KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft. Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.   Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности. ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:     Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP) Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Потому для верности, создавайте правила DNS для каждой программы из белого списка, а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить. Отключив правило, обязательно отключите службу DNS-клиент Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark. После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками. Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1 История кумулятивных обновлений для разных версий Windows 10   Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений. Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.   Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками. Сборка Process Hacker x64 от ItsJustMe для Windows 10 версии не ниже 1607 Build 14393. Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам, удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.   Как добавлять или изменять правила используя командную строку (команда netsh).   Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).   Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении   Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)   Также, для удобства создания правил, есть другой инструмент Windows Firewall Control. Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.   Включить аудит Платформы фильтрации IP-пакетов   Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell   Проверка брандмауэра на наличие уязвимостей   Смежные темы: Настройка персональных файерволов (firewall rules) Бесконтрольность Windows 10 Быстрая настройка Windows   Шапку и около-темные вопросы обсуждаем здесь Всего записей: 7475 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 12:19 05-11-2018

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Ratiborus Хорошо, что решили написать гуй на потребу юзерам.   Плохо, если занялись изобретением велосипеда. Начиная с 8.1 можно дёргать такой скрипт:   Код:   function Export-NetshFirewallRule {  [CmdletBinding()]      Param(     [Parameter(Mandatory=$true,ValueFromPipeline=$true)]       [CimInstance[]] $Rule  )    process {         $Name = $($psitem.DisplayName)           $Direction = $($psitem.Direction) -replace 'bound',''           $Action = $psitem.Action           $Profile = $psitem.Profile           $Program = ($psitem | Get-NetFirewallApplicationFilter).Program           $Protocol = ($psitem | Get-NetFirewallPortFilter).Protocol           $Remoteport = ($psitem | Get-NetFirewallPortFilter).RemotePort -join ','           $Remoteip = ($psitem | Get-NetFirewallAddressFilter).RemoteAddress -join ','             #сцуко netsh хочет непременно двойные кавычки           $Doublequote='#'             $result = "netsh advfirewall firewall add rule name=#$Name# dir=$Direction action=$action profile=$Profile program=#$Program# protocol=$Protocol remoteport=$Remoteport remoteip=$Remoteip"         $netsh = $result -replace $Doublequote,'"'           $netsh  } }   #ЗДЕСЬ КАКИЕ ПРАВИЛА НА ВХОД КОМАНДЛЕТА ПОДАДИТЕ ТАКИЕ И ЭКСПОРТИРУЮТСЯ   $rules = Get-NetFirewallRule -DisplayName '*DHCP*','*HTTP*' $rules | Export-NetshFirewallRule   Всего записей: 10843 | Зарегистр. 14-10-2001 | Отправлено: 17:02 07-03-2017 | Исправлено: LevT, 10:07 08-03-2017

Gosuto BANNED Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору ну и экспорт-импорт, чтоб минуя все батники и т.п.   Добавлено: скрипт неудобен, мороки больше, imnsho   Добавлено: а от такого вообще башню может снести, неподготовленным Цитата: #сцуко netsh хочет непременно двойные кавычки   Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 17:03 07-03-2017 | Исправлено: Gosuto, 17:05 07-03-2017

Ratiborus Gold Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT Утила исключительно для того чтобы послать своё правило другому. ---------- KMS Активаторы "Если программа работает, значит в ней ничего не нужно менять"© Всего записей: 8674 | Зарегистр. 18-06-2005 | Отправлено: 17:08 07-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Gosuto Цитата: скрипт неудобен, мороки больше, imnsho   вопрос вкуса: кто-то любит ананас, а кто-то свиной хрящик. Меня вот категорически задолбали повторяющиеся действия в окошках.   ПММ, окошки хороши, когда надо сориентироваться в новой для себя предметной области. И то если UI сделан грамотно.     Вот например есть программа robocopy.exe со страшными ключами, и не менее страшные гуёвины к ней. А есть DSC ресурс xRobocopy: те же самые настройки представлены на человеческом английском _языке_ с подсказками и автодополнением. (Желающие могут заняться русской локализацией: инфраструктура для этого в пошике есть).     Добавлено: Ratiborus Цитата: Утила исключительно для того чтобы послать своё правило другому.   Так и скриптик для того же Причём логика выбора правил для экспорта вшита в Powershell и задаётся ключами   Get-NetFirewallRule -DisplayName 'Voyager', '*DHCP*'  -ещёмногоключей         Добавлено: Ratiborus И ещё: написание представленного скриптика у меня заняло полчаса-час. А сколько Вашего времени отняла эта утилита? Всего записей: 10843 | Зарегистр. 14-10-2001 | Отправлено: 17:14 07-03-2017 | Исправлено: LevT, 17:27 07-03-2017

Ratiborus Gold Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT Чуть больше часа. С перекурчиками. В ней ни чего сложного, она на Пурике. ---------- KMS Активаторы "Если программа работает, значит в ней ничего не нужно менять"© Всего записей: 8674 | Зарегистр. 18-06-2005 | Отправлено: 17:28 07-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Ratiborus   А теперь сравните функциональность )     Добавлено: И настраиваемость.   Добавлено: И объём кода тоже.   И его читабельность: что-то слегка подправить может любой человек с базовыми понятиями лишь.   Всего записей: 10843 | Зарегистр. 14-10-2001 | Отправлено: 17:32 07-03-2017 | Исправлено: LevT, 17:38 07-03-2017

Ratiborus Gold Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT Цитата: И объём кода тоже Вот про объём не будем. Плюсуйте ко всем своим прожкам и скриптам папку "c:\Windows\Microsoft.NET\Framework\v4.0.30319\". Последние версии pidgenx.dll не работают на XP. Наверное и её на шарпе писали.... ---------- KMS Активаторы "Если программа работает, значит в ней ничего не нужно менять"© Всего записей: 8674 | Зарегистр. 18-06-2005 | Отправлено: 17:43 07-03-2017 | Исправлено: KLASS, 18:28 07-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Ratiborus Цитата: Вот про объём не будем.   дык это детали рантайма, который и так у всех есть. Я об объёме кода, который надо понимать для того, чтобы утилиту поддерживать.   Но предупреждаю, что нужный модуль NetSecurity есть только начиная с 8.1   для более ранней винды можно скрипт поправить, воспользовавшись сторонним модулем (найдя его в галерее через Find-Module)   Всего записей: 10843 | Зарегистр. 14-10-2001 | Отправлено: 17:48 07-03-2017 | Исправлено: LevT, 17:50 07-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору   ДА! Я совсем забыл написать про очевидную для себя фичу пошика   $rules = Get-NetFirewallRule -DisplayName '*DHCP*','*HTTP*' | Out-GridView -PassThru   Если дописать выделенное жирным, то получается ГУЙ! С возможностью искать и фильтровать, а также выделить только нужные строчки и передать инструменту-командлету   Всего записей: 10843 | Зарегистр. 14-10-2001 | Отправлено: 09:26 08-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Добавил утиль FireWallRulesParser в шапку. Всяко удобней юзеру, чем Цитата: ЗДЕСЬ КАКИЕ ПРАВИЛА НА ВХОД КОМАНДЛЕТА ПОДАДИТЕ ТАКИЕ И ЭКСПОРТИРУЮТСЯ   Всего записей: 7475 | Зарегистр. 12-10-2001 | Отправлено: 09:26 08-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору     Выдача: Код:   netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol for IPv6(DHCPV6-In)" dir=In action=All ow profile=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=547 remoteip=Any netsh advfirewall firewall add rule name="Core Networking - IPHTTPS (TCP-In)" dir=In action=Allow profile=Any program="System" protoco l=TCP remoteport=Any remoteip=Any netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol (DHCP-Out)" dir=Out action=Allow profi le=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=67 remoteip=Any       Добавлено: KLASS Цитата: Всяко удобней юзеру, чем     Юзеру-ХАЛЯВЩИКУ-МЫШЕВОЗУ-ВЫЕЗЖАЮЩЕМУ НА ЧУЖОМ ГОРБУ может быть и удобно...  но для разработчика трудоёмко.   А с пошиком разработчики могут сосредоточиться на полезном функционале. Всего записей: 10843 | Зарегистр. 14-10-2001 | Отправлено: 09:31 08-03-2017 | Исправлено: LevT, 09:43 08-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT Цитата: Юзеру-ХАЛЯВЩИКУ-МЫШЕВОЗУ-ВЫЕЗЖАЮЩЕМУ НА ЧУЖОМ ГОРБУ А где ты других то видел юзеров Цитата: Выдача: А как это выдать не понял? Всего записей: 7475 | Зарегистр. 12-10-2001 | Отправлено: 09:44 08-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: А где ты других то видел юзеров   Дык ресурсы разработчиков ограничены, на всё сразу не хватит. Или ублажать халявщиков, или в кругу себе подобных заниматься полезными проектами (которые недоступны пониманию халявщиков). Халявщикам тоже потом перепадут какие-нибудь результаты этой работы.   ЗЫ. Как выдать - взгляни чуть выше. Всего записей: 10843 | Зарегистр. 14-10-2001 | Отправлено: 09:47 08-03-2017 | Исправлено: LevT, 09:51 08-03-2017

Gosuto BANNED Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: Юзер-ХАЛЯВЩИК-МЫШЕВОЗ-ВЫЕЗЖАЮЩИЙ НА ЧУЖОМ ГОРБУ .....))) А что гласит принцип Оккама? Цитата: Не следует множить сущее без необходимости Пока будет в таком виде: Код: netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol for IPv6(DHCPV6-In)" dir=In action=All   ow profile=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=547 remoteip=Any   netsh advfirewall firewall add rule name="Core Networking - IPHTTPS (TCP-In)" dir=In action=Allow profile=Any program="System" protoco   l=TCP remoteport=Any remoteip=Any   netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol (DHCP-Out)" dir=Out action=Allow profi   le=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=67 remoteip=Any оно подавляющему большинству пользователей и даром не нужно. это я ответственно, как "халявщик", заявляю   Добавлено: вообще-то, мы все - "партнеры" Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 09:56 08-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT Так эта "выдача" в нижнем окне ISE, тьфу ты... я те говорю, как скопировать, например, одну команду добавления правила из гуйного окна? Может ли пошик добавить такую команду в ГУЙ? Всего записей: 7475 | Зарегистр. 12-10-2001 | Отправлено: 10:02 08-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Gosuto Если у разработчиков останутся ресурсы после сложной совместной деятельности       Добавлено: KLASS Ты выбираешь в гуе нужные строчки - и только они оказываются в переменной. Которая дальше подаётся на вход командлета  | Export-NetshFirewallRule     Всего записей: 10843 | Зарегистр. 14-10-2001 | Отправлено: 10:03 08-03-2017 | Исправлено: LevT, 10:07 08-03-2017

Gosuto BANNED Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT, ну вроде же есть инструменты, powershell studio там, еще какие-то конвертеры в exe. Можно же сделать нормальную, удобную утилиту (если ps так мощен)? Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 10:07 08-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Gosuto Кому это надо, тот пусть этим и занимается А меня заботит ПОЛЕЗНЫЙ функционал.     Добавлено:   Совершенно не обязательно делать гуй именно на пошике. Кто умеет быстро делать гуй в чём угодно, может дёргать полезные функции пошика. Всего записей: 10843 | Зарегистр. 14-10-2001 | Отправлено: 10:08 08-03-2017 | Исправлено: LevT, 10:12 08-03-2017

Gosuto BANNED Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору хмм, жаль. ну тогда будет прямо по Шекспиру: Цитата: And enterprises of great pith and moment With this regard their currents turn awry, And lose the name of action. Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 10:11 08-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Gosuto Короче, кому надо ехать - те выбирают пошик.   От описанных вами потреблятствующих юзеров всё равно никакого проку для совместного проекта. Но в результате и им что-то перепадёт - притом больше и лучшего качества.     Добавлено:   Цитата: Пока будет в таком виде:   Код: netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol for IPv6(DHCPV6-In)" dir=In action=All     оно подавляющему большинству пользователей и даром не нужно.     Это выдача в том именно формате, который заказывал юзерствующий KLASS   Вы не понимаете главного: с результатом выборки (массивом из объектов [CimInstance]) можно дальше делать что только позволяет фантазия. Например, применить по сети к соседнему компьютеру. Всего записей: 10843 | Зарегистр. 14-10-2001 | Отправлено: 10:15 08-03-2017 | Исправлено: LevT, 10:22 08-03-2017

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Имя: Пароль: Сообщение Для вставки имени, кликните на нем. Опции сообщения Добавить свою подпись Подписаться на получение ответов по e-mail Добавить тему в личные закладки Разрешить смайлики? Запретить коды

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование