Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
Хех, всего не ухватишь, есть приоритеты по-мимо пошика

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 18:43 19-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
дык попробуй: попытка не пытка.
Ничего на стороне изучать не надо, всё перед тобой.
 
За несколько минут сделаешь - и приобретешь некоторую уверенность.

Всего записей: 17126 | Зарегистр. 14-10-2001 | Отправлено: 18:58 19-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
Легче выучить пошика, чем тебя просить собственный скрипт поправить. Исправил.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 21:22 19-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Если б ты не смог, я б тебе помог обязательно.
Но ты смог сам, и меня это радует. )

Всего записей: 17126 | Зарегистр. 14-10-2001 | Отправлено: 21:26 19-03-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS, благодарю, будем пробовать.





Пасибы принято слать в ПМ, либо к "спасибу" добавляется полезная для всех инфа.

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 23:12 19-03-2017 | Исправлено: KLASS, 08:16 20-03-2017
CruSanodeR



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
"Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.  
ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем все исходящие подключения:...
 
Отключаем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP).  
Отключаем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)".
И на этом все, брандмауэр винды настроен?  
Остается только создать правило для каждого приложения, которому нужен инет?
 

Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 18:41 20-03-2017 | Исправлено: CruSanodeR, 18:59 20-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
CruSanodeR
Для utorrent на предыдущей странице, остальное не ведаю... не юзаю.
Изучайте местную шапку и используйте указанные инструменты для создания остальных правил.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 18:58 20-03-2017
CruSanodeR



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Пфф.. У меня вообще работу брандмауэра на себя взял Касперский.
Как это исправить?
http://s019.radikal.ru/i630/1703/e2/e8a8b20e9620.png

Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 19:00 20-03-2017
Contru

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
CruSanodeR

Цитата:
Как это исправить?  

Зачем? У вас установлен Kaspersky Internet Security. Его фаервол выполняет защиту сети. Если вам нужен фаервол Windows, нужно было устанавливать только антивирус Касперского.

Всего записей: 2880 | Зарегистр. 09-06-2004 | Отправлено: 19:05 20-03-2017
CruSanodeR



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Contru
Тогда, если я отключу - все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP).  
 -все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик),
то толка никакого?

Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 19:19 20-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
CruSanodeR
Ну да никакого, потому как каШперский при установке отключает местный брандмауэр, иначе будут конфликты.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 19:22 20-03-2017
CruSanodeR



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
тогда все входящие правила M$ и все исходящие правила M$ будут спокойно работать?

Всего записей: 207 | Зарегистр. 30-09-2015 | Отправлено: 22:18 20-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
CruSanodeR

Цитата:
тогда все входящие правила M$ и все исходящие правила M$ будут спокойно работать?


Цитата:
отключает местный брандмауэр


Если брандмауэр Windows не работает, то и правила в нем не работают... у вас каШперский следит за сетью и походу вам в профильную тему надо, а то флуда тут еще про каШперского не хватало.
 
Добавлено:
CruSanodeR

Цитата:
Скажите, когда отключили все входящие и исходящие правила M$, осталось только создать белый список приложений? Так?
Больше никакие правила для винды не надо создавать?

Все зависит от задач и у каждого они свои.
Например, по умолчанию идет правило "Маршрутизация и удаленный доступ (L2TP - исходящий)", но оно отключено. Мне оно надо, я его включаю и до-настраиваю, в частности, ограничиваю работу правила по IP-диапазонам.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 22:56 20-03-2017 | Исправлено: KLASS, 22:52 20-03-2017
renats84



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
А если касперский KIS установить, то пишут, что он отменяет правила брадмауэра и берёт эту работу на себя. Как настройки переносить из одного брандмауэра в другой? То есть так, чтобы если удалить Касперский, то правила, настроенные в нём, нужно тоже как-то перенести во встроенный брандмауэр. И можно ли настраивать правила в брандмауэре, а касперский бы глядел во встроенный и тянул к себе новые настройки встроенного брандмауэра?

Всего записей: 1629 | Зарегистр. 18-03-2010 | Отправлено: 01:20 22-03-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
renats84
Из Касперского, да и из любого другого самостоятельного фаервола в другой фаервол- никак не перенести.  
Можно только из надстройки Binisoft Windows Firewall Control, может, и из ей подобных,  перенести в брандмауэр Windows и наоборот.
Только надстройка может подтянуть к себе правило, составленное в брандмауэре Windows.
 
Добавлено:
Даже не то, что может, а правило, составленное в брандмауэре Windows, тут же появляется в надстройке, и наоборот.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 18:41 21-03-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
На Windows 7(64) Максимальная(Подключено - Общественные сети), если отключить все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) то интернет не работает даже для программ из белого списка, чтобы инет вновь заработал надо включить в Правилах для исходящего подключения - Основы сетей - DNS (UDP - исходящий трафик).
 
Интересно, что если отключить протокол DHCP (DHCP - исходящий трафик) при включенном Основы сетей - DNS (UDP - исходящий трафик) - то интернет все равно работает, даже если во Входящих правилах отключить абсолютно все пункты.

 
Правда, делают ли такие настройки систему более зашищенной или нет- пока ответа не нашел.

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 19:10 21-03-2017 | Исправлено: Still777, 19:17 21-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777

Цитата:
надо включить в Правилах для исходящего подключения - Основы сетей - DNS (UDP - исходящий трафик)

Для более тонкой (читай, защищенной) настройки, следует ДНС настраивать для каждого приложения отдельно,
скажем, как чуть ранее давал вам правила для uTorrent... там есть и про UDP на 53 порт (DNS).
А вот системным компонентам НЕ следут разрешать шариться через ДНС, когда допускаете общее правило.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:55 21-03-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
В вин 7 стоит только отключить Основы сетей - DNS (UDP - исходящий трафик) - сразу пропадает инет во всех приложениях и в белом списке.
 

Цитата:
следует ДНС настраивать для каждого приложения отдельно

 
а вот это, если не сложно поподробнее - где и как настраивать, пока не понял как это сделать, например для браузера фаерфокс, а то он с откл.  DNS (UDP - исх.) не выходит в сеть.

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 22:43 21-03-2017 | Исправлено: Still777, 22:45 21-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777
Да так же, как для uTorrent, что давал выше...
Вот по образу и подобию для файрфокс, тока пути измените.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 23:02 21-03-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS, т.е настроить  DNS отдельно для каждого приложения можно только через командную строку?

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 23:49 21-03-2017 | Исправлено: Still777, 23:51 21-03-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru