KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft. Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.   Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности. ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:     Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP) Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) и Основы сетей - DNS (UDP - исходящий трафик). НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно): Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент. Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark. После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками. Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь. История кумулятивных обновлений для разных версий Windows 10 доступна здесь.   Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений. Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.   Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker. Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10. Вопросы по работе Process Hacker (изучите там шапку). Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения. Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian. Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).   Как добавлять или изменять правила, используя командную строку (команда netsh).   Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).   Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.   Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)   Также, для удобства создания правил, есть другой инструмент Windows Firewall Control. Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.   Включить аудит Платформы фильтрации IP-пакетов   Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh   Проверка брандмауэра на наличие уязвимостей   Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика. Ищите в других местах: subinacl.exe Size: 290 304 Bytes CRC32: 90B58A75 MD5: 53cdbb093b0aee9fd6cf1cbd25a95077 SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f   Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices   Смежные темы: Настройка персональных файерволов (firewall rules) Бесконтрольность Windows 10 Быстрая настройка Windows   Шапку и около-темные вопросы обсуждаем здесь Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022

KismetT_v3 Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: каким макаром будете бороться с http2 в свете массового перехода на него в ближайшем будущем, точнее с выдачей сайтами того что браузер в принципе не запрашивает? Брандмауэр Windows не фильтрует содержимое разрешённых соединений, его задача либо разрешать соединения по имеющимся правилам, либо запрещать. ---------- Это я .... И это тоже я .... Мы из этих Всего записей: 2474 | Зарегистр. 08-04-2016 | Отправлено: 16:21 29-03-2017

CruSanodeR Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Код: netsh advfirewall firewall add rule name="uTorrent3 (TCP - входящий трафик)" dir=In action=Allow profile=Private,Public program="Путь\utorrent.exe" protocol=TCP localport=Порт_входящих_подключений_который_в_настройках_клиента remoteport=1024-65535   netsh advfirewall firewall add rule name="uTorrent3 (TCP - исходящий трафик)" dir=Out action=Allow profile=Private,Public program="Путь\utorrent.exe" protocol=TCP localport=1024-65535 remoteport=1024-65535   netsh advfirewall firewall add rule name="uTorrent3 (UDP - исходящий трафик)" dir=Out action=Allow profile=Private,Public program="Путь\utorrent.exe" protocol=UDP remoteport=53 remoteip=DNS-серверы_вашего_провайдера_через_запятую_без_пробелов   А почему для Internet Download Manager не создавали входящее правило (TCP - входящий трафик)?   Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 18:06 29-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору CruSanodeR Через uTorrent к вам удаленно подключаются пиры для скачивания контента, который у вас есть. В IDM вы тупо качаете себе любимому и ни с кем не делитесь, потому и подключаться к вам некому, стало-быть, входящие зачем IDM. Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 18:22 29-03-2017

CruSanodeR Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS я говорил, что в DNS (UDP - исходящий трафик) "remoteip" работает только с "any".   Код: netsh advfirewall firewall add rule name="DNS (UDP - исходящий трафик)" dir=out action=allow profile=private,public program="C:\Windows\System32\svchost.exe" protocol=UDP localport=any remoteport=53 localip=any remoteip=10.10.30.202,10.10.30.206 | или any |   Добавил правило (спасибо сетевикам с форума): Код: netsh advfirewall firewall add rule name="DNS (UDP -входящий трафик)" dir=in action=allow profile=private,public program="C:\Windows\System32\svchost.exe" protocol=UDP localport=1024-65535 remoteport=53 localip=any remoteip=10.10.30.202,10.10.30.206   Теперь remoteip работает с DNS АДРЕСАМИ провайдера. Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 18:26 29-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: DNS (UDP -входящий трафик) Скорее всего это из за вашей сетки на 10х.х.х. У меня нет входящих UDP, только TCP для программ типа uTorrent.   Добавлено: Хотя нет, есть одно Resilio Sync (UDP - входящий трафик) синхронизация с офисом. Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 18:36 29-03-2017 | Исправлено: KLASS, 18:37 29-03-2017

CruSanodeR Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS но.. Почему DNS (UDP - исходящий трафик) и DNS (UDP - входящий трафик) Код: netsh advfirewall firewall add rule name="DNS (UDP -входящий трафик)" dir=in action=allow profile=private,public program="C:\Windows\System32\svchost.exe" protocol=UDP localport=1024-65535 remoteport=53 localip=any remoteip=10.10.30.202,10.10.30.206     netsh advfirewall firewall add rule name="DNS (UDP - исходящий трафик)" dir=out action=allow profile=private,public program="C:\Windows\System32\svchost.exe" protocol=UDP localport=any remoteport=53 localip=any remoteip=10.10.30.202,10.10.30.206 remoteip=... один и тот-же? Зачем для входящего удвленный ip remoteip=10.10.30.202,10.10.30.206? Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 18:39 29-03-2017 | Исправлено: CruSanodeR, 18:56 29-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору CruSanodeR С каких удаленных адресов можно по UDP принимать пакеты. Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 18:41 29-03-2017 | Исправлено: KLASS, 18:42 29-03-2017

CruSanodeR Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS так наверное правильнее будет? Код: netsh advfirewall firewall add rule name="DNS (UDP - входящий трафик)" dir=in action=allow profile=private,public program="C:\Windows\System32\svchost.exe" protocol=UDP localport=53 remoteport=any localip=10.10.30.202,10.10.30.206 remoteip=any     netsh advfirewall firewall add rule name="DNS (UDP - исходящий трафик)" dir=out action=allow profile=private,public program="C:\Windows\System32\svchost.exe" protocol=UDP localport=any remoteport=53 localip=any remoteip=10.10.30.202,10.10.30.206 Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 18:54 29-03-2017

Gosuto BANNED Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS, решил развеселить тему, в кач. оформления шапки     Что скажешь? Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 19:08 29-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору CruSanodeR В обоих правилах удаленные IP 10.10.30.202,10.10.30.206, а localip=any Gosuto Там Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 19:36 29-03-2017

CruSanodeR Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Хотел сделать, чтобы svchost.exe не выходил в сеть. Браузеру создал 2 правила TCP - исходящий трафик и UDP - исходящий трафик(он будет заменять правило DNS). А правила dns удалить.   Код: Netsh.exe Advfirewall Firewall add rule name="chromer (TCP - исходящий трафик)" dir=out action=allow protocol=TCP program="Путь\chrome.exe" profile=private,public remoteport=80,443,1080,182,8080     Netsh.exe Advfirewall Firewall add rule name="chrome (UDP - исходящий трафик)" dir=out action=allow protocol=UDP program="Путь\chrome.exe" profile=private,public remoteport=53 remoteip=10.10.30.202,10.10.30.206     И еще сделал правило chrome (UDP -входящий трафик) Код: netsh advfirewall firewall add rule name="chrome (UDP -входящий трафик)" dir=in action=allow profile=private,public program="Путь\chrome.exe" protocol=UDP localport=1024-65535 remoteport=53 localip=any remoteip=10.10.30.202,10.10.30.206 Но в итоге, инета -нет. Оставил 2 правила: DNS (UDP - входящий трафик) и DNS (UDP - исходящий трафик). Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 19:42 29-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору CruSanodeR Удаленные адреса по TCP не надо ограничивать для браузера (самое верхнее правило), иначе ни одна страница не откроется в таком правиле, там ставить any. Для UDP - ставить сервера провайдера и пока входящего не надо делать, попробовать и вот если без входящего не получится, тогда сделать входящее по UDP с удаленными адресами провайдера. Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 19:51 29-03-2017

CruSanodeR Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Цитата: Удаленные адреса по TCP не надо ограничивать для браузера (самое верхнее правило) какое правило? Код:   Netsh.exe Advfirewall Firewall add rule name="chromer (TCP - исходящий трафик)" dir=out action=allow protocol=TCP program="Путь\chrome.exe" profile=private,public remoteport=80,443,1080,182,8080 Что здесь ограничено?   Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 20:04 29-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору CruSanodeR Извини, я уже с этими циферками попутал строки   Добавлено: Почему таки не работает без правила по UDP для svchost, вот загадка... кто-то есть тут в такой же сетке? Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 20:22 29-03-2017

CruSanodeR Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору KLASS Написали мне Цитата: Значит в этой сети у вас основной NS сервер это 10.10.30.202 и все запросы на резолвинг адресов идут именно к этому серверу. Если у вас интернет есть (можете открыть веб ресурсы по их именам), то ns сервер работает.   Не совсем понятно почему у вас правило брандмауэра не работает если вы указываете этот адрес. Я бы мог предположить что надо еще правило разрешающее добавить для трафика (ответов) с этого адреса, но у вас работает и без разрешающего правила на вход когда вы не указываете конкретный адрес сервера имен ... Т.е. надо разрешать не только исходящий трафик но и входящий, если вы разрешите в одну сторону трафик но не разрешите в другую то работать не будет, параноидальное запрещение всего ещё ни к чему хорошему не приводило. и еще: Код: Netsh.exe Advfirewall Firewall add rule name="chromer (TCP - исходящий трафик)" dir=out action=allow protocol=TCP program="Путь\chrome.exe" profile=private,public remoteport=80,443,1080,182,8080     Netsh.exe Advfirewall Firewall add rule name="chrome (UDP - исходящий трафик)" dir=out action=allow protocol=UDP program="Путь\chrome.exe" profile=private,public remoteport=53 remoteip=DNS_серверы_провайдера     Цитата: Для браузера делать аналогичные правила для портов 80 443, проблема состоит в том что браузер не работает с dns серверами провайдера а работает с сервером на котором размещен http сервер, каждый сайт на своём сервере, а их миллионы, попробуйте ввести их все, так же остальные программы и службы в windows, глупая затея. Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 20:53 29-03-2017 | Исправлено: CruSanodeR, 20:56 29-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору CruSanodeR Цитата: если вы разрешите в одну сторону трафик но не разрешите в другую то работать не будет, параноидальное запрещение всего ещё ни к чему хорошему не приводило. Я спорить не берусь, но у себя настройку начал именно с "параноидального запрещения" из шапки, т.е. никаких входящих с DNS серверов нет, а вот как раз это Цитата: проблема состоит в том что браузер не работает с dns серверами провайдера у меня не работает, если я отключаю правило для браузера по UDP 53, выдает вполне себе понятное сообщение Допускаю, что браузер, возможно, не должен работать по UDP с DNS серверами, но как только я включаю именно правило для браузера: Код: Netsh.exe Advfirewall Firewall add rule name="chrome (UDP - исходящий трафик)" dir=out action=allow protocol=UDP program="Путь\chrome.exe" profile=private,public remoteport=53 remoteip=DNS_серверы_провайдера   страницы форума открываются. Us2002 А я знаю Вот все мои входящие Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 21:13 29-03-2017

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Не, лучше я всё (кроме DHCP) отключу, вот так... работает: Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 21:22 29-03-2017

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование