Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11058 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
а не просто серв его сидит на 53-м порту и радостно ждёт стука?

... ну или по пути траф зеркалится или отводится, так оно веселее имхо

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 18:53 10-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
... ну или по пути траф зеркалится или отводится, так оно веселее имхо
Да кто же его будет/сможет зеркалить кроме прова? Да и если зеркалится, то отводится ведь в тех службу спецуры какой... или ты про другое?
 
2KLASS
Ты за офтоп пожалуйста не принимай тут наше общение ибо предже чем правило создать надо разобраться для кого его создавать и что (куда, откуда, какой адрес, какой порт) там надо запрещать или разрешать.

Всего записей: 29101 | Зарегистр. 15-09-2001 | Отправлено: 18:58 10-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
ты про другое?  

не, ты верно всё понял
 
Добавлено:

Цитата:
Да кто же его будет/сможет

к то сможет тот и будет, если треба

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:00 10-01-2019
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Цитата:
Просто не надо догматом что-то непроверенное объявлять.
Э, зачэм такой тень на мой плетень? Вона, цитирую сам себя
Цитата:
Рецептов и мнений может быть много, это одно из них, не претендующее на исключительность.
А некий мембер WildGoblin предлагает задогматить то ли мнение WildGoblin, то ли мнение KLASS.
Читая разные мнения, пользователь и умнеет, ну, "извлекает истину из вина спора".

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 19:10 10-01-2019
Oleg_II



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Цитата:
Двигайся от простого к сложному! 53 - единственный и уникальный порт для протокола DNS, его и пишешь.
Отключил сервис DNS client, прописал исходящее соединение к удалённому порту 53 по протоколу UDP для Firefox - полёт нормальный
 
Сейчас дополню файл установок.
 
Дополнено.
Ух-ты! А порты где-то в другом месте спрятаны. Сейчас найду

Всего записей: 2879 | Зарегистр. 30-09-2002 | Отправлено: 19:11 10-01-2019 | Исправлено: Oleg_II, 19:21 10-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
...траф зеркалится или отводится...
Тогда это явно вредонос. Но KLASS, как я понимаю, утверждает, что днс-туннель для сокрытия трафика своего может создавать и легальная программа и вот с этим я никак не могу согласиться ибо если маскирует траффик, то значит что-то ворует, а если ворует, то вредонос и фтопку его (а разрабов предать анафеме с последующим аутодафе).

Всего записей: 29101 | Зарегистр. 15-09-2001 | Отправлено: 19:15 10-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
а разрабов предать анафеме

разрабов дырявых стандартов и их воплощений в продаваемом товаре? ну я за =)

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:19 10-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
Э, зачэм такой тень на мой плетень?
Извини пожалуйста, не так тебя понял.

Цитата:
А некий мембер WildGoblin предлагает задогматить то ли мнение WildGoblin, то ли мнение KLASS.
Нет, я предполагаю, что у уважаемого сообщества накопилось немало материала и предлагаю снова обсудить проблему.

Цитата:
Читая разные мнения, пользователь и умнеет, ну, "извлекает истину из вина спора".
Согласен, но в данной ситуации все почему-то решили отключать кэширование днс (ну ладно хоть не кэширование дисков) и всё тут.
 
Oleg_II

Цитата:
Отключил сервис DNS client...
Можешь объяснить зачем?

Всего записей: 29101 | Зарегистр. 15-09-2001 | Отправлено: 19:21 10-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
все

апчиму все-то, и уж тем более не всегда =)

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:23 10-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
разрабов дырявых стандартов...
А что дырявого в днс?
Некоторые вон запустять прогу "из инетов" с админскими правами и кричат потом "виндамаздай мои файлы назад отдай". гыгы

Всего записей: 29101 | Зарегистр. 15-09-2001 | Отправлено: 19:23 10-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
запустять прогу "из инетов" с админскими правами

а схерали они ваще могут её запускать да еще с админскими правами
давай вот я хряпну истинного вина и пойду покурить на склад гексогена или газовое хранилище

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:25 10-01-2019 | Исправлено: Us2002, 19:27 10-01-2019
Oleg_II



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Можешь объяснить зачем?  
Эээ... По рекомендациям из шапки?
 
Вообще, если будут работать мои стандартные программы для интернета, то отключение лишнего сервиса, записи его логов и ещё чего-нибудь до кучи, должно привести к снижению потребляемых ресурсов и более быстрой работе системы. ИМХО непрофессионала

Всего записей: 2879 | Зарегистр. 30-09-2002 | Отправлено: 19:25 10-01-2019
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Цитата:
Отключил сервис DNS client...  

Цитата:
Можешь объяснить зачем?
Без этого никак - тырнета не будет, в шапке сказано, и это соответствует действительности, т.к. запрет на DNS для svchost.
 
Добавлено:
Oleg_II
Цитата:
 ИМХО непрофессионала  
Не повторяй так часто, все мы не Биллы... Гейтсы.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 19:30 10-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Oleg_II

Цитата:
Вообще, если будут работать мои стандартные программы для интернета, то отключение лишнего сервиса, записи его логов и ещё чего-нибудь до кучи, должно привести к снижению потребляемых ресурсов и более быстрой работе системы.
Ну если эти проги активно работают с инетом, то быстродействие скорее снизится т.к. вместо обращения к локальному кэшу им надо будет каждый раз делать запрос к удалённому серверу.
 
shadow_member

Цитата:
Без этого никак - тырнета не будет, в шапке сказано, и это соответствует действительности, т.к. запрет на DNS для svchost.
Без отключения днс-клиента винды не будет инета?
Ты наверное хотел сказать, что инета не будет без разрешающих правил для прог т.к. всем зачем-то рекомендуется отключать днс-клиент... но я спрашивал именно про отключение - зачем оно?
 
(Я зануда, да, но оное мне всегда помогает дотянуться до истины - тогда как многие останавливаются на полпути. гыгы)

Всего записей: 29101 | Зарегистр. 15-09-2001 | Отправлено: 19:37 10-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
днс-клиент... но я спрашивал именно про отключение - зачем оно?

свцхлст не пущать видимо

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:40 10-01-2019
Oleg_II



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Цитата:
Ну если эти проги активно работают с инетом, то быстродействие скорее снизится т.к. вместо обращения к локальному кэшу им надо будет каждый раз делать запрос к удалённому серверу.
Звучит логично и на деле наверняка так и есть. Но по факту, мне не требуется ходить по сотне сайтов, а сейчас у меня открыта вебпочта, идут письма (извещения из темы , открыта эта страничка, яндекс и ещё парочка и никаких проблем я не вижу.
 
ЗЫ Чисто субъективно, даже стало быстрее. Но я понимаю, что это может быть чисто субъективным впечатлением

Всего записей: 2879 | Зарегистр. 30-09-2002 | Отправлено: 19:45 10-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
свцхлст не пущать видимо
А зачем его не пущать к днс-серверу?

Всего записей: 29101 | Зарегистр. 15-09-2001 | Отправлено: 19:47 10-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
А зачем его не пущать к днс-серверу?

видимо чтоб пущать другую прогу заместо него

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:49 10-01-2019
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Цитата:
Без отключения днс-клиента винды не будет инета?
Ты наверное хотел сказать, что инета не будет без разрешающих правил для прог т.к.

Нет-нет, именно без отключения днс-клиента (dnscache). Гыгыкай- не гыгыкай, но я не вникал и не знаю, почему "масло масляное", но не работает без этого тырнет, и все тут.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 19:51 10-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
 но не работает без этого тырнет

наверно аптамушта при вкючённой службе ответ для обработки системой ожидается именно через неё

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:54 10-01-2019
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru