Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 18:23 25-09-2021
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777
Настраивайте через гуй, никто не мешает.

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 23:56 21-03-2017
renats84



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Здесь настрою. После установки Касперского KIS всё заново? Если удалю Касперский KIS, как сохранить его настройки во встроенный брандмауэр? Или можно в нём правила настраивать, а они будут автоматически перетягиваться в Касперский KIS?

Всего записей: 1629 | Зарегистр. 18-03-2010 | Отправлено: 15:38 22-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Здесь настрою. После установки Касперского KIS всё заново?

Определитесь, какой брандмауэр юзать... на два стула сесть не получится

Цитата:
как сохранить его настройки во встроенный брандмауэр?

Вам уже ответил выше shadow_member

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 15:47 22-03-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Если долго повторять "халва"... "правила, перетянитесь", то они все равно не перетянутся.
 
Выключить интернет:
Цитата:
@echo off
 
:: Block the Internet
:: Run as administrator
netsh advfirewall firewall add rule name="Block All TCP OUT" protocol=TCP action=block dir=OUT
netsh advfirewall firewall add rule name="Block All UDP OUT" protocol=UDP action=block dir=OUT
netsh advfirewall firewall add rule name="Block All TCP IN" protocol=TCP action=block dir=IN
netsh advfirewall firewall add rule name="Block All UDP IN" protocol=UDP action=block dir=IN
 
echo Rules successfully added to the Firewall...
 
pause
Включить интернет:

Цитата:
@echo off
 
:: Unblock the Internet
:: Run as administrator
netsh advfirewall firewall delete rule "Block All TCP OUT"
netsh advfirewall firewall delete rule "Block All UDP OUT"
netsh advfirewall firewall delete rule "Block All TCP IN"
netsh advfirewall firewall delete rule "Block All UDP IN"
 
echo Rules successfully removed from the Firewall...
 
pause
Полезно сделать автоматизацию, чтобы при выключении компа выключался интернет, и загружался комп с выключенным интернетом.

Всего записей: 21972 | Зарегистр. 18-07-2006 | Отправлено: 15:51 22-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Думаю, при закрытии всех исходящих, отключать Инет нет смысла. Проверял Акулой железный адаптер, при запуске виртуалки... тишина.

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 16:02 22-03-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS, Если не затруднит, напишите пожалуйста более конкретно, как локально разрешить DNS для Фаерфокс(%ProgramFiles% (x86)\Mozilla Firefox\firefox.exe) при глобально отключенном откл. DNS (UDP - исх.) без спец. программ, а только средствами самого брандмауэра или если это невозможно, то дайте готовый код для командной строки с разрешением DNS для этого браузера, код для uTorrent пока не осилил, я в этом пока еще очень не опытен, сначала хочу настроить браузер. Днс я использую от гугл(8.8.8.8), а не провайдера.

Всего записей: 88 | Зарегистр. 14-12-2014 | Отправлено: 16:05 22-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
как локально разрешить DNS для Фаерфокс(%ProgramFiles% (x86)\Mozilla Firefox\firefox.exe)

Вставьте этот путь в правило uTorrent, что давал выше и выполните полученное правило в комстроке от имени админа.
Там где "Путь\utorrent.exe" вставить "C:\Program Files (x86)\Mozilla Firefox\firefox.exe" и все.
 
Добавлено:
Ну, и имя правила, разумеется, изменить...

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 16:13 22-03-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
проверьте, все правильно?
 
netsh advfirewall firewall add rule name="Firefox (UDP - исходящий трафик)" dir=Out action=Allow profile=Private,Public program="C:\Program Files (x86)\Mozilla Firefox\firefox.exe" protocol=UDP remoteport=53 remoteip=8.8.8.8

Всего записей: 88 | Зарегистр. 14-12-2014 | Отправлено: 16:23 22-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777
Так попробуйте сами, вы же ничего не сломаете, если правило верно составлено, оно примется, если не верно, то нет

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 16:28 22-03-2017
CruSanodeR



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Можно спросить? А зачем для браузера делать 2 правила(входящий и исходящий)? Разве он что-нибудь качать/отправлять без вашего разрешения?

Всего записей: 204 | Зарегистр. 30-09-2015 | Отправлено: 16:31 22-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Для браузера входящие не нужны, разумеется.

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 16:34 22-03-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777
Команда правильная, в смысле, работоспособна. Сделай из нее батник, в конце с новой строки добавь слово pause , теперь при запуске батник остановится и сможешь увидеть результат. Если напишет ОК, значит, сработало правильно.
Теперь зайди в исходящие правила брандмауэра, найди там это правило, двойным кликом открой его и посмотри, что да как. Так же можно и удалить правило кнопкой в правой части окна, так что можно экспериментировать, особенно, если перед этим сохранить конфигурацию брандмауэра в резервный файл.

Всего записей: 21972 | Зарегистр. 18-07-2006 | Отправлено: 16:35 22-03-2017 | Исправлено: shadow_member, 16:36 22-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Батник, думаю, не стоит челу предлагать... возникнут проблемы с русскими именами, потому просто в комстроке. В батнике надо про 1251 не забыть, а это уже лишнее челу, который только учится. Башку "вскружим", а он ничего не поймет

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 16:42 22-03-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Побробовал по разному - никак, или вин 7 у меня особенный, или что-то еще, но того, что настроил достаточно.
shadow_member, спасибо тебе, конечно, за советы, но ты видно не читал мои сообщения, где я говорил об уровне своих знаний в этой сфере
 
челу KLASS отдельное спасибо, что не дал вскружить  башку, какая культура - взаимно

Всего записей: 88 | Зарегистр. 14-12-2014 | Отправлено: 17:10 22-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777

Цитата:
Побробовал по разному - никак

Попробовал "что" по разному?
Вот правила для моего браузера и не суть как он называется (замените данные на свои):

Код:
 
Netsh.exe Advfirewall Firewall add rule name="CentBrowser (TCP - исходящий трафик)" dir=out action=allow protocol=TCP program="Путь\chrome.exe" profile=private,public remoteport=80,443,1080,182,8080
Netsh.exe Advfirewall Firewall add rule name="CentBrowser (UDP - исходящий трафик)" dir=out action=allow protocol=UDP program="Путь\chrome.exe" profile=private,public remoteport=53 remoteip=DNS_серверы_провайдера
 

Правил входящих соединений для браузера, разумеется, быть не должно, даже, если будет сделан запрос брандмауэром, то не соглашаться и жать отмена.

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 02:37 23-03-2017 | Исправлено: KLASS, 03:41 23-03-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Выключить интернет:
Так получше будет (ниже), и работает по всем протоколам, а не только по TCP и UDP. Ком. строка или .bat от админа.
Выключить интернет:
Цитата:
netsh advfirewall firewall add rule name="@ Block all IN connections" dir=in action=block description="Block all inbound connections"
netsh advfirewall firewall add rule name="@ Block all OUT connections" dir=out action=block description="Block all outbound connections"

Включить интернет:
Цитата:
netsh advfirewall firewall delete rule "@ Block all IN connections"
netsh advfirewall firewall delete rule "@ Block all OUT connections"
# в имени правила- только для удобства, чтобы правило всегда было в первой строке списка правил, а не по алфавиту.

Всего записей: 21972 | Зарегистр. 18-07-2006 | Отправлено: 08:27 23-03-2017 | Исправлено: KLASS, 08:42 03-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Попробовал... а чего, пусть будет, когда ручками обновляешь очередным кумулятивом, очень даже полезно все отрубить

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 09:03 23-03-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Netsh.exe Advfirewall Firewall add rule name="CentBrowser (TCP - исходящий трафик)" dir=out action=allow protocol=TCP program="Путь\chrome.exe"
А вот интересно кто как забарывает:
 
Хромоноги довольно часто обновляются и устанавливают новые версии каждый раз в новую же папку - типа  
"Chrome\1\chrome.exe", "Chrome\2\chrome.exe" и потому приходится правила каждый раз прописывать заново в ручную.

Цитата:
Попробовал... а чего, пусть будет, когда ручками обновляешь очередным кумулятивом, очень даже полезно все отрубить
После перезагрузки некоторые правила восстановятся и всё кому надо прокоммуницируют с тем кем надо.
 
Лучше перед перезагрузкой сетевой кабель выдернуть или использовать что-то типа Windоws Firewall Control.

Всего записей: 20413 | Зарегистр. 15-09-2001 | Отправлено: 11:02 23-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Я портативный браузер обновляю ручками.

Цитата:
После перезагрузки некоторые правила восстановятся

Да и бес с ними, правило "Выключить интернет", выложенное shadow_member, никуда же не денется и Инета не будет. Или я чего не понял?

Всего записей: 9735 | Зарегистр. 12-10-2001 | Отправлено: 11:23 23-03-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
http://forum.ru-board.com/topic.cgi?forum=5&topic=37044&start=300#12
Т.е. в имени правила # сменить на @
При перезагрузке у меня правило остается и без собаки, а при установке обновлений не было случая проверить.

Всего записей: 21972 | Зарегистр. 18-07-2006 | Отправлено: 11:46 23-03-2017 | Исправлено: shadow_member, 19:11 23-03-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2020

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru