Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11064 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
blizard

Цитата:
Посредник подключений к сети

Для этого у меня тоже есть разрешающее правило TCP, Out, 80,443.

Цитата:
Windows Defender

Надо сделать:

Код:
"%ProgramW6432%\Windows Defender\MpCmdRun.exe" -SignatureUpdate -MMPC"

И открыть для MpCmdRun.exe TCP, Out,443.

Цитата:
Windows Update

Только свой WSUS т.к. винда же CDN чужие использует (а у того же акамай столько айпи, что и смысла нет никакого их отслеживать ибо всё одно придётся все разрешать).

----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29120 | Зарегистр. 15-09-2001 | Отправлено: 21:07 07-09-2020
mark74

Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
В шапке не указан самый, на мой взгляд, эффективный инструмент, помогающий разобраться, что необходимо разблокировать чтобы новая программа заработала и т.п.:
procmon (Sysinternals Process Monitor)
его уже упоминали в этой теме.
 
Как я понимаю, он протоколирует все обращения к Win API

  • можно включить фильтр только по сетевым обращениям (нажав другие три кнопки на панели)
  • можно включить фильтр по программе (указав её мышкой, предварительно нажатой на кнопке-мишени)

Несколько нажатий кнопок и у вас, как правило, вся необходимая информация относительно похождений программы. И вы уже смотрите, что разблокировать, что нет.

Всего записей: 480 | Зарегистр. 25-01-2009 | Отправлено: 06:48 08-09-2020 | Исправлено: mark74, 06:57 08-09-2020
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
mark74
Добавил, заодно исправил ссылки и внес другие поправки, но не забывайте, дабы не захламлять тему и об этом есть все в той же шапке:

Цитата:
Шапку и около-темные вопросы обсуждаем здесь

 

Всего записей: 11064 | Зарегистр. 12-10-2001 | Отправлено: 11:11 08-09-2020
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Так у вас у самого все таки получилось заставить обновляться Microsoft Store без полного открытия svchost.exe или нет? Windows Update нормально ставятся из Microsoft Update Catalog, обновление баз для Windows Defender тоже offline есть. Остается только Microsoft Store

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 16:43 12-09-2020
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
blizard

Цитата:
Так у вас у самого все таки получилось заставить обновляться Microsoft Store без полного открытия svchost.exe или нет?

Скорее да... в каком виде правила расшарить?

----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29120 | Зарегистр. 15-09-2001 | Отправлено: 17:00 12-09-2020
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
Скорее да... в каком виде правила расшарить?

Как вам удобней. netsh advfirewall firewall, скриншот брандмауэра если они там немного подписаны?

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 17:11 12-09-2020
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Поделитесь правилами для Microsoft Store?

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 14:38 16-09-2020
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
blizard

Цитата:
Поделитесь правилами для Microsoft Store?

Пытаюсь их отдебажить...
 
1) Первое что разрешаем это пакет приложения "Microsoft.WindowsStore_8wekyb3d8bbwe" (Раньше надо было напрямую прописывать путь к exe C:\program files\windowsapps\microsoft.windowsstore_12009.1001.1.0_x64__8wekyb3d8bbwe\winstore.app.exe, но в Win10 20H1 я вижу, что это уже не требуется).
 
2) Для приобретения программ разрешаем "Служба Windows License Manager", но так как именно для службы разрешающее правило почему-то не работает, то делаем так:
C:\windows\system32\svchost.exe TCP, out, 443, 52.158.24.209
 
3)...
А дальше у меня ничего не работает - ни на одном из устройств, без каких-либо ограничений трафика и вообще  магазин тупит т.ч. ждём когда отпустит.

----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29120 | Зарегистр. 15-09-2001 | Отправлено: 18:38 16-09-2020
gutasiho

Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
в каком виде правила расшарить?
Есть FireWallRulesParser от Ratiborus

Всего записей: 6235 | Зарегистр. 14-09-2020 | Отправлено: 20:07 16-09-2020
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
3) "Служба установки Microsoft Store", тоже не работает правило для конкретной службы делаем так:
C:\windows\system32\svchost.exe TCP, out, 443, 52.155.217.156
 
4) "Оптимизация доставки", тоже не работает правило для конкретной службы делаем так:
C:\windows\system32\svchost.exe TCP, out, 80,443, 2.16.103.113,2.16.103.120,2.16.155.51,2.16.155.56,2.16.155.57,2.16.155.72,2.16.155.75,2.16.155.82,2.20.254.82,2.20.254.114,2.20.254.115,2.20.254.129,2.20.254.138,2.20.254.154,2.20.255.65,2.21.8.88,2.21.8.112,2.21.8.147,2.21.8.179,2.21.8.211,2.21.8.251,2.21.84.184,2.21.84.202,2.21.240.240,2.22.48.8,2.22.48.17,8.241.29.254,8.241.30.254,8.241.31.126,8.241.31.254,8.241.88.126,8.241.90.254,8.241.117.126,8.241.117.254,8.241.118.126,8.241.119.126,8.241.119.254,8.247.225.254,8.247.226.126,8.247.226.254,8.247.227.254,8.248.113.254,8.248.123.254,8.248.129.254,8.248.141.254,8.249.33.254,8.249.35.254,8.249.37.254,8.250.245.254,8.250.247.254,8.250.253.254,8.251.59.254,8.253.95.120,8.253.95.121,8.253.204.121,8.253.207.121,13.107.4.50,23.60.69.16,23.60.69.78,23.60.69.80,23.60.69.121,23.60.69.135,23.60.69.159,40.77.226.181,67.26.3.254,67.26.5.254,67.26.9.254,67.26.11.254,67.26.13.254,67.26.15.254,67.26.73.254,67.26.75.254,67.26.83.254,67.26.137.254,67.27.157.254,67.27.158.126,67.27.158.254,67.27.249.126,80.65.238.9,80.65.238.14,80.65.238.15,80.239.178.224,80.239.178.233,80.239.217.72,92.122.218.16,93.184.221.240,95.100.156.104,95.100.156.105,95.100.156.106,95.100.156.114,95.100.156.115,95.100.156.122,95.100.156.128,95.100.156.129,95.100.156.146,95.101.0.104,95.101.1.104,95.101.13.9,95.101.13.16,95.101.13.19,95.101.119.8,95.101.119.18,95.101.132.62,95.101.132.65,104.84.152.72,104.84.152.90,104.84.152.91,104.84.152.123,104.84.152.129,104.84.152.161,104.123.68.4,104.123.68.74,104.123.68.113,192.67.191.254,195.12.232.217,205.185.216.10,205.185.216.42,2.16.186.1-2.16.186.255,92.123.155.10-92.123.155.48,95.101.142.0-95.101.142.255
 
Собственно последнее правило столько всего открывает, что и смысла дальше нет настраивать - там в конце концов окажутся все сети акамай, мс и ещё хз кого.

----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29120 | Зарегистр. 15-09-2001 | Отправлено: 15:43 17-09-2020
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Собственно последнее правило столько всего открывает, что и смысла дальше нет настраивать - там в конце концов окажутся все сети акамай, мс и ещё хз кого.

Можно правда сделать чтобы не через свсхост качалось, а через битс (тому правда тоже всё придётся открывать...) - давайте подумает над этим вместе.

----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29120 | Зарегистр. 15-09-2001 | Отправлено: 22:07 17-09-2020
Caravelli



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Windows 10 x64(2004)
Для синхронизации времени не достаточно разрешения svchost для NTP по UDP. Теперь требуется еще разрешение svchost для DNS по UDP.
Это только у меня так?
 
Добавлено:
10 Pro

Всего записей: 2146 | Зарегистр. 01-12-2009 | Отправлено: 08:00 18-09-2020
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Caravelli

Цитата:
Для синхронизации времени не достаточно разрешения svchost для NTP по UDP. Теперь требуется еще разрешение svchost для DNS по UDP.

Достаточно:
C:\WINDOWS\system32\svchost.exe, "Служба времени Windows" (да, тут это работает), Out, UDP, на 123.
 
А "svchost для DNS по UDP" - ну как-то же оно должно домен определить (в настройках ведь у вас домен, а не айпи прописано?).

----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29120 | Зарегистр. 15-09-2001 | Отправлено: 15:16 18-09-2020
Caravelli



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Цитата:
в настройках ведь у вас домен, а не айпи прописано?
Без разницы, всё-равно без "svchost для DNS по UDP" нет синхронизации.
В моей системе давно уже перекрыт кислород DNS для svchost.
Мой вопрос - недавно замеченный нюанс.

Всего записей: 2146 | Зарегистр. 01-12-2009 | Отправлено: 15:34 18-09-2020
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Caravelli

Цитата:
Без разницы...

Как без разницы... дайте мне IP который вы прописываете - я потестирую.


----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29120 | Зарегистр. 15-09-2001 | Отправлено: 11:47 19-09-2020
Caravelli



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Цитата:
дайте мне IP который вы прописываете

Стандартные сервера:Remote Address is time.microsoft.akadns.net (51.105.208.173), ntp1.glb.nist.gov (129.6.15.28)

Всего записей: 2146 | Зарегистр. 01-12-2009 | Отправлено: 13:21 19-09-2020
I95

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Забыл, что про 10-ку речь.

Всего записей: 1063 | Зарегистр. 20-03-2009 | Отправлено: 13:47 19-09-2020 | Исправлено: I95, 13:49 19-09-2020
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Caravelli

Цитата:
Стандартные сервера:Remote Address is time.microsoft.akadns.net (51.105.208.173), ntp1.glb.nist.gov (129.6.15.28)

Настроить синхронизацию времени с 51.105.208.173, перекрыть всем днс и разрешить только svchost out, UDP, 123, 51.105.208.173, то время синхронизироваться будет и это медицинский факт!

----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29120 | Зарегистр. 15-09-2001 | Отправлено: 17:28 19-09-2020
Caravelli



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Цитата:
то время синхронизироваться будет
Служба DNS-клиента отключена?

Всего записей: 2146 | Зарегистр. 01-12-2009 | Отправлено: 19:53 19-09-2020
sunny1983

Junior Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Можно ли сделать так, чтобы лог бандмауэра (который C:\Windows\System32\LogFiles\Firewall) был более информативным? Потому что он выдаёт что-то вроде:
2020-09-20 12:32:43 ALLOW UDP 10.0.3.233 224.0.0.252 54758 5355 0 - - - - - - - SEND
2020-09-20 12:43:54 DROP UDP 10.0.3.144 10.0.3.233 57760 5050 28 - - - - - - - RECEIVE
Хотелось бы видеть не только детали пакетов, но и информацию о том, какое именно правило сработало.

Всего записей: 190 | Зарегистр. 04-02-2010 | Отправлено: 16:03 20-09-2020
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru