Firewall ve Windows je zapnutý na každém notebooku od výroby – a právě proto ho většina malých firem neřeší. Jenže výchozí stav není totéž co firemní nastavení. Zaměstnanec si ho může vypnout, aplikace si při instalaci samy povolí příchozí porty a na hotelové Wi-Fi se notebook chová stejně jako v kanceláři. V tomto článku vysvětlíme, jak firewall ve Windows centrálně spravovat přes Microsoft Intune, jaká pravidla nastavit jako první a čeho se při nasazení vyvarovat.

Proč firewall ve Windows řešit centrálně

Firewall ve Windows (dříve Windows Defender Firewall) je hostitelský firewall – filtruje provoz přímo na zařízení, ne na hranici sítě. Doplňuje tak firewall v routeru, ale nenahrazuje ho. Router chrání kancelář, hostitelský firewall chrání notebook všude, kam ho zaměstnanec odnese.

Problém malých firem není v tom, že by firewall neexistoval. Problém je, že jeho nastavení je na každém počítači jiné. Typické nálezy z našich IT auditů vypadají takto:

• Firewall vypnutý „kvůli tiskárně” – někdo ho kdysi vypnul při řešení problému a už ho nikdo nezapnul.
• Desítky starých výjimek – každá nainstalovaná aplikace si přidala vlastní příchozí pravidlo, často i pro veřejné sítě.
• Otevřená vzdálená plocha – port 3389 povolený odkudkoli, ne jen z firemní sítě nebo VPN.
• Sdílení souborů na veřejné Wi-Fi – notebook nabízí sdílené složky i v kavárně.

Útočník, který se dostane do jednoho počítače, se dál šíří právě po síti – přes SMB, RPC nebo vzdálenou plochu. Agentura CISA proto ve svém průvodci obranou proti ransomwaru výslovně doporučuje omezit laterální pohyb hostitelským firewallem a blokovat SMB tam, kde není potřeba. Centrální správa zajistí, že stejná ochrana platí na všech zařízeních a uživatel ji nemůže potichu vypnout.

Co potřebujete: licence a předpoklady

Pro správu firewallu přes Intune stačí to, co už většina menších firem má. Konkrétně:

• Microsoft Intune Plan 1 – je součástí Microsoft 365 Business Premium, E3 i E5. Samostatně ho lze dokoupit i k jiným plánům.
• Zařízení s Windows 10/11 Pro nebo vyšší zaregistrovaná v Intune (Entra joined nebo hybridně připojená). Edice Home se do Intune pro firemní správu nehodí.
• Role s oprávněním na zabezpečení koncových bodů – například Endpoint Security Manager nebo Intune Administrator.

Pokud používáte Microsoft Defender for Business, najdete firewall i v jeho zjednodušeném průvodci. Na pozadí jde o stejné zásady zabezpečení koncových bodů, takže postup níže platí i pro vás. Jestli zařízení v Intune ještě nemáte, začněte registrací a zásadami dodržování předpisů (compliance policies) – na ně se nastavení firewallu přirozeně navazuje.

Tři síťové profily: doménový, privátní a veřejný

Firewall ve Windows rozlišuje tři síťové profily a ke každému může mít jiná pravidla. Pochopit je je klíčové, protože většina chyb v nastavení vzniká právě tady.

• Doménový profil – použije se, když zařízení ověří, že je v síti s doménovým řadičem. U čistě cloudových firem (jen Entra ID, bez lokálního serveru) se prakticky neuplatní.
• Privátní profil – důvěryhodná síť, typicky kancelář nebo domácí Wi-Fi. Uživatel ho volí při prvním připojení.
• Veřejný profil – výchozí pro všechny ostatní sítě: hotel, letiště, kavárna, sdílená kancelář. Tady má platit nejpřísnější nastavení.

Pro malou firmu bez lokální domény proto obvykle platí: privátní profil o něco volnější (kvůli tiskárnám a sdíleným diskům v kanceláři), veřejný profil co nejtěsnější. Microsoft popisuje doporučené výchozí hodnoty v dokumentu Best practices for configuring Windows Firewall.

Postup nastavení firewallu v Intune krok za krokem

V Intune se firewall spravuje ve dvou typech profilů. Profil Windows Firewall řeší globální chování (zapnuto, výchozí akce, logování). Profil Windows Firewall Rules obsahuje konkrétní pravidla pro porty a aplikace. Oba najdete v centru pro správu Intune v části Zabezpečení koncového bodu → Brána firewall.

Krok 1: Globální profil Windows Firewall

Vytvořte zásadu s platformou Windows a profilem Windows Firewall. Pro všechny tři síťové profily nastavte:

• Enable Firewall: True – firewall je zapnutý a uživatel ho nemůže vypnout.
• Default Inbound Action: Block – příchozí spojení jsou blokovaná, pokud je výslovně nepovoluje pravidlo.
• Default Outbound Action: Allow – odchozí provoz zůstává povolený. Blokování odchozího provozu je u malé firmy zbytečně pracné a rozbíjí aplikace.
• Logování zahozených paketů – zapněte alespoň pro veřejný profil. Log se hodí při řešení problémů.

Krok 2: Rozhodnutí o lokálních pravidlech

Nejdůležitější a nejčastěji přehlížené nastavení je Allow Local Policy Merge. Určuje, zda se k pravidlům z Intune přidávají i pravidla vytvořená lokálně – ať už uživatelem, nebo instalátorem aplikace.

Pro veřejný profil doporučujeme lokální pravidla zakázat. Na hotelové Wi-Fi pak platí jen to, co jste povolili centrálně. Pro privátní profil je rozumné je zpočátku ponechat a zakázat až poté, co máte v Intune pravidla pro všechny firemní aplikace. Jinak hrozí, že po nasazení přestane fungovat účetní program nebo skenování do složky.

Krok 3: Profil s pravidly (Windows Firewall Rules)

Druhou zásadou vytvoříte konkrétní pravidla. Každé pravidlo má směr, akci, protokol, porty, případně cestu k aplikaci a rozsah vzdálených IP adres. Jeden profil pojme až 150 vlastních pravidel. Pokud potřebujete víc, vytvořte další profil – zařízení pravidla z více profilů sloučí, dokud si neodporují.

Opakující se rozsahy adres (například firemní VPN nebo kancelářskou síť) můžete uložit jako opakovaně použitelnou skupinu nastavení a odkazovat na ni z více pravidel. Při změně adresy pak upravíte jedno místo místo deseti pravidel.

Krok 4: Pilotní skupina, pak celá firma

Zásady přiřaďte nejdřív pilotní skupině – ideálně dvěma až třem lidem z různých oddělení. Týden sledujte, zda vše funguje. Teprve potom rozšiřte přiřazení na všechna zařízení. Stejný princip popisujeme u ASR pravidel v Microsoft Defenderu, kde se postupné nasazení osvědčilo stejně.

Pravidla, která doporučujeme nastavit jako první

Není potřeba vytvářet desítky pravidel. U typické malé firmy pokryje většinu rizik tato krátká sada:

1. Blokovat příchozí SMB (TCP 445) na veřejném profilu. Sdílení souborů mimo kancelář nikdo nepotřebuje a SMB je oblíbená cesta šíření ransomwaru.
2. Povolit vzdálenou plochu (TCP 3389) jen z rozsahu VPN nebo správcovské sítě. Nikdy ne „odkudkoli”. Více v článku o bezpečném používání vzdálené plochy.
3. Blokovat NetBIOS a LLMNR na veřejném profilu (UDP 137, 138, TCP 139, UDP 5355). Tyto staré protokoly umožňují v cizí síti odposlech přihlašovacích údajů.
4. Povolit příchozí provoz pro konkrétní firemní aplikace – například pro databázi účetního programu – jen na privátním profilu a jen z kancelářské podsítě.
5. Povolit nástroj pro vzdálenou podporu, který používá váš IT správce, místo obecných výjimek.

Přehled syntaxe a možností jednotlivých pravidel najdete v dokumentaci Windows Firewall rules. Obecně platí: pravidlo vázané na konkrétní aplikaci je bezpečnější než pravidlo, které otevírá port pro celý počítač.

Nejčastější chyby při nasazení

Většina problémů s firewallem přes Intune se opakuje. Pokud se jim vyhnete, ušetříte si hodiny hledání, proč něco nefunguje.

Dvě zásady nastavují totéž

Microsoft doporučuje mít globální nastavení firewallu v jediné zásadě. Když stejné nastavení řeší profil zabezpečení koncového bodu i starší konfigurační profil (nebo baseline), vznikne konflikt a zařízení nemusí dostat ani jedno. Pravidla jsou výjimkou – profily s pravidly se slučují, ale jen pokud si neodporují.

Zakázaná lokální pravidla bez přípravy

Kdo vypne slučování lokálních pravidel na privátním profilu hned první den, obvykle zjistí, že nefunguje skenování z multifunkční tiskárny nebo síťový disk. Nejprve si zjistěte, co aplikace potřebují, a pravidla přeneste do Intune.

Firewall jako jediná vrstva

Hostitelský firewall nevyřeší slabá hesla ani phishing. Funguje nejlépe spolu s dalšími opatřeními – správou hesel lokálního administrátora přes Windows LAPS, pravidly ASR a dobře nastaveným síťovým firewallem v kanceláři, například v rámci sítě UniFi. Dohromady tvoří přístup, který popisujeme v článku Zero Trust pro malé firmy.

Nikdo nekontroluje výsledek

Nasazená zásada ještě neznamená funkční zásadu. V Intune pravidelně kontrolujte stav nasazení u zásady a sestavu stavu firewallu u zařízení. Zařízení, kde se zásada nepoužila, řešte hned – bývají to právě ty notebooky, které jsou nejvíc mimo kancelář.

Jak ověřit, že nastavení funguje

Po nasazení si ověřte výsledek přímo na jednom pilotním zařízení. Stačí pár jednoduchých kroků:

• Zabezpečení Windows → Brána firewall a ochrana sítě – u spravovaného zařízení uvidíte, že nastavení spravuje organizace a uživatel ho nemůže změnit.
• PowerShell: příkaz Get-NetFirewallProfile | Select Name, Enabled, DefaultInboundAction, AllowLocalFirewallRules ukáže stav všech tří profilů.
• Test z jiného počítače – zkuste se připojit na sdílenou složku nebo vzdálenou plochu z místa, odkud by to nemělo jít. Spojení musí selhat.
• Log firewallu – v souboru pfirewall.log uvidíte zahozená spojení a podle nich doladíte chybějící pravidla.

Podrobný popis všech nastavení v Intune najdete v oficiální dokumentaci Firewall policy for endpoint security in Intune.

Kolik práce to zabere a kdy si přizvat pomoc

Pro firmu s 10–30 počítači zabere základní nastavení přibližně půl dne: návrh pravidel, pilot a vyhodnocení. Delší je obvykle jen první krok – zmapovat, které aplikace skutečně potřebují příchozí spojení. Po nasazení už zásady běží samy a nové zařízení dostane stejnou ochranu hned po registraci.

Pokud nemáte vlastního správce, vyplatí se svěřit nastavení někomu, kdo Intune zná. V rámci správy IT pro firmy nastavujeme firewall, ASR pravidla, BitLocker i aktualizace jako jeden celek a průběžně hlídáme, že zásady na všech zařízeních skutečně platí.

Často kladené otázky

Stačí výchozí firewall ve Windows, nebo potřebuji jiný produkt?

Pro malou firmu vestavěný firewall ve Windows bohatě stačí. Rozdíl nedělá jiný produkt, ale centrální správa – jednotná pravidla, zákaz vypnutí a přehled o stavu všech zařízení.

Nahradí firewall ve Windows firewall v routeru?

Ne. Firewall v routeru chrání kancelářskou síť jako celek, firewall ve Windows chrání konkrétní zařízení – i mimo kancelář. Potřebujete obojí.

Co když po nasazení přestane fungovat aplikace?

Zkontrolujte log firewallu a zjistěte, který port nebo program je blokovaný. Pak do profilu Windows Firewall Rules přidejte pravidlo vázané na tuto aplikaci a omezené na privátní profil a firemní podsíť.

Může si zaměstnanec firewall vypnout?

Na zařízení spravovaném přes Intune ne. Nastavení je uzamčené a v aplikaci Zabezpečení Windows se zobrazí jako spravované organizací. Ani lokální administrátor ho trvale nezmění, protože Intune zásadu znovu použije.

Je správa firewallu přes Intune v Microsoft 365 Business Premium?

Ano. Business Premium obsahuje Microsoft Intune Plan 1 i Defender for Business, takže zásady firewallu můžete nastavit bez dalších licencí.

Shrnutí

Firewall ve Windows přes Intune je jedno z nejlevnějších bezpečnostních opatření, které malá firma může zavést. Licenci většinou už máte, nastavení zabere půl dne a výsledkem jsou notebooky, které se v cizí síti nechovají jako v kanceláři. Začněte globální zásadou, přidejte krátkou sadu pravidel, otestujte na pilotní skupině a pak rozšiřte na celou firmu.

Chcete mít firewall a další zabezpečení zařízení nastavené správně a bez starostí? Ozvěte se nám – rádi vám s nastavením pomůžeme a projdeme i zbytek vašeho IT.