Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Потому для верности, создавайте правила DNS для каждой программы из белого списка (разрешить UDP исходящее соединение, удаленный порт 53), а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить. Отключив правило, обязательно отключите службу DNS-клиент
    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
    История кумулятивных обновлений для разных версий Windows 10
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10 версии не ниже 1607 Сборка 14393.
    Сборка Process Hacker x64 от ItsJustMe для Windows 10 версии не ниже 1809 Сборка 17763.107. Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять или изменять правила используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 08:30 09-01-2019
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Alex_OS

Цитата:
Почему Windows Firewall, когда какая-либо программа впервые пытается выйти в Интернет, иногда спрашивает, что с этим делать, а иногда просто пускает? Причём, пускает втихаря чаще, чем спрашивает. От чего это зависит?

 
В Microsoft Windows есть такая занятная фича, как права администратора. При установке некоторых программ (от имени этого уважаемого товарища) создателями было заложено добавления исключений в брандмауэр (например, в виде галочке в инсталляторе, как в драйверах для принтера) в тупую, через сильное шаманство.
 
P.S.: большинство современных, более-менее распространённых, честных утилит для выхода в и интернет (первичного) дёргает windows-firewall-api или ещё каким нибудь образом просит через него доступ.
P.P.S.: очевидно, что брандмауэр должен быть включён и соответственно настроен.

Всего записей: 92 | Зарегистр. 12-11-2009 | Отправлено: 18:24 02-11-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
Мелкие "честно" объявили в своей ОС, если пользователь запустил... стало-быть, это его траблы.
После этого все остальное...

Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 18:55 02-11-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Если от админа запустил, то естественно - что это проблемы запустившего...

Всего записей: 92 | Зарегистр. 12-11-2009 | Отправлено: 19:20 02-11-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
Я про исходящие соединения, которые по умолчанию не блокируются и прав,
для выхода в свет, разумеется, не нужно. Отсюда и молчит местный брандмауэр, т.е.
добавлять ничего не требуется.

Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 05:30 03-11-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
А...
Ну если оставлять брандмауэр не настроенным, то да, так и будет.
P.S.: я то думал, если уж в теме тонкой настройки брандмауэра пишут, то хотя бы предварительную провели.

Всего записей: 92 | Зарегистр. 12-11-2009 | Отправлено: 13:15 03-11-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
Чел просто спросил почему

Цитата:
Почему Windows Firewall, когда какая-либо программа впервые пытается выйти в Интернет, иногда спрашивает, что с этим делать, а иногда просто пускает?


Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 15:48 03-11-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Del
Понял, никому не интересно. Тут был Вася пост.

Всего записей: 16749 | Зарегистр. 18-07-2006 | Отправлено: 19:27 13-11-2017 | Исправлено: shadow_member, 09:56 14-11-2017
syrenium

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Коллеги, а разве есть разница между отключением и удалением правила брандмауэра?
Поясню вопрос. Входящие - группа "Удаленное управление службой" по умолчанию выключено. Однако если удалить правила данной группы, при старте или перезагрузке ОС брандмауэр блокирует 4 входящих соединения, которых не было раньше.
Из аудита Просмотра событий Windows:

Цитата:
Служба брандмауэра Windows заблокировала прием входящих сетевых подключений для приложения.
Профили:        Общий
Приложение:        C:\windows\system32\services.exe

Ни портов, ни адресов, ничего другого.

Всего записей: 349 | Зарегистр. 07-12-2015 | Отправлено: 21:37 21-11-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
syrenium
Поигрался на одном из офисных компов (EnterpriseS 2016) с удалением указанной группы.
В аудите было сообщение несколько иное:
"Брандмауэру Windows не удалось уведомить пользователя о том, что прием входящих сетевых подключений для приложения заблокирован."
Сделал несколько перезагрузок, при этом сообщение пару раз появилось, а потом перестало.
Вернул правила взад, перезагрузка... и сообщение вновь появилось.
Какие то входящие соединения в локальной сетке, но не думаю, что появление сообщения связано именно с удалением
правил озвученной группы.

Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 09:14 22-11-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
syrenium
Отключенное правило не работает, удаленое правило не работает, т.к. совсем не существует- разницы нет.

Всего записей: 16749 | Зарегистр. 18-07-2006 | Отправлено: 11:02 22-11-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Однокликовый доступ к брандмауэру Windows, ярлык или из ком. строки.
wf.msc

Всего записей: 16749 | Зарегистр. 18-07-2006 | Отправлено: 17:58 20-12-2017
TVN



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Мои 3 копейки. 10 netsh advfirewall

Всего записей: 2490 | Зарегистр. 19-09-2003 | Отправлено: 00:07 21-12-2017 | Исправлено: TVN, 00:09 21-12-2017
Sraboti

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
В шапке рекомендуется отключить все правила мелкомягких (кроме DHCP), затем добавить разрешающие правила только для того, что нужно; также рекомендуется отключить службу Dnscache. Это я сделал. Мне нужна работа только Firefox, добавил правило для него, - работает, но только по IP адресам (имена не резолвятся).
Вопрос. Какое решение предлагаете для DNS? Включить правило мелкомягких для DNS, наряду с DHCP (в таблице исходящих соединений)? Или в природе существует какой-нибудь сторонний софт для выполнения задач DNS, для которого можно будет написать персональное правило в фаерволе?

Всего записей: 87 | Зарегистр. 24-04-2007 | Отправлено: 20:51 29-12-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Sraboti
Не мучайся, создай (включи) правило для DNS, стандартное.
svchost.exe, исх. TCP и UDP, уд. порт 53, разрешить.

Всего записей: 16749 | Зарегистр. 18-07-2006 | Отправлено: 21:16 29-12-2017
Valery_Sh



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
+

 
Sraboti
Делай как советовал shadow_member, но с небольшим уточнением:
) если есть роутер, укажи только его IP для udp:53
(роутер по DHCP отдаёт свой IP в качестве dns сервера, если не указано иное)
) на самом роутере заблокируй транзитные udp:53/tcp:53 с клиентов.
(На разных прошивках делается по-разному, но в том или ином виде есть почти всегда)
 
Если роутер не совсем тупой, Подробнее...

Всего записей: 1582 | Зарегистр. 30-06-2008 | Отправлено: 13:20 30-12-2017
Sraboti

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Отлично! Роутер присутствует. Спасибо Вам за советы.

Всего записей: 87 | Зарегистр. 24-04-2007 | Отправлено: 20:35 30-12-2017
aliv



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Я просто переставил с нуля 10-ку, пошел таки способом отключения DNS Client и запрета сервиса и создания отдельных правил для походов к 53 порту (DNS) для каждого отдельной программы.  

 
Вот тут описал опыт с нуля без отключение dnsclient - пока все ок. В общем, действительно, отключение dnsclient - сомнительная вещь. При отключении появляются глюки в виде периодического отваливания DNS в разном софте (очень заметно в Chrome).
Может лучше в шапке заменить это текстом о том, что (для LTSB 2016 14393):
1. Ставить Windows с отключенной сетью. С отключенной сетью с флешки поставить драйвера.
2. Сразу после установки без сети с флешки поставить, например, Windows Firewall Control.
3. Все правила, кроме тех, что ниже удалить или запретить.
Оставить:
Core Networking - Dynamic Host Configuration Protocol (DHCP-In) (port 68 <- 67)
Core Networking - Dynamic Host Configuration Protocol (DHCP-Out) (port 68 -> 67)
Core Networking - DNS (UDP-Out) UDP remote port 53
я еще оставил
mDNS (UDP-In)
mDNS (UDP-Out)
5. Включить сеть.
6. Запустить AutoSettings от westlife и жить счастливо и долго

Всего записей: 183 | Зарегистр. 23-04-2003 | Отправлено: 00:48 03-01-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv
Настройка брандмауэра подразумевает не только LTSB
1. Не все отключают
2. Не все ставят
3. Про отключение DNS из шапки убрал
6. AutoSettings не в этой теме обсуждаем.

Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 01:23 03-01-2018
aliv



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Да, я понимаю. Я написал для таких, как я, которым противны выкрутасы последних версий Windows 10, и которые будут ставить только LTSB. Дело в том, что процесс - целостный.
Для максимальной эффективности нужно не просто применить AutoSettings или не только играться настройками firewall'а. Когда закончу эксперименты - напишу по шагам что делать с кастомными скриптами и правилами firewall - куда это все запостить?

Всего записей: 183 | Зарегистр. 23-04-2003 | Отправлено: 14:06 03-01-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv

Цитата:
куда это все запостить?

Тема будет общей и затронет несколько вопросов, включая сторонний софт.  
Правильней создать такую тему в Тестировании.
Например, сам когда-то создал там подобную Бесконтрольность Windows 10,
дабы не раздражать постояльцев в основных темах здесь.
А в местных шапках можно добавить на вновь созданную тему ссылку, как на смежную.
 
Добавлено:
Кстати, вы можете дополнить\продолжить тему Бесконтрольность Windows 10, осветив там свое видение
вопроса "Как взять полный контроль над 10"

Всего записей: 7634 | Зарегистр. 12-10-2001 | Отправлено: 14:28 03-01-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru

Рейтинг.ru