ドメイン参加後 Windowsファイアウォールを無効にできない
こんな現象にずいぶん前から悩まされていたのですが、
たまたま改善した事例がついに一件発生したのでメモしておきます。
なお、正確には
「セキュリティセンター内のWindowsファイアウォールの設定画面から、
GUIでWindowsファイアウォールを無効/有効にできない」
というもの。
元々、ワークグループや他のドメインを利用していたXP SP2のPCで、
とある業務ソフトの都合上、Windowsファイアウォールを手動で無効にしていたのですが、
とあるドメインに参加したところ、Windowsファイアウォールが有効になり、
しかも、Windowsファイアウォールの設定画面でも、ラジオボタンがグレーアウトし、
Windowsファイアウォールを無効にできない、という症状でした。
大体、100台に1台あるかないかぐらいの発生率。
発生のトリガーがドメインに参加したことなので、
ドメインセキュリティポリシーの影響によってそうなった可能性が高いわけですが、
ドメイン側のドメインセキュリティポリシーでは、
「Windowsファイアウォール: ネットワーク接続を全て保護する」
のポリシーは「未構成」になっています。
念のため、対象のPCで、グループポリシーを確認してみても、
「ドメイン プロファイル」「標準プロファイル」のどちらを見ても、「未構成」です。
レジストリで確認するとレジストリキーは「有効」の値で、
該当するレジストリキーに対してのアクセス権も正常。
以上から、グレーアウトする理由が全くわからず、解決する方法も無かったため、
ローカルコンピュータポリシーから「無効」にしたり、
「Windows Firewall/Internet Connection Sharing (ICS)」サービスを停止したり、
そんな暫定策で逃げていました。(レジストリ修正は流石にアレなのでやっていない）
ウィルス対策ソフトとかの影響かなぁ、とか漠然と思っていたのですが、
ある日ふと思い立って、グループポリシーで一度「無効」にした後、
グループポリシーを「未構成」に戻す、ということをやってみたところ、
グレーアウトが解除され、GUIで簡単に有効無効ができるようになりました。
不思議。だけどもかなり嬉しい。なんでもっと早く試してみなかったのか悔やまれる。
また発生したPCがあったら試してみることにする。
もし成功するようなら、オーソライズしてもいいかもしれない……。
具体的手順(ローカルAdministrators権限のユーザで行うこと）
1.「スタート」をクリックし、「ファイル名を指定して実行」をクリック
2.[ファイル名を指定して実行」ウィンドウで、[名前]欄に「gpedit.msc」と入力し「OK」をクリック
3.[グループポリシー]ウィンドウの左ペインで、以下のポリシーを開く
[ローカル コンピュータ ポリシー]
-[コンピュータの構成]
-[管理用テンプレート]
-[ネットワーク]
-[ネットワーク接続]
-[Windows ファイアウォール]
-[ドメイン プロファイル]
4.右ペインの一覧から[Windowsファイアウォール: ネットワーク接続を全て保護する]をWクリック
5.[Windowsファイアウォール: ネットワーク接続を全て保護するのプロパティ]ウィンドウの
ラジオボタンを[無効]に設定し、[OK]をクリック
6.[グループポリシー]ウィンドウの左ペインで、以下のポリシーを開く
[ローカル コンピュータ ポリシー]
-[コンピュータの構成]
-[管理用テンプレート]
-[ネットワーク]
-[ネットワーク接続]
-[Windows ファイアウォール]
-[標準 プロファイル]
7.5.と同様に、該当ポリシーを無効にする
8.5.で無効にしたポリシーを再度開き、「未構成」に戻す
9.7.で無効にしたポリシーを再度開き、「未構成」に戻す
10.[グループポリシー]ウィンドウで「×」をクリック
11.[スタート]をクリックし、[コントロール パネル]をクリック
12.[コントロール パネル]ウィンドウで、[セキュリティ センター]をクリック
13.[セキュリティ センター]ウィンドウで、[Windows ファイアウォール]をクリック
14.ラジオボタンが「有効」「無効」と選択できることを確認。
(12/6追記)
同現象が発生したユーザが居たので試してもらったが、解決しなかった。
細々と間にやった手順が影響あったのか……？ 考えにくいんだけどなぁ。
(12/20追記)
ドメインプロファイルと標準プロファイルの両方を触った方が良いという
意見があったので、修整しておいた。
でも、私はこの手順でもだめだったことがある……。
