Je bent een Windows Server 2022 management node aan het beveiligen. WinRM (HTTP/HTTPS) mag alleen verbindingen accepteren van twee management-subnetten (10.10.20.0/24 en 10.10.30.0/24) en alleen wanneer het verkeer is geauthenticeerd met IPsec via Kerberos. Geen WinRM-toegang is toegestaan op het Public profiel. Welke twee configuraties moet je aanmaken in Windows Defender Firewall met Advanced Security?

De twee correcte configuraties zijn nodig om aan alle vereisten te voldoen. De inkomende firewallregels voor TCP 5985 (HTTP) en 5986 (HTTPS) beperken WinRM-toegang tot de opgegeven subnetten (10.10.20.0/24 en 10.10.30.0/24) en voorkomen toegang via het Public profiel, zoals gevraagd. De verbindingsbeveiligingsregel (Server-to-Subnet) zorgt voor de vereiste IPsec-authenticatie via Kerberos voor verkeer van en naar deze specifieke subnetten. De optie voor een authenticatie-uitzonderingsregel is onjuist omdat deze de IPsec-onderhandeling zou omzeilen, wat in strijd is met de eis voor IPsec via Kerberos. Een uitgaande firewallregel die TCP 5985/5986 toestaat naar elk extern adres is te breed en voldoet niet aan de beveiligingsvereisten. Een verbindingsbeveiligingsregel van het type Tunnel met certificaten voldoet niet aan de Kerberos-authenticatie-eis en is niet de meest geschikte methode voor dit scenario.