Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Потому для верности, создавайте правила DNS для каждой программы из белого списка, а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить.
    Отключив правило, обязательно отключите службу DNS-клиент
    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра.
    Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
    История кумулятивных обновлений для разных версий Windows 10
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10 версии не ниже 1607 Сборка 14393.
    Сборка Process Hacker x64 от ItsJustMe для Windows 10 версии не ниже 1809 Сборка 17763.107. Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять или изменять правила используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 7510 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 09:32 27-11-2018
Gosuto



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Зачетная тема
Вот, наверно, одним из первых приложений, т.е. правил для него, по идее должен стать скайп.
Многие ведь им пользуются.

Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 23:16 05-03-2017
freeman440

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
наверное связанное с NetBios не стоит отключать, иначе к инету нет подключенияНе дает подключиться к инету после
Цитата:
Блокируем все исходящие подключения
и на этом я завис

Всего записей: 2237 | Зарегистр. 17-09-2008 | Отправлено: 00:07 06-03-2017 | Исправлено: freeman440, 00:45 06-03-2017
uncleShi



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Не америки открытие конечно, но кое-что полезное для топика можно подсмотреть в стороннем софте:

-

Всего записей: 2608 | Зарегистр. 29-05-2003 | Отправлено: 00:34 06-03-2017 | Исправлено: uncleShi, 00:35 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
Если все отключили это ожидаемо, про Process Hacker в шапке прочитали?. Запускаете и смотрите, куда ломится ваш браузер.
Сам юзаю Cent Browser, 2 правила для него TCP и UDP, одно правило в одну строку, все что красным подставить свое:

Цитата:
 
netsh advfirewall firewall add rule name="CentBrowser (TCP - исходящий трафик)" dir=out action=allow profile=public,private protocol=TCP remoteport=80,443,1080,182,8080 program="Путь_к_программе\chrome.exe"
 
netsh advfirewall firewall add rule name="CentBrowser (UDP - исходящий трафик)" dir=out action=allow profile=public,private protocol=UDP remoteport=53 remoteip=IP_DNS_серверов_провайдера_через_запятую_без_пробела program="Путь_к_программе\chrome.exe"

 
Добавлено:
Да, и "Отключаем все правила M$" иначе, телеметрия, как лилась так и будет литься.

Всего записей: 7510 | Зарегистр. 12-10-2001 | Отправлено: 08:28 06-03-2017 | Исправлено: KLASS, 08:44 06-03-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
qw12
Цитата:
Можете эти диапазоны добавить в свой фаервол. Гы.  
, и Скайп не будет работать.
Блокирование диапазонами вещь хрупкая.

Всего записей: 16214 | Зарегистр. 18-07-2006 | Отправлено: 09:30 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto
Скайпу вряд ли создашь ограниченное правило, запусти Process Hacker на вкладке Firewall и запусти Скайп. Там туева хуча IP и портов по которым он шарится. Так что создаешь два обычных правила (входящее и исходящее) для Скайпа, где все разрешено.

Всего записей: 7510 | Зарегистр. 12-10-2001 | Отправлено: 17:26 06-03-2017 | Исправлено: KLASS, 17:34 06-03-2017
freeman440

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
про Process Hacker в шапке прочитали?. Запускаете и смотрите, куда ломится ваш браузер.

чистое окно и ничего в нем не происходит, может чего надо настроить?
Для создания правил воспользовался Windоws Firewall Control и в нем уже создал правила, нужные для подключения к инету:
-Хост-процесс для служб Windows (svchost.exe) - пришлось разрешить любой удаленный адрес и удаленный порт, иначе количество уведомлений сводит с ума
-System (System)

Всего записей: 2237 | Зарегистр. 17-09-2008 | Отправлено: 17:37 06-03-2017
MR_DesigneR



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
чистое окно и ничего в нем не происходит, может чего надо настроить?  

freeman440
От админа прогу запускайте.

Всего записей: 10063 | Зарегистр. 06-09-2014 | Отправлено: 17:42 06-03-2017
freeman440

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
MR_DesigneR: (17:42 06-03-2017)
Цитата:
От админа прогу запускайте.

не понял? неужели еще кто-то сидит с обычными правами на своем ПК?

Всего записей: 2237 | Зарегистр. 17-09-2008 | Отправлено: 17:45 06-03-2017
MR_DesigneR



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
 Учётка с правами, но фаер в проге у меня шуршит только от админа)

Всего записей: 10063 | Зарегистр. 06-09-2014 | Отправлено: 17:49 06-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
вот от таких-то, кто сидит с админскими правами, и придумана защита.
ПКМ "Run as Administrator"

Всего записей: 11023 | Зарегистр. 14-10-2001 | Отправлено: 17:49 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
От админа, стало-быть по правой кнопке

Цитата:
-Хост-процесс для служб Windows (svchost.exe) - пришлось разрешить любой удаленный адрес и удаленный порт, иначе количество уведомлений сводит с ума

Стало-быть разрешили телеметрию... низя так настраивать, иначе можно было ничего не делать и работать с правилами по умолчанию.
 
Добавлено:
Кстати, о каких уведомлениях идет речь?
 
Добавлено:
Добавил в шапку запись "Открываем Process Hacker от имени администратора (по ПКМ)..."

Всего записей: 7510 | Зарегистр. 12-10-2001 | Отправлено: 17:49 06-03-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440

Цитата:
(svchost.exe) - пришлось разрешить любой удаленный адрес и удаленный порт

Совершенно неправильно. Пальцев на одной руке больше, чем ему нужно правил.
Цитата:
, иначе количество уведомлений сводит с ума
Регулируется настройками Windоws Firewall Control, в итоге для svchost.exe разрешено очень мало, а сообщений о его попытках соединения нет совсем, хотя в логах записей о попытках полно.
В общем, стоит изучать соответствующую тему и настраивать правильно.

Всего записей: 16214 | Зарегистр. 18-07-2006 | Отправлено: 18:02 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
Понятно, что за уведомления... от Windоws Firewall Control
Я же вам дал правила для браузера (Windоws Firewall Control не нужен вовсе), для любого гуглохрома пойдет и не только.
Какой браузер и ОС?
 
Добавлено:
У меня для svchost одно отключенное правило, которое включаю изредка и временно через батник при отправке файлов по WebDav на ЯДиск только по UDP 53 и только на внутренние IP, типа 192.168.х.х. и DNS провайдера. Все остальное время у этого процесса нет хода вообще никуда, кроме DHCP, разумеется.
 
Добавлено:
Если ему нужна внутренняя сеть, то так и указывайте ему диапазон IP адресов сетки, все остальное низя.

Всего записей: 7510 | Зарегистр. 12-10-2001 | Отправлено: 18:09 06-03-2017 | Исправлено: KLASS, 18:18 06-03-2017
freeman440

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
вот от таких-то, кто сидит с админскими правами, и придумана защита.  ПКМ "Run as Administrator"


Цитата:
От админа, стало-быть по правой кнопке

ну не работает хоть пкм, хоть акм, хоть еще что

Всего записей: 2237 | Зарегистр. 17-09-2008 | Отправлено: 18:25 06-03-2017
MR_DesigneR



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
freeman440
Просто перезапустить потом прогу, - должна заработать.

Всего записей: 10063 | Зарегистр. 06-09-2014 | Отправлено: 18:30 06-03-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Скайпу вряд ли создашь ограниченное правило, запусти Process Hacker на вкладке Firewall и запусти Скайп.
Скайпу да - ему лучше создать разрешающие правила и ограничить их блокирующими.

Всего записей: 14297 | Зарегистр. 15-09-2001 | Отправлено: 18:30 06-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
и ограничить их блокирующими

А блокировать какие IP? То что в списках по инету про телеметрию и которые постоянно меняются?
 
Добавлено:
freeman440
Походу вы на вынь 7, попробуйте предыдущую версию Process Hacker

Всего записей: 7510 | Зарегистр. 12-10-2001 | Отправлено: 18:37 06-03-2017 | Исправлено: KLASS, 19:56 11-03-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
А блокировать какие IP?
Я раньше не IP блокировал, а домены (apps.skype.com и т.д.) - рекламу не показывало...

Всего записей: 14297 | Зарегистр. 15-09-2001 | Отправлено: 18:57 06-03-2017 | Исправлено: WildGoblin, 19:15 06-03-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды



Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru

Рейтинг.ru