Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Потому для верности, создавайте правила DNS для каждой программы из белого списка (разрешить UDP исходящее соединение, удаленный порт 53), а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить. Отключив правило, обязательно отключите службу DNS-клиент
    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
    История кумулятивных обновлений для разных версий Windows 10
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10 версии не ниже 1607 Сборка 14393.
    Сборка Process Hacker x64 от ItsJustMe для Windows 10 версии не ниже 1809 Сборка 17763.107. Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять или изменять правила используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, при помощи которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 7584 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 08:30 09-01-2019
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Ratiborus
Хорошо, что решили написать гуй на потребу юзерам.
 
Плохо, если занялись изобретением велосипеда.
Начиная с 8.1 можно дёргать такой скрипт:
 

Код:
 
function Export-NetshFirewallRule {
 [CmdletBinding()]  
 
 Param(
    [Parameter(Mandatory=$true,ValueFromPipeline=$true)]  
    [CimInstance[]] $Rule
 )
 
 process {
        $Name = $($psitem.DisplayName)  
        $Direction = $($psitem.Direction) -replace 'bound',''  
        $Action = $psitem.Action  
        $Profile = $psitem.Profile  
        $Program = ($psitem | Get-NetFirewallApplicationFilter).Program  
        $Protocol = ($psitem | Get-NetFirewallPortFilter).Protocol  
        $Remoteport = ($psitem | Get-NetFirewallPortFilter).RemotePort -join ','  
        $Remoteip = ($psitem | Get-NetFirewallAddressFilter).RemoteAddress -join ','  
 
        #сцуко netsh хочет непременно двойные кавычки  
        $Doublequote='#'  
 
        $result = "netsh advfirewall firewall add rule name=#$Name# dir=$Direction action=$action profile=$Profile program=#$Program# protocol=$Protocol remoteport=$Remoteport remoteip=$Remoteip"
        $netsh = $result -replace $Doublequote,'"'
 
        $netsh
 }
}
 
#ЗДЕСЬ КАКИЕ ПРАВИЛА НА ВХОД КОМАНДЛЕТА ПОДАДИТЕ ТАКИЕ И ЭКСПОРТИРУЮТСЯ
 
$rules = Get-NetFirewallRule -DisplayName '*DHCP*','*HTTP*'
$rules | Export-NetshFirewallRule
 







Всего записей: 11114 | Зарегистр. 14-10-2001 | Отправлено: 17:02 07-03-2017 | Исправлено: LevT, 10:07 08-03-2017
Gosuto



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ну и экспорт-импорт, чтоб минуя все батники и т.п.
 
Добавлено:
скрипт неудобен, мороки больше, imnsho
 
Добавлено:
а от такого вообще башню может снести, неподготовленным

Цитата:
#сцуко netsh хочет непременно двойные кавычки  


Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 17:03 07-03-2017 | Исправлено: Gosuto, 17:05 07-03-2017
Ratiborus



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
Утила исключительно для того чтобы послать своё правило другому.

----------
KMS Активаторы
"Если программа работает, значит в ней ничего не нужно менять"©

Всего записей: 8799 | Зарегистр. 18-06-2005 | Отправлено: 17:08 07-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto

Цитата:
скрипт неудобен, мороки больше, imnsho

 
вопрос вкуса: кто-то любит ананас, а кто-то свиной хрящик.
Меня вот категорически задолбали повторяющиеся действия в окошках.
 
ПММ, окошки хороши, когда надо сориентироваться в новой для себя предметной области. И то если UI сделан грамотно.
 
 
Вот например есть программа robocopy.exe со страшными ключами, и не менее страшные гуёвины к ней.
А есть DSC ресурс xRobocopy: те же самые настройки представлены на человеческом английском _языке_ с подсказками и автодополнением.
(Желающие могут заняться русской локализацией: инфраструктура для этого в пошике есть).
 
 
Добавлено:
Ratiborus

Цитата:
Утила исключительно для того чтобы послать своё правило другому.

 
Так и скриптик для того же
Причём логика выбора правил для экспорта вшита в Powershell и задаётся ключами  
Get-NetFirewallRule -DisplayName 'Voyager', '*DHCP*'  -ещёмногоключей
 
 
 
 
Добавлено:
Ratiborus
И ещё: написание представленного скриптика у меня заняло полчаса-час.
А сколько Вашего времени отняла эта утилита?

Всего записей: 11114 | Зарегистр. 14-10-2001 | Отправлено: 17:14 07-03-2017 | Исправлено: LevT, 17:27 07-03-2017
Ratiborus



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
Чуть больше часа. С перекурчиками. В ней ни чего сложного, она на Пурике.

----------
KMS Активаторы
"Если программа работает, значит в ней ничего не нужно менять"©

Всего записей: 8799 | Зарегистр. 18-06-2005 | Отправлено: 17:28 07-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Ratiborus
 
А теперь сравните функциональность )
 
 
Добавлено:
И настраиваемость.
 
Добавлено:
И объём кода тоже.  
И его читабельность: что-то слегка подправить может любой человек с базовыми понятиями лишь.
 

Всего записей: 11114 | Зарегистр. 14-10-2001 | Отправлено: 17:32 07-03-2017 | Исправлено: LevT, 17:38 07-03-2017
Ratiborus



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT

Цитата:
И объём кода тоже

Вот про объём не будем. Плюсуйте ко всем своим прожкам и скриптам папку "c:\Windows\Microsoft.NET\Framework\v4.0.30319\".
Последние версии pidgenx.dll не работают на XP. Наверное и её на шарпе писали....

----------
KMS Активаторы
"Если программа работает, значит в ней ничего не нужно менять"©






Всего записей: 8799 | Зарегистр. 18-06-2005 | Отправлено: 17:43 07-03-2017 | Исправлено: KLASS, 18:28 07-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Ratiborus

Цитата:
Вот про объём не будем.  

дык это детали рантайма, который и так у всех есть.
Я об объёме кода, который надо понимать для того, чтобы утилиту поддерживать.
 
Но предупреждаю, что нужный модуль NetSecurity есть только начиная с 8.1  
для более ранней винды можно скрипт поправить, воспользовавшись сторонним модулем (найдя его в галерее через Find-Module)
 

Всего записей: 11114 | Зарегистр. 14-10-2001 | Отправлено: 17:48 07-03-2017 | Исправлено: LevT, 17:50 07-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

 
ДА! Я совсем забыл написать про очевидную для себя фичу пошика
 
$rules = Get-NetFirewallRule -DisplayName '*DHCP*','*HTTP*' | Out-GridView -PassThru
 
Если дописать выделенное жирным, то получается ГУЙ!
С возможностью искать и фильтровать, а также выделить только нужные строчки и передать инструменту-командлету
 

Всего записей: 11114 | Зарегистр. 14-10-2001 | Отправлено: 09:26 08-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Добавил утиль FireWallRulesParser в шапку.
Всяко удобней юзеру, чем
Цитата:
ЗДЕСЬ КАКИЕ ПРАВИЛА НА ВХОД КОМАНДЛЕТА ПОДАДИТЕ ТАКИЕ И ЭКСПОРТИРУЮТСЯ  


Всего записей: 7584 | Зарегистр. 12-10-2001 | Отправлено: 09:26 08-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
 
Выдача:
Код:
 
netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol for IPv6(DHCPV6-In)" dir=In action=All
ow profile=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=547 remoteip=Any
netsh advfirewall firewall add rule name="Core Networking - IPHTTPS (TCP-In)" dir=In action=Allow profile=Any program="System" protoco
l=TCP remoteport=Any remoteip=Any
netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol (DHCP-Out)" dir=Out action=Allow profi
le=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=67 remoteip=Any
 

 
 
Добавлено:
KLASS

Цитата:
Всяко удобней юзеру, чем  

 
Юзеру-ХАЛЯВЩИКУ-МЫШЕВОЗУ-ВЫЕЗЖАЮЩЕМУ НА ЧУЖОМ ГОРБУ может быть и удобно...  но для разработчика трудоёмко.
 
А с пошиком разработчики могут сосредоточиться на полезном функционале.

Всего записей: 11114 | Зарегистр. 14-10-2001 | Отправлено: 09:31 08-03-2017 | Исправлено: LevT, 09:43 08-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT

Цитата:
Юзеру-ХАЛЯВЩИКУ-МЫШЕВОЗУ-ВЫЕЗЖАЮЩЕМУ НА ЧУЖОМ ГОРБУ

А где ты других то видел юзеров

Цитата:
Выдача:

А как это выдать не понял?

Всего записей: 7584 | Зарегистр. 12-10-2001 | Отправлено: 09:44 08-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
А где ты других то видел юзеров

 
Дык ресурсы разработчиков ограничены, на всё сразу не хватит.
Или ублажать халявщиков, или в кругу себе подобных заниматься полезными проектами (которые недоступны пониманию халявщиков).
Халявщикам тоже потом перепадут какие-нибудь результаты этой работы.
 
ЗЫ. Как выдать - взгляни чуть выше.

Всего записей: 11114 | Зарегистр. 14-10-2001 | Отправлено: 09:47 08-03-2017 | Исправлено: LevT, 09:51 08-03-2017
Gosuto



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Юзер-ХАЛЯВЩИК-МЫШЕВОЗ-ВЫЕЗЖАЮЩИЙ НА ЧУЖОМ ГОРБУ

.....)))
А что гласит принцип Оккама?

Цитата:
Не следует множить сущее без необходимости

Пока будет в таком виде:

Код:
netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol for IPv6(DHCPV6-In)" dir=In action=All  
ow profile=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=547 remoteip=Any  
netsh advfirewall firewall add rule name="Core Networking - IPHTTPS (TCP-In)" dir=In action=Allow profile=Any program="System" protoco  
l=TCP remoteport=Any remoteip=Any  
netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol (DHCP-Out)" dir=Out action=Allow profi  
le=Any program="%SystemRoot%\system32\svchost.exe" protocol=UDP remoteport=67 remoteip=Any

оно подавляющему большинству пользователей и даром не нужно.
это я ответственно, как "халявщик", заявляю
 
Добавлено:
вообще-то, мы все - "партнеры"

Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 09:56 08-03-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT
Так эта "выдача" в нижнем окне ISE, тьфу ты... я те говорю, как скопировать, например, одну команду добавления правила из гуйного окна? Может ли пошик добавить такую команду в ГУЙ?

Всего записей: 7584 | Зарегистр. 12-10-2001 | Отправлено: 10:02 08-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto
Если у разработчиков останутся ресурсы после сложной совместной деятельности
 
 
 
Добавлено:
KLASS
Ты выбираешь в гуе нужные строчки - и только они оказываются в переменной.
Которая дальше подаётся на вход командлета  | Export-NetshFirewallRule
 
 

Всего записей: 11114 | Зарегистр. 14-10-2001 | Отправлено: 10:03 08-03-2017 | Исправлено: LevT, 10:07 08-03-2017
Gosuto



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
LevT, ну вроде же есть инструменты, powershell studio там, еще какие-то конвертеры в exe. Можно же сделать нормальную, удобную утилиту (если ps так мощен)?

Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 10:07 08-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto
Кому это надо, тот пусть этим и занимается
А меня заботит ПОЛЕЗНЫЙ функционал.
 
 
Добавлено:
 
Совершенно не обязательно делать гуй именно на пошике.
Кто умеет быстро делать гуй в чём угодно, может дёргать полезные функции пошика.

Всего записей: 11114 | Зарегистр. 14-10-2001 | Отправлено: 10:08 08-03-2017 | Исправлено: LevT, 10:12 08-03-2017
Gosuto



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
хмм, жаль. ну тогда будет прямо по Шекспиру:

Цитата:
And enterprises of great pith and moment
With this regard their currents turn awry,
And lose the name of action.

Всего записей: 5619 | Зарегистр. 09-11-2015 | Отправлено: 10:11 08-03-2017
LevT



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gosuto
Короче, кому надо ехать - те выбирают пошик.
 
От описанных вами потреблятствующих юзеров всё равно никакого проку для совместного проекта.
Но в результате и им что-то перепадёт - притом больше и лучшего качества.
 
 
Добавлено:
 

Цитата:
Пока будет в таком виде:
 
Код:
netsh advfirewall firewall add rule name="Core Networking - Dynamic Host Configuration Protocol for IPv6(DHCPV6-In)" dir=In action=All  
 
оно подавляющему большинству пользователей и даром не нужно.  

 
Это выдача в том именно формате, который заказывал юзерствующий KLASS
 
Вы не понимаете главного: с результатом выборки (массивом из объектов [CimInstance]) можно дальше делать что только позволяет фантазия. Например, применить по сети к соседнему компьютеру.

Всего записей: 11114 | Зарегистр. 14-10-2001 | Отправлено: 10:15 08-03-2017 | Исправлено: LevT, 10:22 08-03-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru

Рейтинг.ru