Вы укрепляете узел управления Windows Server 2022. WinRM (HTTP/HTTPS) должен принимать подключения только из двух подсетей управления (10.10.20.0/24 и 10.10.30.0/24) и только тогда, когда трафик аутентифицирован с помощью IPsec с использованием Kerberos. Доступ WinRM не разрешен в профиле Public. Какие две конфигурации следует создать в Брандмауэре Защитника Windows в режиме повышенной безопасности?

Для обеспечения требуемой безопасности WinRM необходимо настроить две основные конфигурации. Во-первых, правила входящего брандмауэра для портов TCP 5985 (HTTP) и 5986 (HTTPS) должны быть ограничены только подсетями управления (10.10.20.0/24 и 10.10.30.0/24) и разрешены только для профилей Domain и Private, исключая Public. Это гарантирует, что WinRM доступен только из доверенных источников и только в доверенных сетевых средах. Во-вторых, необходимо создать правило безопасности подключения (Connection Security Rule) типа "сервер-подсеть", которое требует входящей и исходящей аутентификации с использованием Kerberos для трафика между сервером и указанными подсетями. Это обеспечивает обязательную аутентификацию IPsec для всего трафика WinRM, как того требует задание. Неправильные варианты: Правило исключения аутентификации противоречит требованию обязательной аутентификации IPsec. Правило исходящего брандмауэра, разрешающее трафик для любого удаленного адреса, нарушает принцип наименьших привилегий и не соответствует требованиям безопасности. Правило безопасности подключения типа Tunnel с сертификатами не соответствует требованию использования Kerberos для аутентификации.