WIGF
Advanced Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Dorovsky
1. Не совсем так, но смысл такой.
Вряд ли это сам CIS рассылает RST, это ведь не iptables, а всего лишь персональный фаервол. Просто не закрыты в нём порты и всё.
2. Действительно WWDC убивает одну необходимую для CIS службу - "Службы терминалов". Насколько помню это в первом пункте WWDC. Но там можно ответить "НЕТ" на запрос об отключении службы, а порты закрыть и всё будет ОК. Либо вручную потом включить эту службу. Так что у него не полная информация. Можете ему написать о этом (я по аглицки не смогу написать).
3. Сейчас посмотрю...
Понятно. В таком виде правила некорректно работают. Лучше разделять входящие и исходящие, когда в правиле есть порты и только в одном месте. Т.е. в GR вместо первого правила сделать такие:
• Запретить TCP и UDP входящие из IP любого в IP любой, где порт отправителя: (любой) и порт получателя: [Запретные порты]
• Запретить TCP и UDP исходящие из IP любого в IP любой, где порт отправителя: (любой) и порт получателя: [Запретные порты]
Исходящие, кстати, незачем блочить. Главное, чтобы извне никто не подключился.
А в AR нужно ещё поискать правила для других системных приложений (alg.exe, lsass.exe и группы), а то может в них открыты эти порты. И лучше бы им всем позапрещать всё, т.к. для обновления виндоса используется svchost.exe, для других целей System и WOS, а остальным системным файлам делать в инете нечего. |
Всего записей: 1219 | Зарегистр. 19-09-2007 | Отправлено: 11:00 13-06-2009 | Исправлено: WIGF, 11:14 13-06-2009 |
|
Надо отвыкать от этого. 
функционал фаервола. Непонятно. Тем более, что она применялась до установки CIS. 