Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11063 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
oinvhi
Отключил правила DNS от мелких и службу DNS-клиент, а для браузера создал правило UDP,
где указал только основной шлюз, как удаленный адрес (в моем случае это адрес роутера).
Полет нормальный, те DNS адреса провайдера роутер сам ведает.

Всего записей: 11063 | Зарегистр. 12-10-2001 | Отправлено: 11:52 12-08-2018
oinvhi



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS Да, именно так всё и работает. По началу делал по инструкциям строго - не заработало. Пришлось разбираться. Может быть стоит добавить в шапку инфу о том, что при работе через роутер, нужно для UDP 53 указывать строго основной шлюз, ведь это не всем очевидно?
 
Еще у меня проблемы:  
ICMP. эхо-запросы работают исключительно по ип.
Ну и старая тема, в ветке поднимался вопрос. Браузер после обновления устанавливается в новую папку, приходится руками править пути. Решения не нашел.
С исходящими на локальный фтп (специфический) не смог разобраться. Открыл (explorerУ.exe )) весь диапазон портов TCP и строго ограничил диапазаном ип. По другому - ни как.
MSE (антивирь от мелкомягких) - открыл 433 TCP, 53 UDP исх. Базы обновляет. На предмет слива/телеметрии - надо смотреть.

Всего записей: 17 | Зарегистр. 06-09-2017 | Отправлено: 15:41 12-08-2018 | Исправлено: oinvhi, 15:48 12-08-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
oinvhi

Цитата:
По началу делал по инструкциям строго - не заработало.

То писалось для работы без роутера, т.е. с подключенным шнурком от провайдера в комп.
Но думаю и там бы работало, если указать только основной шлюз.

Цитата:
ICMP. эхо-запросы работают исключительно по ип.

У меня для SYSTEM все разрешено.

Цитата:
Браузер после обновления устанавливается в новую папку

У самого так же, потому браузер обновляю ручками, дабы не править каждый раз правила.

Цитата:
 и строго ограничил диапазаном ип. По другому - ни как.  

По IP уже и достаточно.

Всего записей: 11063 | Зарегистр. 12-10-2001 | Отправлено: 16:10 12-08-2018
oinvhi



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Но думаю и там бы работало, если указать только основной шлюз.  

 
по большому счёту, если руками настроить (без DHCP), то будет работать и через роутер, как предлагается в начале ветки.
 

Цитата:
По IP уже и достаточно.

 
да, это всё понятно, работает и ладно.  
вопрос то в другом. как разобраться, чего ему надо. процесс хакер с плагином фаервол не работает в w7, а networktrafficview_russian местной сборки часто не показывает конкретно процесс, который рвётся в сетку.

Всего записей: 17 | Зарегистр. 06-09-2017 | Отправлено: 18:21 12-08-2018
5AUGUST5



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
TcpLogView.exe

Всего записей: 315 | Зарегистр. 16-05-2014 | Отправлено: 09:40 25-08-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
5AUGUST5
Это вы к чему? Нет разрешающего правила, ничего TcpLogView не покажет.

Всего записей: 11063 | Зарегистр. 12-10-2001 | Отправлено: 10:29 25-08-2018
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Как в Wireshark удалить фильтры отсюда и как переименовать уже имеющиеся?
 




http://forum.ru-board.com/topic.cgi?forum=5&topic=14506&start=160#lt

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 09:07 30-08-2018 | Исправлено: KLASS, 09:58 30-08-2018
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
oinvhi
 
Экспериментальный плагин FirewallMonitorPlugin в PH v3.0 не будет работать на семёрке - M$ изменяла часть функций WFP API через который плагин взаимодействует с ОС в XP - Vista -> Win7 -> Win8 -> Win10. При этом имена функций WFP API для Win7 и Win8 совпадают, но передаваемые в них и возвращаемые ими структуры данных разные, в остальных версиях ОС ещё и часть ключевых функций переименована.  
 
Поэтому текущая реализация плагина условно работоспособна на Win81, но больше ориентирована на Win10. На Win7 плагин выводит пустое окно из-за "улучшений" MS WPF.
 
Если вам нужен данный плагин, то вы можете воспользоваться Process Haker v2.39.0.98 - processhacker-2.39.0.98-x86-x64-portable.7z  - для него не требуется инсталляция, просто распакуйте архив и запустите ./ProcessHacker/ph.cmd который (если нет ProcessHacker.settings.xml) создаст его и задаст ряд начальных настроек. Ветка 2.39 разрабатывалась под ОС Windows 7.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 10:47 30-08-2018 | Исправлено: Victor_VG, 10:59 30-08-2018
KismetT_v3



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
M$ изменяла часть функций WFP API через который плагин взаимодействует с ОС в XP - Vista -> Win7 -> Win8 -> Win10.

Сказались ли эти изменения в WFP API на качестве работы самого брандмауэра? Если да, то в какую сторону?

Всего записей: 2471 | Зарегистр. 08-04-2016 | Отправлено: 12:33 30-08-2018
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KismetT_v3
 
Судя по тому, что я когда разбирался почему не работает плагин видел на MSDN происходила адаптация WFP к новым ядрам ОС, а алгоритмы его работы менять нет смысла т.к. в его основе лежит тот же IPTable с фильтрацией на основе правил.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 12:39 30-08-2018
quaritexa



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Почему WSL не работает с фаерволом?

Всего записей: 84 | Зарегистр. 26-09-2006 | Отправлено: 15:15 31-08-2018
oinvhi



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member пкм на фильтре, delete/edit. добавить новый - "+" на той же панели слева.
 
Victor_VG очень спасибо! но, это ваша сборка? просто на wj32/сф лежит эта версия несколько иного содержания.
 
quaritexa там нет ответа?  

Всего записей: 17 | Зарегистр. 06-09-2017 | Отправлено: 23:26 31-08-2018 | Исправлено: oinvhi, 23:33 31-08-2018
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
oinvhi
 
Если вы используете русскую сборку, то она сделана основе моей и не имеет ЭЦП. Выложенная выше портабельная cборка v2.39 так же моя и отличается от официальной ночнушки v2.39 отсутствием ЭЦП и включением в неё экспериментальных плагинов. Исходники данной ревизии относительно официальной сборки не изменены.
 
quaritexa
 
Смотрите на MSDN статьи в разделах Networking and Internet, Windows Filtering Platform API Reference, Windows Firewall with Advanced Security Interfaces и их обновлённые версии. В десятке искусственно нарушена совместимость с ранее разработанной математикой с целью заставить пользователей покупать новые решения Майкрософт и её партнёров.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 05:59 01-09-2018 | Исправлено: Victor_VG, 06:09 01-09-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG
Следи за базаром
Сам только что вдумался во фразу в шапке:

Цитата:
Текущая английская сборка от Victor_VG или локализованная от KLASS

А русской сборки то пока нет (авось срастется), то локализация путем насилования кода. )
В связи с этим изменил фразу на:

Цитата:
Текущая английская сборка от Victor_VG или ее локализованный вариант от KLASS
.

Цитата:
нарушена совместимость с ранее разработанной математикой

Не отвлекайся от темы, ОНО (10) уже так доставляется конечному пользователю,  
а мы здесь в теме учимся со всем этим уживаться )

Всего записей: 11063 | Зарегистр. 12-10-2001 | Отправлено: 09:09 01-09-2018
oinvhi



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG так оно у меня работает:
   
для ие правил нет, свхост правил нет, опера allowed.
чё-то не то, да?
 
 
и еще раз прошу подсказать с пингом. работает лишь по ип.
правило:
   

Всего записей: 17 | Зарегистр. 06-09-2017 | Отправлено: 09:37 01-09-2018 | Исправлено: oinvhi, 09:46 01-09-2018
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
 
Ага. Пока я читал, ты опечатку пришиб.
 
oinvhi
 
Сборка версии 2.39 в семёрке - восьмёрке работает, в десятке лучше ставить 3.0. Причины я кратко выше назвал, по принадлежности это обсуждаемо в теме Process Hacker.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 09:47 01-09-2018
oinvhi



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG значит в 7 оно так и должно работать. ясно.
 

Всего записей: 17 | Зарегистр. 06-09-2017 | Отправлено: 09:51 01-09-2018
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
oinvhi

Цитата:
работает лишь по ип.

Если отключено правило "Основы сетей - DNS (UDP - исходящий трафик)" так и будет, только по IP.
Вы это правило до-настройте, добавив только один удаленный адрес IP роутера.
Кстати, если так до-настроить, то и не понадобятся правила UDP для каждой программы из белого списка,
но через эту дырку некоторые программы смогут связаться с домом )

Всего записей: 11063 | Зарегистр. 12-10-2001 | Отправлено: 10:41 01-09-2018
oinvhi



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS т.е разрешить svchost лазить по udp на роутер и открывать удаленный 53й порт?
не, такого я делать не буду, про днс-туннелинг в курсе (:
благодарю за пояснение.

Всего записей: 17 | Зарегистр. 06-09-2017 | Отправлено: 11:03 01-09-2018
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
oinvhi
 
В роутерах обычно стоит NAT который обеспечивает организацию LAN средствами его свича и её развязку с внешними сетями. Его так же надо настраивать, и часто есть встроенный DNS, обычно на основе BIND DNS. И открыв UDP 53 без проброски портов в NAT мы разрешим только подключения "LAN клиент - DNS роутера", а все задачи разрешения не кэшированных ns/arp/mx-запросов будет исполнять он.  
 
Правда при нехватке доступной DNS памяти роутера и большом числе соединений коробочка великолепно вешается, как минимум время подключения заметно возрастёт.  
 
Для устройств с фиксированным объёмом ОЗУ данная проблема разрешается либо их перезапуском (если забита память устройства), либо ограничением числа установленных соединений, если ОЗУ устройства можно нарастить, то стоит это сделать.  
 
В устройствах для малых (SOHO, до 8 хостов) и средних (до 256 хостов) сетей ставится ОЗУ фиксированного объёма, в устройствах для крупных сетей возможность наращивания ОЗУ обычно есть.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 11:37 01-09-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru