Está reforzando la seguridad de un nodo de administración de Windows Server 2022. WinRM (HTTP/HTTPS) debe aceptar conexiones solo de dos subredes de administración (10.10.20.0/24 y 10.10.30.0/24) y solo cuando el tráfico se autentique con IPsec usando Kerberos. No se permite el acceso a WinRM en el perfil Público. ¿Qué dos configuraciones debería crear en el Firewall de Windows Defender con seguridad avanzada?

Las dos configuraciones correctas son necesarias para cumplir con los requisitos de seguridad. La regla de seguridad de conexión (Servidor a Subred) asegura que solo las subredes especificadas (10.10.20.0/24 y 10.10.30.0/24) puedan establecer una conexión, y que esta conexión requiera autenticación Kerberos tanto para el tráfico de entrada como de salida, lo cual es fundamental para la seguridad basada en IPsec. Las reglas de firewall de entrada para TCP 5985 (WinRM HTTP) y 5986 (WinRM HTTPS) restringen el acceso a esas subredes y, crucialmente, excluyen el perfil Público, como se solicita. La opción de exención de autenticación es incorrecta porque el requisito es precisamente autenticar el tráfico con IPsec. Una regla de salida no es suficiente para proteger el acceso de entrada a WinRM. Una regla de seguridad de conexión de tipo túnel con certificados no se alinea con el requisito de autenticación IPsec usando Kerberos.