusi aplikasi Windows”. Selain itu, deteksi keliru antivirus — gangguan klasik lain saat penerapan di pelanggan — dibahas di “penanganan deteksi keliru Microsoft Defender”.

6. Pemecahan masalah — alur penelusuran «tidak bisa berkomunikasi»

Langkah saat menerima pertanyaan dipakukan secara berurutan. Alur keseluruhan sebagai berikut.

flowchart TB
    S["«Klien tidak bisa berkomunikasi»"] --> N["Sisi server: netstat -ano"]
    N -- "Tidak mendengarkan" --> APP["Masalah sebelum firewall<br/>selidiki sisi aplikasi/layanan"]
    N -- "LISTENING" --> T["Sisi klien: Test-NetConnection"]
    T -- "TcpTestSucceeded=True" --> OTHER["Keterjangkauan normal<br/>selidiki lapisan aplikasi (autentikasi, protokol)"]
    T -- "False" --> P["Sisi server: Get-NetConnectionProfile<br/>konfirmasi profil yang diterapkan"]
    P -- "Tidak cocok dengan sasaran aturan" --> FIXP["Tinjau penetapan profil aturan"]
    P -- "Cocok" --> R["Get-NetFirewallRule -PolicyStore ActiveStore<br/>konfirmasi ada/tidaknya aturan izinkan dan masuknya aturan blok"]
    R --> LOGCHK["Ukur pembuangan (DROP) di pfirewall.log"]

Catatan langkah 4. Syarat port dan program ada di sisi objek filter, bukan pada aturan itu sendiri, jadi untuk menelusuri aturan dari port, kueri lewat filter.⁵⁷

# Telusuri aturan terkait port 50051
Get-NetFirewallPortFilter | Where-Object { $_.LocalPort -eq 50051 } | Get-NetFirewallRule

# Lacak asal aturan (lokal atau GPO)
Get-NetFirewallRule -PolicyStore ActiveStore -TracePolicyStore |
    Select-Object Name, DisplayName, PolicyStoreSourceType, PolicyStoreSource

Log firewall (pfirewall.log) langkah 5 secara default tidak mencatat apa pun. Jalur default adalah %windir%\system32\logfiles\firewall\pfirewall.log, ukuran maksimum default 4,096KB, dan baru ditulis setelah salah satu «catat paket yang dibuang ke log» atau «catat koneksi yang berhasil ke log» diaktifkan.⁶ Di mesin tunggal, dapat diaktifkan sebagai berikut.⁶

netsh advfirewall set allprofiles logging droppedconnections enable
netsh advfirewall set allprofiles logging allowedconnections enable

Log adalah berkas teks, dan per baris mencatat apakah dibuang (DROP) atau diizinkan (ALLOW), protokol, IP dan port sumber/tujuan, jadi di sini dapat dipastikan “apakah SYN dari klien sampai lalu dibuang, atau tidak sampai sama sekali”. Selain itu, di lingkungan yang mengonfigurasi log dengan kebijakan, hak tulis ke folder log (FullControl layanan mpssvc) kadang kurang sehingga berkas tidak dibuat; dalam kasus itu pembuatan folder dan pemberian ACL diperlukan.⁶

Jika menggali lebih dalam, mengaktifkan kebijakan audit «Packet Drop pada Filtering Platform» mencatat peristiwa keamanan 5152 setiap kali pembuangan. Namun volume peristiwa sangat besar, jadi Microsoft menganjurkan memakai peristiwa 5157 (sambungan Filtering Platform) yang dicatat per sambungan. Ini alat yang diaktifkan hanya selama penelusuran, bukan pemakaian sehari-hari.⁹

Terakhir, perjelas penelusuran yang tidak boleh dilakukan. Penonaktifan keseluruhan dengan menghentikan layanan firewall (MpsSvc) di luar dukungan, dan menimbulkan masalah sisi OS seperti menu Mulai yang tidak merespons atau pembaruan aplikasi Store yang gagal. Jika tetap ingin menonaktifkan untuk memastikan, nonaktifkan profil dengan Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled False sambil layanan tetap berjalan, dan segera kembalikan setelah konfirmasi.¹⁷ Dan jika sudah dipastikan penyebabnya firewall, penanganannya bukan menonaktifkan secara permanen melainkan menambah satu aturan yang benar.

7. Perhatian di bawah pengelolaan organisasi — lingkungan di mana aturan lokal tidak berlaku, dan tata cara pengajuan

Meski aturan didaftarkan lewat penginstal, ada lingkungan di mana ia tidak berlaku. Di organisasi yang mengelola firewall secara terpusat dengan GPO atau Intune (CSP), «penggabungan aturan lokal» (AllowLocalPolicyMerge) dapat dinonaktifkan per profil. Jika pengaturan ini nonaktif, aturan yang dibuat administrator lokal (termasuk penginstal) tidak diterapkan, dan aturan aplikasi yang memerlukan koneksi masuk wajib didistribusikan terpusat dari GPO/CSP.²

flowchart TB
    GPOR["Aturan yang didistribusikan dengan GPO/Intune"] --> EFF["Himpunan aturan yang benar-benar berlaku<br/>(ActiveStore)"]
    LOCAL["Aturan yang dibuat secara lokal<br/>(termasuk pendaftaran penginstal)"] --> Q{"Penggabungan aturan lokal<br/>(AllowLocalPolicyMerge)"}
    Q -- "Aktif (default)" --> EFF
    Q -- "Nonaktif" --> DROP["Aturan ada tetapi tidak diterapkan<br/>→ beralih ke distribusi terpusat GPO/CSP"]

Kesiapan realistis sisi pengembangan dan penerapan sebagai berikut.

• Jadikan pendaftaran aturan penginstal desain yang «tidak gagal» (pendaftaran itu sendiri berhasil, jadi tidak terdeteksi sebagai error. Sertakan konfirmasi konektivitas setelah penerapan ke prosedur)
• Dengan langkah 4 bab 6 (-TracePolicyStore), konfirmasi apakah asal aturan yang berlaku lokal atau GPO⁵
• Jika diketahui aturan lokal tidak berlaku, beralih ke pengajuan distribusi aturan ke departemen TI

Serahkan informasi berikut sebagai satu set pada pengajuan. Aturan firewall baru dapat dibuat setelah arah, program, port, dan cakupan lengkap, jadi ini langsung menjadi «spesifikasi jaringan aplikasi bisnis».

Dari sisi staf TI, volume kerja sangat berbeda antara pengajuan yang punya tabel ini dan yang tidak. Sebaliknya, «tolong buka» hanya dengan nomor port cenderung menjadi izin berlebih seperti terlihat di bab 4. Selain itu, persyaratan komunikasi seputar berbagi berkas dan autentikasi di lingkungan domain juga berubah dengan pengencangan terpisah dari firewall (keharusan penandatanganan, dan sejenisnya). Lihat juga “SMB signing dan LDAP channel binding”.

8. Ringkasan

• Default Windows Firewall adalah blok masuk, izinkan keluar. Aturan masuk hanya diperlukan untuk aplikasi bertipe server yang mendengarkan; jika hanya tersambung sebagai klien, pada prinsipnya tidak perlu.
• Aturan diterapkan per profil (domain/privat/publik). Tersangka pertama «aturan ada tetapi tidak lolos» adalah ketidakcocokan profil.
• Dialog «Peringatan penting» membuat aturan blok saat batal atau operasi pengguna tanpa hak, dan setelah itu tidak ditampilkan ulang. Jangan serahkan operasi produksi pada dialog ini.
• Daftarkan aturan masuk aplikasi bisnis lewat penginstal — ini satu-satunya prinsip. Pendaftaran dengan hak administrator, dan implementasikan termasuk penghapusan dengan -Name yang dikunci.
• Aturan berporos pada program + protokol + port, lalu disempitkan dengan profil dan IP jarak jauh. Jika jalur exe berubah karena pembaruan, jangan lupa pendaftaran ulang aturan.
• Penelusuran secara mekanis dalam urutan netstat → Test-NetConnection → konfirmasi profil → Get-NetFirewallRule (ActiveStore) → pfirewall.log. Penonaktifan dengan menghentikan layanan di luar dukungan.
• Di bawah pengelolaan GPO/Intune, penggabungan aturan lokal kadang dinonaktifkan. Saat itu, ajukan distribusi ke staf TI dengan nama aturan, arah, program, port, IP jarak jauh, dan profil yang lengkap.

Artikel terkait

• Cara memilih komunikasi antarpproses Windows — tabel keputusan named pipe / TCP / gRPC / memori bersama / COM
• Cara memilih cara distribusi aplikasi Windows — MSI/MSIX/ClickOnce/xcopy/pembaruan sendiri
• Kapan hak administrator Windows benar-benar diperlukan — UAC, area terlindungi, dan cara membedakannya dalam desain
• Jika aplikasi Windows buatan sendiri dianggap virus — penanganan deteksi keliru Microsoft Defender, dan cara bergaul dengan dampak kinerja
• SMB signing dan LDAP channel binding — mengencangkan «separuh yang tersisa» dari tindakan NTLM di praktik
• Cara membuat dan mengoperasikan layanan Windows — dari memilih antara Penjadwal Tugas dan layanan sampai menjadikan BackgroundService sebagai layanan

Area konsultasi terkait

KomuraSoft LLC menangani desain penginstal aplikasi bisnis bertipe server (termasuk pendaftaran dan penghapusan aturan firewall), investigasi penyebab «tidak bisa berkomunikasi» di lingkungan pelanggan, dan penataan persyaratan jaringan yang mengantisipasi penerapan di bawah pengelolaan GPO. Tidak apa-apa memulai dari penelusuran «jalan di mesin pengembangan tetapi tidak di pelanggan».

• Pengembangan aplikasi Windows
• Investigasi bug dan akar masalah
• Konsultasi teknis dan tinjauan desain
• Hubungi kami

Tautan referensi

Artikel terkait

Artikel terbaru dengan tag yang sama untuk mendalami topik-topik terdekat.

Topik terkait

Halaman-halaman ini menempatkan topik dalam konteks layanan dan keputusan yang lebih luas.

Layanan yang terkait dengan topik ini

Artikel ini berkaitan langsung dengan layanan berikut.

Pertanyaan yang sering diajukan

Pertanyaan yang sering muncul dalam konsultasi tentang topik artikel ini.

Apakah aplikasi yang hanya tersambung ke server sebagai klien juga memerlukan aturan firewall?

Pada prinsipnya tidak. Default Windows Firewall adalah «masuk diblokir, keluar diizinkan», jadi aplikasi klien yang hanya memulai koneksi sendiri dapat berkomunikasi dengan pengaturan default. Aturan masuk hanya diperlukan di sisi yang membuka port dan mendengarkan koneksi, yaitu aplikasi bertipe server. Ada dua pengecualian. Di lingkungan berkeamanan tinggi, keluar kadang diubah menjadi blok default; dalam kasus itu pengajuan aturan keluar diperlukan. Selain itu, jika aplikasi klien sendiri dirancang untuk mendengarkan port sebagai saluran menerima notifikasi hasil, bagian itu memerlukan aturan masuk.

Bukankah cukup menekan «Izinkan akses» pada dialog «Peringatan penting Keamanan Windows»?

Untuk saat itu cukup, tetapi operasi produksi tidak bisa diserahkan padanya. Jika pengguna dengan hak administrator membatalkan dialog ini, aturan blok dibuat. Bagi pengguna tanpa hak administrator, aturan blok dibuat apa pun tombol yang ditekan. Sampai aturan yang sudah dibuat dihapus, dialog tidak pernah muncul lagi, dan komunikasi terus gagal. Pada aplikasi bisnis yang dioperasikan pengguna umum di PC lapangan, keadaan «seseorang sekali membatalkan, lalu komunikasi tidak bisa selamanya» mudah terjadi. Microsoft juga merekomendasikan menempatkan aturan sebelum peluncuran pertama aplikasi.

Haruskah aturan masuk dibuat dengan penetapan port atau penetapan program?

Dasarnya bukan memilih salah satu, melainkan menggabungkan keduanya. Penetapan program dapat mempersempit sasaran dengan jalur penuh exe, tetapi jika jalur berubah karena pembaruan, aturan kehilangan sasarannya (wildcard tidak dapat dipakai). Penetapan port membuat pengajuan ke staf TI lebih jelas, tetapi juga melewatkan proses lain yang mendengarkan di port yang sama. Pada aplikasi bisnis produksi, bentuk hak minimum adalah berporos pada «program + protokol + port», membatasi profil ke domain/privat, dan mempersempit IP jarak jauh ke subnet tempat klien berada. Hanya jika port dinamis, pakai penetapan program saja.

Aturan yang didaftarkan penginstal tampaknya tidak berlaku di PC pelanggan. Mengapa?

Kemungkinan besar firewall pelanggan dikelola terpusat dengan GPO atau Intune, dan «penggabungan aturan lokal» (AllowLocalPolicyMerge) dinonaktifkan. Jika pengaturan ini nonaktif, aturan yang dibuat secara lokal ada di profil tetapi tidak diterapkan, dan satu-satunya cara adalah mendistribusikan aturan secara terpusat dari sisi GPO/CSP. Konfirmasi keseluruhan aturan yang berlaku dengan Get-NetFirewallRule -PolicyStore ActiveStore, lalu ajukan distribusi aturan ke departemen TI. Pengajuan yang sekali lolos menyertakan nama aturan, arah, jalur program, protokol dan port, rentang IP jarak jauh, dan profil.

Bolehkah menonaktifkan firewall sementara untuk menelusuri masalah komunikasi?

Penonaktifan dengan menghentikan layanan (MpsSvc) mutlak dihindari. Ini operasi di luar dukungan Microsoft, dan menimbulkan masalah sisi OS seperti menu Mulai yang tidak merespons atau pembaruan aplikasi Store yang gagal. Jika tetap ingin menonaktifkan untuk menelusuri masalah, cara yang benar adalah menonaktifkan profil dengan Set-NetFirewallProfile -Enabled False sambil layanan tetap berjalan. Namun ini pun dibatasi untuk memastikan dalam beberapa menit apakah penyebabnya firewall, dan segera dikembalikan setelah konfirmasi. Membiarkan firewall nonaktif berarti menukar masalah yang selesai dengan menambah satu aturan dengan membuka seluruh PC tanpa perlindungan.

Profil penulis

Halaman perkenalan penulis artikel.

Go Komura

Direktur KomuraSoft LLC

Berspesialisasi dalam pengembangan perangkat lunak Windows, konsultasi teknis, dan investigasi bug, terutama pada proyek dengan sistem yang sudah ada dan bug yang sulit direproduksi.