Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Из описания темы видно, что речь пойдет о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии,
    вся "борьба" с которой сводится к отключению\перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик), но оставив это правило DNS помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Потому для верности, создавайте правила DNS для каждой программы из белого списка, а правило Основы сетей - DNS (UDP - исходящий трафик) предпочтительно тоже отключить.
    Отключив правило, обязательно отключите службу DNS-клиент
    Все, Интернета - нет, как и нет любых других соединений (кроме DHCP), включая телеметрию. Чтобы убедиться в этом используйте Wireshark.
    После такой настройки, обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра.
    Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 и рекомендации по обновлению Windows 7 SP1
    История кумулятивных обновлений для разных версий Windows 10
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. По другому, будем создавать белый список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того, чтобы быстро разобраться какой программе, что нужно открыть в брандмауэре, можно использовать приложение Process Hacker с надстройками.
    Текущая английская сборка от Victor_VG или локализованная сборка от KLASS для Windows 10 версии не ниже 1607 Build 14393.
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" (на Windows 7 не работает, используйте набор NetworkTrafficView_russian) и
    запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим к каким портам,
    удаленным адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
     
  • Как добавлять правила в брандмауэр используя командную строку(команда netsh).
     
  • Не лишним будет добавление в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, т.к. правила от M$ могут быть восстановлены при очередном обновлении
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в системном трее на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws,
    без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 6980 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: KLASS, 19:34 06-05-2018
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Alex_OS

Цитата:
Почему Windows Firewall, когда какая-либо программа впервые пытается выйти в Интернет, иногда спрашивает, что с этим делать, а иногда просто пускает? Причём, пускает втихаря чаще, чем спрашивает. От чего это зависит?

 
В Microsoft Windows есть такая занятная фича, как права администратора. При установке некоторых программ (от имени этого уважаемого товарища) создателями было заложено добавления исключений в брандмауэр (например, в виде галочке в инсталляторе, как в драйверах для принтера) в тупую, через сильное шаманство.
 
P.S.: большинство современных, более-менее распространённых, честных утилит для выхода в и интернет (первичного) дёргает windows-firewall-api или ещё каким нибудь образом просит через него доступ.
P.P.S.: очевидно, что брандмауэр должен быть включён и соответственно настроен.

Всего записей: 84 | Зарегистр. 12-11-2009 | Отправлено: 18:24 02-11-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
Мелкие "честно" объявили в своей ОС, если пользователь запустил... стало-быть, это его траблы.
После этого все остальное...

Всего записей: 6980 | Зарегистр. 12-10-2001 | Отправлено: 18:55 02-11-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Если от админа запустил, то естественно - что это проблемы запустившего...

Всего записей: 84 | Зарегистр. 12-11-2009 | Отправлено: 19:20 02-11-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
Я про исходящие соединения, которые по умолчанию не блокируются и прав,
для выхода в свет, разумеется, не нужно. Отсюда и молчит местный брандмауэр, т.е.
добавлять ничего не требуется.

Всего записей: 6980 | Зарегистр. 12-10-2001 | Отправлено: 05:30 03-11-2017
DimonKP



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
А...
Ну если оставлять брандмауэр не настроенным, то да, так и будет.
P.S.: я то думал, если уж в теме тонкой настройки брандмауэра пишут, то хотя бы предварительную провели.

Всего записей: 84 | Зарегистр. 12-11-2009 | Отправлено: 13:15 03-11-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DimonKP
Чел просто спросил почему

Цитата:
Почему Windows Firewall, когда какая-либо программа впервые пытается выйти в Интернет, иногда спрашивает, что с этим делать, а иногда просто пускает?


Всего записей: 6980 | Зарегистр. 12-10-2001 | Отправлено: 15:48 03-11-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Del
Понял, никому не интересно. Тут был Вася пост.

Всего записей: 15078 | Зарегистр. 18-07-2006 | Отправлено: 19:27 13-11-2017 | Исправлено: shadow_member, 09:56 14-11-2017
syrenium

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Коллеги, а разве есть разница между отключением и удалением правила брандмауэра?
Поясню вопрос. Входящие - группа "Удаленное управление службой" по умолчанию выключено. Однако если удалить правила данной группы, при старте или перезагрузке ОС брандмауэр блокирует 4 входящих соединения, которых не было раньше.
Из аудита Просмотра событий Windows:

Цитата:
Служба брандмауэра Windows заблокировала прием входящих сетевых подключений для приложения.
Профили:        Общий
Приложение:        C:\windows\system32\services.exe

Ни портов, ни адресов, ничего другого.

Всего записей: 337 | Зарегистр. 07-12-2015 | Отправлено: 21:37 21-11-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
syrenium
Поигрался на одном из офисных компов (EnterpriseS 2016) с удалением указанной группы.
В аудите было сообщение несколько иное:
"Брандмауэру Windows не удалось уведомить пользователя о том, что прием входящих сетевых подключений для приложения заблокирован."
Сделал несколько перезагрузок, при этом сообщение пару раз появилось, а потом перестало.
Вернул правила взад, перезагрузка... и сообщение вновь появилось.
Какие то входящие соединения в локальной сетке, но не думаю, что появление сообщения связано именно с удалением
правил озвученной группы.

Всего записей: 6980 | Зарегистр. 12-10-2001 | Отправлено: 09:14 22-11-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
syrenium
Отключенное правило не работает, удаленое правило не работает, т.к. совсем не существует- разницы нет.

Всего записей: 15078 | Зарегистр. 18-07-2006 | Отправлено: 11:02 22-11-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Однокликовый доступ к брандмауэру Windows, ярлык или из ком. строки.
wf.msc

Всего записей: 15078 | Зарегистр. 18-07-2006 | Отправлено: 17:58 20-12-2017
TVN



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Мои 3 копейки. 10 netsh advfirewall

Всего записей: 2402 | Зарегистр. 19-09-2003 | Отправлено: 00:07 21-12-2017 | Исправлено: TVN, 00:09 21-12-2017
Sraboti

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
В шапке рекомендуется отключить все правила мелкомягких (кроме DHCP), затем добавить разрешающие правила только для того, что нужно; также рекомендуется отключить службу Dnscache. Это я сделал. Мне нужна работа только Firefox, добавил правило для него, - работает, но только по IP адресам (имена не резолвятся).
Вопрос. Какое решение предлагаете для DNS? Включить правило мелкомягких для DNS, наряду с DHCP (в таблице исходящих соединений)? Или в природе существует какой-нибудь сторонний софт для выполнения задач DNS, для которого можно будет написать персональное правило в фаерволе?

Всего записей: 86 | Зарегистр. 24-04-2007 | Отправлено: 20:51 29-12-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Sraboti
Не мучайся, создай (включи) правило для DNS, стандартное.
svchost.exe, исх. TCP и UDP, уд. порт 53, разрешить.

Всего записей: 15078 | Зарегистр. 18-07-2006 | Отправлено: 21:16 29-12-2017
Valery_Sh



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
+

 
Sraboti
Делай как советовал shadow_member, но с небольшим уточнением:
) если есть роутер, укажи только его IP для udp:53
(роутер по DHCP отдаёт свой IP в качестве dns сервера, если не указано иное)
) на самом роутере заблокируй транзитные udp:53/tcp:53 с клиентов.
(На разных прошивках делается по-разному, но в том или ином виде есть почти всегда)
 
Если роутер не совсем тупой, Подробнее...

Всего записей: 1432 | Зарегистр. 30-06-2008 | Отправлено: 13:20 30-12-2017
Sraboti

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Отлично! Роутер присутствует. Спасибо Вам за советы.

Всего записей: 86 | Зарегистр. 24-04-2007 | Отправлено: 20:35 30-12-2017
aliv

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Я просто переставил с нуля 10-ку, пошел таки способом отключения DNS Client и запрета сервиса и создания отдельных правил для походов к 53 порту (DNS) для каждого отдельной программы.  

 
Вот тут описал опыт с нуля без отключение dnsclient - пока все ок. В общем, действительно, отключение dnsclient - сомнительная вещь. При отключении появляются глюки в виде периодического отваливания DNS в разном софте (очень заметно в Chrome).
Может лучше в шапке заменить это текстом о том, что (для LTSB 2016 14393):
1. Ставить Windows с отключенной сетью. С отключенной сетью с флешки поставить драйвера.
2. Сразу после установки без сети с флешки поставить, например, Windows Firewall Control.
3. Все правила, кроме тех, что ниже удалить или запретить.
Оставить:
Core Networking - Dynamic Host Configuration Protocol (DHCP-In) (port 68 <- 67)
Core Networking - Dynamic Host Configuration Protocol (DHCP-Out) (port 68 -> 67)
Core Networking - DNS (UDP-Out) UDP remote port 53
я еще оставил
mDNS (UDP-In)
mDNS (UDP-Out)
5. Включить сеть.
6. Запустить AutoSettings от westlife и жить счастливо и долго

Всего записей: 148 | Зарегистр. 23-04-2003 | Отправлено: 00:48 03-01-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv
Настройка брандмауэра подразумевает не только LTSB
1. Не все отключают
2. Не все ставят
3. Про отключение DNS из шапки убрал
6. AutoSettings не в этой теме обсуждаем.

Всего записей: 6980 | Зарегистр. 12-10-2001 | Отправлено: 01:23 03-01-2018
aliv

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Да, я понимаю. Я написал для таких, как я, которым противны выкрутасы последних версий Windows 10, и которые будут ставить только LTSB. Дело в том, что процесс - целостный.
Для максимальной эффективности нужно не просто применить AutoSettings или не только играться настройками firewall'а. Когда закончу эксперименты - напишу по шагам что делать с кастомными скриптами и правилами firewall - куда это все запостить?

Всего записей: 148 | Зарегистр. 23-04-2003 | Отправлено: 14:06 03-01-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
aliv

Цитата:
куда это все запостить?

Тема будет общей и затронет несколько вопросов, включая сторонний софт.  
Правильней создать такую тему в Тестировании.
Например, сам когда-то создал там подобную Бесконтрольность Windows 10,
дабы не раздражать постояльцев в основных темах здесь.
А в местных шапках можно добавить на вновь созданную тему ссылку, как на смежную.
 
Добавлено:
Кстати, вы можете дополнить\продолжить тему Бесконтрольность Windows 10, осветив там свое видение
вопроса "Как взять полный контроль над 10"

Всего записей: 6980 | Зарегистр. 12-10-2001 | Отправлено: 14:28 03-01-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru