Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Valery_Sh
я не задавал вопросы "почему разрешаются ответы на исходящие", какое вообще может быть соединение по удп, чёрт возьми, имхо там можно только временно не блокировать ответ на разрешенные порты приложения, основываясь на заголовках исходящих пакетов

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 01:50 18-08-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
какое вообще может быть соединение по удп, чёрт возьми,

 
во-во, я ждал этого вопроса. Ответ простой: патамушта перепендикуляр потому что 3-я строка здесь
http://forum.ru-board.com/topic.cgi?forum=62&topic=30521&start=799&limit=1&m=1#1
для icmp будет то же самое, хотя явных соединений как tcp он тоже не создаёт. icmp ответ вообще может прилететь при попытке tcp соединения на закрытый порт или о недоступности сети/хоста, и будет принят. Потому что стандарт один для всех.
 
зы\ впрочем, повторюсь: хозяин - барин. Охота изучать методом тыка? Ну, в каждой избушке свои погремушки.

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 02:19 18-08-2017 | Исправлено: Valery_Sh, 02:25 18-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Valery_Sh
 

Цитата:
для icmp будет то же самое

ну типо да, в множество 3й строки попадут и удп и ицмп, ну и?
 
зы и походу они в твоём примере отбросятся а не обработаюся

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 02:39 18-08-2017 | Исправлено: Us2002, 02:41 18-08-2017
TVN



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Благодарю, что не послали!
Проблему решать самому?

Всего записей: 2605 | Зарегистр. 19-09-2003 | Отправлено: 19:06 18-08-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Вот ты неугомонный.... Проще ж проверить, чем гадать на кофейной гуще.
 
8.8.8.8 в браузер + правило на роутере.(правило временное, в качестве лаба)
 
Винда
http://ipic.su/7yvAsP.png
Линь
http://ipic.su/7yvAsR.png
статистика на роутере для правила, которое при блокировке отправляет icmp-host-unreachable
http://ipic.su/7yvAsU.png
 
Как видим, поведение одинаково и на винде, и на лине. Если вспомнить те самые 4 состояния, icmp ответ соотв. RELATED.
Объяснение простое и понятное.
 
На винде правила вообще не менялись. А нет, вру, для utorrent и qBittorrent добавлялись при их тестировании с SSD.
 
На лине правила для входящих уже показывал. Дополнительно там только разрешающее для loopback и блок (цепочка), в котором правила для Samba и прочих локальных заморочек.
 
Потому и писал про литературу по netfilter/iptables, что в ней подробно разобраны иногда сложные для понимания вопросы. А "тИкает" оно везде одинаково, потому что используется одна модель.

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 19:07 18-08-2017 | Исправлено: Valery_Sh, 22:19 18-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
TVN
это что-то связанное с расположением временных файлов интернет эксплорера в защищенном режиме
 
Добавлено:
Valery_Sh

Цитата:
RELATED

занятно, а слона-то я и не приметил
причём связанность эта определяется внутренней логикой софта, не так ли?
если её реализовывали для удп ицмп сипа и фтп, то могли реализовать и для любых других связок и "ответные" пакеты могут быть приняты, мало того ответным пакетом может быть инициализировано новое соединение

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 14:39 19-08-2017 | Исправлено: Us2002, 15:02 19-08-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
определяется внутренней логикой софта, не так ли?

Ты ж вроде не новичок, и вдруг такие вопросы....
 
Логика взаимодействия определяется используемой моделью. В нашем случае - сетевой.
 
Менее абстрактно. "Сетевое окружение" винды - чисто мелкомягкое детище, - доступно из под линя. Равно как и наоборот, сервер samba из под винды.
Почему бы вдруг, ведь софт и ОС разные ?
Вот.
Так и с остальным - пока придерживаемся одной модели, работает одинаково. Внутренние нюансы интересны разве что  разработчикам софта.
m$ может и желала бы построить чисто свой лунапарк, загнать всех в него, и анально огородиться, но здесь как в том анекдоте про слона и центнер бананов.
Пока в m$ есть технари до этого не дойдёт. Разве что менеджеры m$ окончательно спятят, разгонят всех технарей, и таки займутся всегалактическим проектом.

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 13:06 20-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Добавил в шапку проверку брандмауэра на сайте Steve Gibson

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 21:29 20-08-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Valery_Sh

Цитата:
Логика взаимодействия определяется используемой моделью. В нашем случае - сетевой.  

и причём тут взаимодействие когда речь идёт о внутренней логике обработки и фильтраций? и если на лине она описана достаточно широко, то то что у мелких, не есть ТО ЖЕ САМОЕ
 
Добавлено:

Цитата:
В нашем случае - сетевой.

в нашем случае не только сетевое взаимодействие

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 22:02 20-08-2017
alekseipunchin

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Здравствуйте. Объясните, как работает служба NlaSvc (Служба сведений о подключенных сетях) и почему она такая особенная. А дело вот в чём:
 
Если отключить dnscache (команда "net stop Dnscache" и "sc config Dnscache start= disabled") и задать разрешающее правило сервису svchost для службы DNS-клиент на порт 53, то все сервисы (например "wlidsvc" и "wuauserv") начинают пытаться самостоятельно определить IP для нужного домена, но у них это не получается, т.к. нет отдельных разрешающих правил для каждого сервиса. На этом этапе всё понятно, а дальше начинается магия.
 
Есть сервис "NlaSvc" (Служба сведений о подключенных сетях), который подключается к svchost через службу DNS-клиент и успешно получает IP адрес для домена dns.msftncsi.com.
 
Вопрос: почему "NlaSvc" успешно получает IP адрес для домена dns.msftncsi.com без отдельного разрешающего правила?

Всего записей: 4 | Зарегистр. 27-08-2017 | Отправлено: 17:30 27-08-2017 | Исправлено: alekseipunchin, 17:49 27-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
alekseipunchin

Цитата:
и успешно получает IP адрес для домена dns.msftncsi.com

Где смотреть, что IP адрес получен?

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 18:02 27-08-2017
alekseipunchin

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS вот: http://imgur.com/hnZx31W
 
В сетевом экране есть только 3 разрешающих правила, которые не менялись.
Служба Dnscache отключена: ("net stop Dnscache" и "sc config Dnscache start= disabled").

Всего записей: 4 | Зарегистр. 27-08-2017 | Отправлено: 18:59 27-08-2017 | Исправлено: alekseipunchin, 19:32 27-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
alekseipunchin

Цитата:
который подключается к svchost через службу DNS-клиент и успешно получает IP

Так если она отключена, но адрес получен, стало-быть, она и не нужна для получения IP службой NlaSvc, а так как

Цитата:
задать разрешающее правило сервису svchost для службы DNS-клиент на порт 53

то NlaSvc туда и лезет, как то так. Отсюда, есть над чем задуматься... и глушить svchost по максимому. )

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 19:26 27-08-2017
alekseipunchin

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
 
Хочу еще сказать один момент, который заметил сегодня. Сетевой экран от ESET блокирует доступ NlaSvc к DNS, если эта служба явно не разрешена в свойствах правила svchost. И это логично.
 
У стандартного же сетевого экрана, встроенного в Windows, служба NlaSvc свободно обращается к своему DNS даже если для неё нет явного разрешающего правила. Достаточно стандартного правила svchost для DNS (разрешен UDP и открыт 53 порт). И это не логично.

Всего записей: 4 | Зарегистр. 27-08-2017 | Отправлено: 20:09 27-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
alekseipunchin
Попробуйте задать запрещающее правило для NlaSvc и в Акуле глянуть, может так притихнет.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:16 27-08-2017
alekseipunchin

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
 
Работу этого сервиса запретить не сложно. Мне просто было интересно почему он так себя ведёт. Причем, насколько я понял, брандмауэр Windows воспринимает Dnscache и NlaSvc как одинаковые службы. Чтобы это проверить достаточно создать 2 правила для процесса svchost:  
 
1) Разрешаем службе Dnscache исходящий UDP на порт 53.
2) Запрещаем службе NlaSvc исходящий UDP на порт 53.
 
В результате DNS не будет работать вообще, хотя должен. Такие дела.

Всего записей: 4 | Зарегистр. 27-08-2017 | Отправлено: 20:25 27-08-2017 | Исправлено: alekseipunchin, 21:37 27-08-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
alekseipunchin
Извините, но меня ставят в тупик 2 тезиса.

Цитата:
Работу этого сервиса запретить не сложно.

и в то же время

Цитата:
Мне просто было интересно почему он так себя ведёт. Причем, насколько я понял, брандмауэр Windows воспринимает Dnscache и NlaSvc как одинаковые службы

если вы смотрели реестр винды, то видели как стартуют эти севрисы
??
Какие вопросы могут быть? Нет влияния " по чуть-чуть", оно либо работает, либо - нет.
 
исправил очепятки

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 09:53 31-08-2017 | Исправлено: Valery_Sh, 11:01 31-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Присоединяйтесь к теме, высказывайтесь и спрашивайте.
Рубордовский репозиторий PowerShell

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 15:49 31-08-2017
tener



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
У меня нубский вопрос... вот если сравнивать такие файерволлы как Protegent бывший* Outpost и встроенный в винду, то при грамотной настройке какой лучше.
Где-то слышал что встроенным нельзя заблокировать трафик по протоколу BITS например.
К протегенту (Аутпосту) уже привык, ставлю на все компы но он в плане юзабилити на уровне 98 винды, хочу попробывать вот_этот использующий ядро встроенного в систему файерволла только вот времени у меня нет по этому и спрашиваю (

Всего записей: 186 | Зарегистр. 11-04-2008 | Отправлено: 16:08 31-08-2017 | Исправлено: tener, 16:10 31-08-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Где-то слышал что встроенным нельзя заблокировать трафик по протоколу BITS например.  

Ну, настройте местный брандмауэр, как сказано в шапке и попробуйте скачать обновления для системы или
Защитника, там как раз BITS используется. Если удачно, то местный брандмауэр сплошная дырка.
Сравнивать здесь в теме со сторонним ПО, думаю, не уместно, раздел таки по Windows.
Сторонний выбирают только из-за легкости настройки. Навешайте Windows Firewall Control и будет тоже самое.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 17:40 31-08-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru