KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft. Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.   Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности. ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:     Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP) Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Потому для верности, создавайте правила DNS для каждой программы из белого списка (разрешить UDP исходящее соединение, удаленный порт 53), а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить. Отключив правило, обязательно отключите службу DNS-клиент Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark. После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками. Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1 История кумулятивных обновлений для разных версий Windows 10   Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений. Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.   Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками. Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10 версии не ниже 1607 Сборка 14393. Сборка Process Hacker x64 от ItsJustMe для Windows 10 версии не ниже 1809 Сборка 17763.107. Вопросы по работе Process Hacker (изучите там шапку). Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам, удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.   Как добавлять или изменять правила используя командную строку (команда netsh).   Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).   Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении   Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)   Также, для удобства создания правил, есть другой инструмент Windows Firewall Control. Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.   Включить аудит Платформы фильтрации IP-пакетов   Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell   Проверка брандмауэра на наличие уязвимостей   Смежные темы: Настройка персональных файерволов (firewall rules) Бесконтрольность Windows 10 Быстрая настройка Windows   Шапку и около-темные вопросы обсуждаем здесь Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 08:30 09-01-2019

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Ratiborus Хорошо, что решили написать гуй на потребу юзерам.   Плохо, если занялись изобретением велосипеда. Начиная с 8.1 можно дёргать такой скрипт:   Код:   function Export-NetshFirewallRule {  [CmdletBinding()]      Param(     [Parameter(Mandatory=$true,ValueFromPipeline=$true)]       [CimInstance[]] $Rule  )    process {         $Name = $($psitem.DisplayName)           $Direction = $($psitem.Direction) -replace 'bound',''           $Action = $psitem.Action           $Profile = $psitem.Profile           $Program = ($psitem | Get-NetFirewallApplicationFilter).Program           $Protocol = ($psitem | Get-NetFirewallPortFilter).Protocol           $Remoteport = ($psitem | Get-NetFirewallPortFilter).RemotePort -join ','           $Remoteip = ($psitem | Get-NetFirewallAddressFilter).RemoteAddress -join ','             #сцуко netsh хочет непременно двойные кавычки           $Doublequote='#'             $result = "netsh advfirewall firewall add rule name=#$Name# dir=$Direction action=$action profile=$Profile program=#$Program# protocol=$Protocol remoteport=$Remoteport remoteip=$Remoteip"         $netsh = $result -replace $Doublequote,'"'           $netsh  } }   #ЗДЕСЬ КАКИЕ ПРАВИЛА НА ВХОД КОМАНДЛЕТА ПОДАДИТЕ ТАКИЕ И ЭКСПОРТИРУЮТСЯ   $rules = Get-NetFirewallRule -DisplayName '*DHCP*','*HTTP*' $rules | Export-NetshFirewallRule   Всего записей: 11204 | Зарегистр. 14-10-2001 | Отправлено: 17:02 07-03-2017 | Исправлено: LevT, 10:07 08-03-2017

Gosuto BANNED Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору ну и экспорт-импорт, чтоб минуя все батники и т.п.   Добавлено: скрипт неудобен, мороки больше, imnsho   Добавлено: а от такого вообще башню может снести, неподготовленным Цитата: #сцуко netsh хочет непременно двойные кавычки   Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 17:03 07-03-2017 | Исправлено: Gosuto, 17:05 07-03-2017

Ratiborus Gold Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT Утила исключительно для того чтобы послать своё правило другому. ---------- KMS Активаторы "Если программа работает, значит в ней ничего не нужно менять"© Всего записей: 8849 | Зарегистр. 18-06-2005 | Отправлено: 17:08 07-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Gosuto Цитата: скрипт неудобен, мороки больше, imnsho   вопрос вкуса: кто-то любит ананас, а кто-то свиной хрящик. Меня вот категорически задолбали повторяющиеся действия в окошках.   ПММ, окошки хороши, когда надо сориентироваться в новой для себя предметной области. И то если UI сделан грамотно.     Вот например есть программа robocopy.exe со страшными ключами, и не менее страшные гуёвины к ней. А есть DSC ресурс xRobocopy: те же самые настройки представлены на человеческом английском _языке_ с подсказками и автодополнением. (Желающие могут заняться русской локализацией: инфраструктура для этого в пошике есть).     Добавлено: Ratiborus Цитата: Утила исключительно для того чтобы послать своё правило другому.   Так и скриптик для того же Причём логика выбора правил для экспорта вшита в Powershell и задаётся ключами   Get-NetFirewallRule -DisplayName 'Voyager', '*DHCP*'  -ещёмногоключей         Добавлено: Ratiborus И ещё: написание представленного скриптика у меня заняло полчаса-час. А сколько Вашего времени отняла эта утилита? Всего записей: 11204 | Зарегистр. 14-10-2001 | Отправлено: 17:14 07-03-2017 | Исправлено: LevT, 17:27 07-03-2017

Ratiborus Gold Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT Чуть больше часа. С перекурчиками. В ней ни чего сложного, она на Пурике. ---------- KMS Активаторы "Если программа работает, значит в ней ничего не нужно менять"© Всего записей: 8849 | Зарегистр. 18-06-2005 | Отправлено: 17:28 07-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Ratiborus   А теперь сравните функциональность )     Добавлено: И настраиваемость.   Добавлено: И объём кода тоже.   И его читабельность: что-то слегка подправить может любой человек с базовыми понятиями лишь.   Всего записей: 11204 | Зарегистр. 14-10-2001 | Отправлено: 17:32 07-03-2017 | Исправлено: LevT, 17:38 07-03-2017

Ratiborus Gold Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT Цитата: И объём кода тоже Вот про объём не будем. Плюсуйте ко всем своим прожкам и скриптам папку "c:\Windows\Microsoft.NET\Framework\v4.0.30319\". Последние версии pidgenx.dll не работают на XP. Наверное и её на шарпе писали.... ---------- KMS Активаторы "Если программа работает, значит в ней ничего не нужно менять"© Всего записей: 8849 | Зарегистр. 18-06-2005 | Отправлено: 17:43 07-03-2017 | Исправлено: KLASS, 18:28 07-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Ratiborus Цитата: Вот про объём не будем.   дык это детали рантайма, который и так у всех есть. Я об объёме кода, который надо понимать для того, чтобы утилиту поддерживать.   Но предупреждаю, что нужный модуль NetSecurity есть только начиная с 8.1   для более ранней винды можно скрипт поправить, воспользовавшись сторонним модулем (найдя его в галерее через Find-Module)   Всего записей: 11204 | Зарегистр. 14-10-2001 | Отправлено: 17:48 07-03-2017 | Исправлено: LevT, 17:50 07-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору   ДА! Я совсем забыл написать про очевидную для себя фичу пошика   $rules = Get-NetFirewallRule -DisplayName '*DHCP*','*HTTP*' | Out-GridView -PassThru   Если дописать выделенное жирным, то получается ГУЙ! С возможностью искать и фильтровать, а также выделить только нужные строчки и передать инструменту-командлету   Всего записей: 11204 | Зарегистр. 14-10-2001 | Отправлено: 09:26 08-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Добавил утиль FireWallRulesParser в шапку. Всяко удобней юзеру, чем Цитата: ЗДЕСЬ КАКИЕ ПРАВИЛА НА ВХОД КОМАНДЛЕТА ПОДАДИТЕ ТАКИЕ И ЭКСПОРТИРУЮТСЯ   Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 09:26 08-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору     Выдача: Код:   netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol for IPv6(DHCPV6-In)" dir=In action=All ow profile=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=547 remoteip=Any netsh advfirewall firewall add rule name="Core Networking - IPHTTPS (TCP-In)" dir=In action=Allow profile=Any program="System" protoco l=TCP remoteport=Any remoteip=Any netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol (DHCP-Out)" dir=Out action=Allow profi le=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=67 remoteip=Any       Добавлено: KLASS Цитата: Всяко удобней юзеру, чем     Юзеру-ХАЛЯВЩИКУ-МЫШЕВОЗУ-ВЫЕЗЖАЮЩЕМУ НА ЧУЖОМ ГОРБУ может быть и удобно...  но для разработчика трудоёмко.   А с пошиком разработчики могут сосредоточиться на полезном функционале. Всего записей: 11204 | Зарегистр. 14-10-2001 | Отправлено: 09:31 08-03-2017 | Исправлено: LevT, 09:43 08-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT Цитата: Юзеру-ХАЛЯВЩИКУ-МЫШЕВОЗУ-ВЫЕЗЖАЮЩЕМУ НА ЧУЖОМ ГОРБУ А где ты других то видел юзеров Цитата: Выдача: А как это выдать не понял? Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 09:44 08-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: А где ты других то видел юзеров   Дык ресурсы разработчиков ограничены, на всё сразу не хватит. Или ублажать халявщиков, или в кругу себе подобных заниматься полезными проектами (которые недоступны пониманию халявщиков). Халявщикам тоже потом перепадут какие-нибудь результаты этой работы.   ЗЫ. Как выдать - взгляни чуть выше. Всего записей: 11204 | Зарегистр. 14-10-2001 | Отправлено: 09:47 08-03-2017 | Исправлено: LevT, 09:51 08-03-2017

Gosuto BANNED Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: Юзер-ХАЛЯВЩИК-МЫШЕВОЗ-ВЫЕЗЖАЮЩИЙ НА ЧУЖОМ ГОРБУ .....))) А что гласит принцип Оккама? Цитата: Не следует множить сущее без необходимости Пока будет в таком виде: Код: netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol for IPv6(DHCPV6-In)" dir=In action=All   ow profile=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=547 remoteip=Any   netsh advfirewall firewall add rule name="Core Networking - IPHTTPS (TCP-In)" dir=In action=Allow profile=Any program="System" protoco   l=TCP remoteport=Any remoteip=Any   netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol (DHCP-Out)" dir=Out action=Allow profi   le=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=67 remoteip=Any оно подавляющему большинству пользователей и даром не нужно. это я ответственно, как "халявщик", заявляю   Добавлено: вообще-то, мы все - "партнеры" Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 09:56 08-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT Так эта "выдача" в нижнем окне ISE, тьфу ты... я те говорю, как скопировать, например, одну команду добавления правила из гуйного окна? Может ли пошик добавить такую команду в ГУЙ? Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 10:02 08-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Gosuto Если у разработчиков останутся ресурсы после сложной совместной деятельности       Добавлено: KLASS Ты выбираешь в гуе нужные строчки - и только они оказываются в переменной. Которая дальше подаётся на вход командлета  | Export-NetshFirewallRule     Всего записей: 11204 | Зарегистр. 14-10-2001 | Отправлено: 10:03 08-03-2017 | Исправлено: LevT, 10:07 08-03-2017

Gosuto BANNED Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору LevT, ну вроде же есть инструменты, powershell studio там, еще какие-то конвертеры в exe. Можно же сделать нормальную, удобную утилиту (если ps так мощен)? Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 10:07 08-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Gosuto Кому это надо, тот пусть этим и занимается А меня заботит ПОЛЕЗНЫЙ функционал.     Добавлено:   Совершенно не обязательно делать гуй именно на пошике. Кто умеет быстро делать гуй в чём угодно, может дёргать полезные функции пошика. Всего записей: 11204 | Зарегистр. 14-10-2001 | Отправлено: 10:08 08-03-2017 | Исправлено: LevT, 10:12 08-03-2017

Gosuto BANNED Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору хмм, жаль. ну тогда будет прямо по Шекспиру: Цитата: And enterprises of great pith and moment With this regard their currents turn awry, And lose the name of action. Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 10:11 08-03-2017

LevT Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Gosuto Короче, кому надо ехать - те выбирают пошик.   От описанных вами потреблятствующих юзеров всё равно никакого проку для совместного проекта. Но в результате и им что-то перепадёт - притом больше и лучшего качества.     Добавлено:   Цитата: Пока будет в таком виде:   Код: netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol for IPv6(DHCPV6-In)" dir=In action=All     оно подавляющему большинству пользователей и даром не нужно.     Это выдача в том именно формате, который заказывал юзерствующий KLASS   Вы не понимаете главного: с результатом выборки (массивом из объектов [CimInstance]) можно дальше делать что только позволяет фантазия. Например, применить по сети к соседнему компьютеру. Всего записей: 11204 | Зарегистр. 14-10-2001 | Отправлено: 10:15 08-03-2017 | Исправлено: LevT, 10:22 08-03-2017

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Имя: Пароль: Сообщение Для вставки имени, кликните на нем. Опции сообщения Добавить свою подпись Подписаться на получение ответов по e-mail Добавить тему в личные закладки Разрешить смайлики? Запретить коды

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование