Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk

Цитата:
Есть какой-нибудь способ помирить Быстрый запуск и ГП?

Какой смысл выключать сетевой адаптер, если вы используете быстрый запуск?
При выключении компа, завершается сеанс пользователя, а системный сеанс сбрасывается в гибернацию,
а при включении компа эта инфа считывается в память и вы получаете экран приветствия с уже загруженной системой.
Как таковой, загрузки компа по новой просто не было и вы вернулись туда откуда ушли при выключении.
 
Добавлено:

Цитата:
т.е. адаптер выключается только при Перезагрузке. При Завершении работы не выключается

Теперь понятно почему так происходит.
При перезагрузке быстрый запуск не_задействован\не_работает, а при завершении
ГП не работает, вы ведь не выключили комп полноценно, когда должна работать ГП,
но сбросили системный сеанс в гибернацию... до ГП еще дело не дошло в вашем случае
и права тут точно не причем.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 14:13 05-06-2018 | Исправлено: KLASS, 15:33 05-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk

Цитата:
Есть какой-нибудь способ помирить Быстрый запуск и ГП?

выключить адаптер и потом отправить комп в сон, ну тоесть иметь некоторые постоянно выключенные девайсы при остальных постоянно включенных, ну и запретить паверманагеру их дёргать от слова совсем

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 20:07 05-06-2018 | Исправлено: Us2002, 20:11 05-06-2018
harrykkk



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
2All

Цитата:
Есть какой-нибудь способ помирить Быстрый запуск и ГП?

C этим вопросом разобрался. Всем спасибо за участие.
Us2002

Цитата:
https://technet.microsoft.com/ru-ru/library/mt629216(v=vs.85).aspx

В статье по ссылке выше из соображений безопасности рекомендуется

Цитата:
Назначайте право Отказать во входе в качестве пакетного задания локальной учетной записи "Гость".

В W10 ltsb с батником westlife = "Не определено"
У меня в W8.1 Pro = HomeGroupUser$
На чем лучше остановиться?

Всего записей: 9020 | Зарегистр. 24-02-2013 | Отправлено: 20:15 05-06-2018
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
harrykkk
да как пожелаешь,
Цитата:
HomeGroupUser$
+
Цитата:
"Гость"
=) имхо веселее, да и вроде хомгруппы производитель уже хоронит

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 20:20 05-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Добавил контекстное меню в шапку для файлов *.EXE

Обращаю внимание, что сторонний файловый менеджер, например XYplorer, запущенный
под User (есть у него такая фишка, даже если вы вошли под админом в систему),
меню отобразит и даже будет запрос UAC, но правило в брандмауэре создано не будет.
Из проводника правило будет создано после запроса UAC. Имя правила - путь к файлу,
останется поправить правило на свое усмотрение.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 23:31 08-06-2018 | Исправлено: KLASS, 18:11 27-06-2018
harrykkk



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT

Цитата:
Начиная с 8.1 можно дёргать такой скрипт:

А как вывести все правила [и настройки] фаервола в виде командлетов PowerShell?

Всего записей: 9020 | Зарегистр. 24-02-2013 | Отправлено: 14:10 11-06-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Может, FireWallRulesParser от Ratiborus упростит задачу.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 09:50 12-06-2018
harrykkk



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
FireWallRulesParser

На странице Ratiborus не нашел. В этой теме по ссыдке ничего нет.
Та версия, что есть у меня, наверное очень древняя:
1. Выдает всего 100 правил против 307 имеющихся (видимо видит только включенные правила).
2. Выдача в формате NetSh (а хотелось в PowerShell).
3. Все правила, кроме двух последних имеют какой-то сокращенный формат.

Код:
Netsh.exe Advfirewall Firewall add rule name="@FirewallAPI.dll,-36852" dir=in action=allow program="%SystemRoot%\system32\dashost.exe" description="@FirewallAPI.dll,-36853" profile=public

Два последних выглядят лучше

Код:
Netsh.exe Advfirewall Firewall add rule name="Основы сетей - протокол DHCP (DHCP - исходящий трафик)" dir=out action=allow protocol=17 program="%SystemRoot%\system32\svchost.exe" service=dhcp description="Разрешает сообщения DHCP для автонастройки с отслеживанием состояния." localport=68 remoteport=67

но все равно не хватает group, localip, remoteip...

Всего записей: 9020 | Зарегистр. 24-02-2013 | Отправлено: 14:07 12-06-2018
firstOS

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Здравствуйте
 
I need the basic system configuration rules in the firewall
I make this because I first use Windws firewall before used EIS but now no have.
 
netsh advfirewall firewall delete rule name=all
netsh advfirewall set allprofiles firewallpolicy blockinbound,blockoutbound
 
Before just I backup DHCP and DNS rules original  
but for next no know what is best settings I use Firefox, Chrome, Skype, Visual Studio... and other apps.

Всего записей: 46 | Зарегистр. 29-03-2016 | Отправлено: 20:22 25-06-2018 | Исправлено: firstOS, 20:23 25-06-2018
Tridentifer



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Может, кто подскажет.
Win10 1803.
Известно, что группу правила не указать в GUI.
Можно ли с помощью netsh указать группу при создании правила или изменить группу в существующем правиле (как в WFC)?

Всего записей: 2226 | Зарегистр. 23-10-2009 | Отправлено: 19:59 27-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Можно ли с помощью netsh указать группу

В любое правило добавлять group=<строка>
Подробнее:
netsh advfirewall firewall set rule /?
Вообще группы создавать "не выгодно" для своих правил т.к. правила, созданные пользователем,
всегда будут вверху списка при запуске оснастки брандмауэра, если не входят в группу.
Просто удобно, если отключать (не удалять) практически все от Мелких.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:31 27-06-2018
harrykkk



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
При создании наверное так

Код:
netsh advfirewall firewall add rule group="Удаленное управление службой" name="Удаленное управление службой (RPC-EPMAP)" profile=Private, Public enable=no service=RPCSS program="%SystemRoot%\system32\svchost.exe" action=Allow dir=In protocol=TCP localport=RPCEPMap remoteport=Any localip=Any remoteip=LocalSubnet interfacetype=Any edge=no description="Правило входящего трафика для службы RPCSS, разрешающее трафик RPC/TCP для локального диспетчера служб."

Всего записей: 9020 | Зарегистр. 24-02-2013 | Отправлено: 20:33 27-06-2018
Tridentifer



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
netsh advfirewall firewall set rule /?

Я читал справку, но при попытке выполнить команды без NEW появляется ответ, что:
'Для команд set должно быть указано ключевое слово new, которое не может быть последним аргументом команды.'
 
При попытке выполнить команды с NEW, пример:
 
NETSH ADVFIREWALL FIREWALL ADD RULE NAME="Block Test.exe (Out)" DIR=OUT ACTION=BLOCK PROGRAM="C:\Test.exe" PROFILE=ANY ENABLE=YES
NETSH ADVFIREWALL FIREWALL SET RULE NAME="Block Test.exe (Out)" NEW GROUP="Blocked"
 
открывается справка вместо ответа.
С GROUP так без конца по кругу - не одно, так другое.

Цитата:
Просто удобно, если отключать (не удалять) практически все от Мелких.

У меня есть небольшая привычка к группам - всё же удобно, когда видишь созданное самим собой.
 
harrykkk

Цитата:
При создании наверное так

Появляется ответ, что 'GROUP не является правильным аргументом для этой команды.'
 
В-общем, какая-то шляпа получается с этим единственным параметром: параметр есть, справка есть - а управлять им никак.
Читал, что на англоязычных ресурсах народ тоже интересовался этим вопросом (именно с помощью netsh, не PS), но решения так и не нашли.

Всего записей: 2226 | Зарегистр. 23-10-2009 | Отправлено: 21:11 27-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Tridentifer
Правило входящее в группу надо сначала создать, т.е. команда
netsh advfirewall firewall set rule

Цитата:
Устанавливает новое значение параметра для указанного правила.

изменять видимо можно только то значение, которое УЖЕ существует.
Команда

Цитата:
NETSH ADVFIREWALL FIREWALL SET RULE NAME="Block Test.exe (Out)" NEW GROUP="Blocked"  

не изменяет созданное ранее значение, этого значения просто нет.
Но команда работает, например:
NETSH ADVFIREWALL FIREWALL SET RULE NAME="Block Test.exe (Out)" NEW ENABLE=NO
 
Добавлено:
https://docs.microsoft.com/ru-ru/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh831755(v=ws.11)

Цитата:
Adding rules to a custom rule group is not possible in Netsh.

Стало-быть, для создания правила входящего в группу, используем пошик, при этом правила будут предопределенными.
Например:
New-NetFirewallRule -DisplayName "MyRule" -Direction Outbound -Program %SystemRoot%\System32\test.exe -RemoteAddress LocalSubnet -Action Allow –Group "MyGroup"

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 21:34 27-06-2018 | Исправлено: KLASS, 23:14 27-06-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Tridentifer
Хех, сам забыл, а в шапке есть.
Аргумент group используется лишь для изменения некоего значения сразу во всей группе
и не может находиться после команды NEW
Включить "Сетевое обнаружение":  
netsh advfirewall firewall set rule group="Обнаружение сети" new enable=Yes
Включить "Общий доступ к файлам и принтерам":  
netsh advfirewall firewall set rule group="Общий доступ к файлам и принтерам" new enable=Yes
 
Добавлено:
Заодно шапку чуть поправил для ясности, теперь ссылка звучит так:
Как добавлять или изменять правила используя командную строку (команда netsh)

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 01:02 28-06-2018
Tridentifer



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
https://docs.microsoft.com/ru-ru/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh831755(v=ws.11)

Есть ссылка 'свежее' по дате:
 
https://docs.microsoft.com/ru-ru/windows/security/identity-protection/windows-firewall/windows-firewall-with-advanced-security-administration-with-windows-powershell#deploy-basic-firewall-rules

Цитата:
Стало-быть, для создания правила входящего в группу, используем пошик, при этом правила будут предопределенными.

Предопределённые правила - неинтересно
Я поэтому и спрашивал про netsh - а если уж так, то легче для всего сразу использовать PS или забыть про группы, используя netsh.

Всего записей: 2226 | Зарегистр. 23-10-2009 | Отправлено: 12:23 28-06-2018 | Исправлено: Tridentifer, 12:23 28-06-2018
firstOS

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Это настроено так, как должно или должно что-то измениться?
 
#

Всего записей: 46 | Зарегистр. 29-03-2016 | Отправлено: 14:54 29-06-2018
Alex_OS

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Верны ли эти 2 пункта?
 
1. По-умолчанию в Windows Firewall все входящие блокируются, кроме явно разрешённых, и все исходящие разрешены, кроме явно запрещённых.
 
2. Исходя из первого пункта если моя пекарня подключена к Интернету через pfSense, то Windows Firewall не нужен в принципе и его можно отключить (при условии, что у меня в нём нет явно запрещённых исходящих). И это никак не скажется на безопасности пекарни.

Всего записей: 207 | Зарегистр. 01-10-2017 | Отправлено: 17:57 11-07-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Alex_OS
1. Да
2. Запрещать все исходящие на pfSense, кроме явно разрешенных, т.е. причем тут вообще брандмауэр Выни, он как бы и не нужен, а тема про него.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:01 11-07-2018 | Исправлено: KLASS, 20:31 11-07-2018
oinvhi



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Сейчас дома через роутер хожу, все те же правила UDP для каждого приложения (для выхода в свет),  
в которых строго IP DNS-провайдера и IP роутера. Полет нормальный. У кого то может не работать такая схема,  
возможно, зависит от провайдера. Тут действительно надо каждому самому разбираться и нет общей схемы,  
чтобы добавить в шапку.  
P.S. Правила DNS от мелких удалены.

 
у меня днс работает, лишь только когда remoteip=основной шлюз. если напрямую вводить туда адреса днс провайдера, как рекомендуется здесь - не работает.
 
w7 64

Всего записей: 17 | Зарегистр. 06-09-2017 | Отправлено: 10:31 10-08-2018 | Исправлено: oinvhi, 10:33 10-08-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru