Configure firewall rules for a Windows ECS instance - Elastic Compute Service

Configurez le Pare-feu Windows Defender afin d'autoriser ou de bloquer des applications, des ports et des adresses IP sur une instance ECS Windows.

Prérequis

Assurez-vous de disposer des éléments suivants :

Une instance ECS exécutant Windows Server.
Un accès permettant de se connecter à l'instance via VNC.

Quelle configuration utiliser

Configuration	Fonctionnalité	Cas d'utilisation
Autoriser une application via le pare-feu	Ouvre les ports uniquement lorsque l'application est en cours d'exécution	Votre application est bloquée par le pare-feu
Autoriser ou bloquer l'accès à des ports locaux spécifiques	Ouvre ou ferme un port de manière permanente	Bloquer les services inutilisés (par exemple, refuser le port 21 si FTP n'est pas nécessaire)
Autoriser ou bloquer l'accès depuis des adresses IP spécifiques	Restreint les adresses IP pouvant accéder à vos applications, services ou ports	Limiter l'accès aux seules adresses IP de confiance

Autoriser une application via le Pare-feu Windows Defender

Autorisez une application spécifique à accepter les connexions entrantes sans ouvrir un port de manière permanente.

Connectez-vous à votre instance ECS Windows via VNC.
Accédez à Start > Control Panel > System and Security > Windows Defender Firewall.
Dans le volet de navigation de gauche, cliquez sur Allow an app or feature through Windows Defender Firewall.
Cliquez sur Allow another app.
Dans la boîte de dialogue Add an app, double-cliquez sur l'application dans la section Apps. Si l'application ne figure pas dans la liste, cliquez sur Browse et localisez le fichier de l'application.

Autoriser ou bloquer l'accès à des ports locaux spécifiques

Créez une règle entrante qui autorise ou refuse définitivement le trafic sur un port spécifique — par exemple, refusez le port 21 pour désactiver FTP.

Remarque

Cette règle maintient un port ouvert ou fermé de manière permanente. Utilisez-la uniquement pour les ports liés aux services que vous souhaitez intentionnellement exposer ou bloquer. Pour un contrôle spécifique à une application, utilisez plutôt « Autoriser une application via le Pare-feu Windows Defender ».

Connectez-vous à votre instance ECS Windows via VNC.
Accédez à Start > Control Panel > System and Security > Windows Defender Firewall.
Cliquez sur Advanced Settings.
Dans le volet de navigation de gauche, cliquez sur Inbound Rule. Dans le volet Actions situé à droite, cliquez sur New Rule.
Suivez l'assistant de création de règle :
1. Pour le Rule Type, sélectionnez Port et cliquez sur Next.
2. À l'étape Protocol and Ports, sélectionnez TCP ou UDP, choisissez Specific local ports, saisissez le numéro de port (par exemple, 8080), puis cliquez sur Next.
3. À l'étape Actions, sélectionnez Allow the connection ou Block the connection, puis cliquez sur Next.
4. À l'étape Configuration File, sélectionnez les profils applicables et cliquez sur Next.
  
  Remarque
  Tous les profils sont sélectionnés par défaut. Ajustez cette sélection en fonction de votre environnement réseau.
5. À l'étape Name, saisissez un nom et une description pour la règle, puis cliquez sur Completed.

Autoriser ou bloquer l'accès depuis des adresses IP spécifiques

Restreignez le trafic entrant vers ou depuis des adresses IP ou des blocs CIDR spécifiques. L'action définie dans la règle détermine l'effet :

Allow the connection : les adresses IP répertoriées peuvent accéder aux applications, services ou ports concernés.
Block the connection : les adresses IP répertoriées ne peuvent pas accéder aux applications, services ou ports concernés.

Appliquez une plage d'adresses IP à une règle existante ou configurez-la lors de la création d'une nouvelle règle.

Appliquer une plage d'adresses IP à une règle entrante existante

Ajoutez un filtrage basé sur les adresses IP à une règle que vous avez déjà créée.

Connectez-vous à votre instance ECS Windows via VNC.
Accédez à Start > Control Panel > System and Security > Windows Defender Firewall.
Cliquez sur Advanced Settings.
Cliquez sur Inbound Rules, faites un clic droit sur la règle à mettre à jour et sélectionnez Type.
Sous l'onglet Scope, dans la section Remote IP address, sélectionnez These IP addresses et cliquez sur Add.
Saisissez une adresse IP ou un bloc CIDR (par exemple, l'adresse IP publique de votre ordinateur local) et cliquez sur OK.

Remarque
Cliquez de nouveau sur Add pour ajouter d'autres adresses IP ou blocs CIDR.

Dans la boîte de dialogue IP Address, sélectionnez This IP address or subnet.
Cliquez sur OK. La règle s'applique désormais uniquement aux adresses IP ou aux blocs CIDR spécifiés.

Créer une règle avec une plage d'adresses IP

Créez une nouvelle règle ciblant à la fois des ports spécifiques et des adresses IP spécifiques.

Connectez-vous à votre instance ECS Windows via VNC.
Accédez à Start > Control Panel > System and Security > Windows Defender Firewall.
Cliquez sur Advanced Settings.
Dans le volet de navigation de gauche, cliquez sur Inbound Rule. Dans le volet Actions situé à droite, cliquez sur New Rule.
Suivez l'assistant de création de règle :
1. Pour le Rule Type, sélectionnez Customize et cliquez sur Next.
2. À l'étape Program, sélectionnez All programs ou This program path, puis cliquez sur Next.
  
  Remarque
  L'option All programs applique la règle à tous les programmes. L'option This program path l'applique à un seul programme.
3. À l'étape Protocol and Ports, spécifiez les ports et les protocoles, puis cliquez sur Next.
  
  Cette étape contient les paramètres suivants :
  - Protocol type : défini sur Any dans cet exemple
  - Local port : défini sur All Ports dans cet exemple
  - Remote port : défini sur All Ports dans cet exemple
4. À l'étape Scope, sous la section Which remote IP addresses does this rule apply to?, sélectionnez These IP addresses et cliquez sur Add.
5. Saisissez une adresse IP ou un bloc CIDR (par exemple, l'adresse IP publique de votre ordinateur local) et cliquez sur OK. Cliquez sur Next.
  
  Remarque
  Cliquez de nouveau sur Add pour ajouter d'autres adresses IP ou blocs CIDR.
6. À l'étape Actions, sélectionnez Allow the connection ou Block the connection, puis cliquez sur Next.
7. À l'étape Configuration File, sélectionnez les profils applicables et cliquez sur Next.
  
  Remarque
  Tous les profils sont sélectionnés par défaut. Ajustez cette sélection en fonction de votre environnement réseau.
8. À l'étape Name, saisissez un nom et une description pour la règle, puis cliquez sur Completed.

Étapes suivantes

Si vous ne parvenez pas à vous connecter à l'instance, ajoutez une règle pour autoriser les connexions à distance. Consultez la rubrique Gérer le pare-feu système d'une instance Windows.
Si la connexion échoue toujours après vérification des paramètres du pare-feu, consultez les rubriques Résoudre les échecs de connexion à distance à une instance Windows et Problèmes de connexion RDP.