Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11063 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
pangasiys



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
я пользуюсь TimeSync 2.35 для синхронизации времени - она порташная и не требует чтоб была включена служба времени

Всего записей: 6415 | Зарегистр. 05-06-2012 | Отправлено: 13:09 14-01-2019
Oleg_II



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
wvxwxvw
Цитата:
Он неверное время устанавливает, на час больше чем должно быть. Как исправили?
Четь меньше недели до 10-ки сидел на 7-ках х32-х64 (переходный период или карантин, так сказать). Там в х32 работало нормально, в 64-битной тоже начало так чудить и я начал искать альтернативы, потом уже даже просто решил системными средствами синхронизировать (в настройки через часы в трее).
Но когде перешёл на 10-ку 64-битную, перед отправкой в архив ещё раз запустил - он работает!
Фиг его знает, в чём проблема.

Всего записей: 2879 | Зарегистр. 30-09-2002 | Отправлено: 14:20 14-01-2019 | Исправлено: Oleg_II, 14:21 14-01-2019
conon



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
wvxwxvw
Уже всё сделано за нас simplewall поставил и забыл.
перечитай ещё раз первый мой пост что мне конкретно
было нужно. shadow_member мне подсказал как.

Всего записей: 26 | Зарегистр. 13-01-2019 | Отправлено: 15:09 14-01-2019
Oleg_II



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
wvxwxvw
Цитата:
Он неверное время устанавливает, на час больше чем должно быть. Как исправили?
Упс... А вот сейчас на перестановленной той же 10-ке опять на час больше выдаёт...
 
При установке Виндов мелькало что-то про автоматическую корректировку таймзоны, кажется, может где-то там сработало.

Всего записей: 2879 | Зарегистр. 30-09-2002 | Отправлено: 15:15 14-01-2019
wvxwxvw

Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Oleg_II
Да вон pangasiys нормальный вариант предложил. Мне хотелось параметр ком.строки для автосинхронизации и вот это:

Цитата:
TimeSync поставляется со списком серверов времени по умолчанию. Сервер, который успешно предоставил информацию о времени, всегда помещается поверх списка, также в режиме /auto. (Порядок сохраняется в INI-файле.)
 
Если вы хотите добавить или удалить серверы времени, откройте INI-файл (если программа не открыта) и измените элемент "NISTserver". Можно указать до 10 серверов, разделенных точкой с запятой.

Так что поиск завершен.  
 
А то в UpdateTime ни чего не настраивается.

Всего записей: 5677 | Зарегистр. 02-04-2015 | Отправлено: 18:09 14-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
Сторонние часы, в них есть синхронизация
А чем сторонние лучше (делись пожалуйста ссылкой - может мне тоже надо)?
 
 
Добавлено:
pangasiys

Цитата:
я пользуюсь TimeSync 2.35 для синхронизации времени - она порташная и не требует чтоб была включена служба времени
А включаете её вручную и если нет, то какой плюс по сравнению с нативными средствами?
 
Oleg_II

Цитата:
При установке Виндов мелькало что-то про автоматическую корректировку таймзоны, кажется, может где-то там сработало.
В виндовом поиске начни набирать "установка врем" и там всё видно будет.
Там же есть автоматическая установка часового поясы или же можно вручную его настроить.
 

Всего записей: 29114 | Зарегистр. 15-09-2001 | Отправлено: 19:28 14-01-2019
Oleg_II



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Цитата:
Там же есть автоматическая установка часового поясы или же можно вручную его настроить.
Тут вопрос был в сбое сторонней проги на один час. Я предположил, что может быть какая-то настройка, связанная с временной зоной влияет.
Но вобщем, это не критично и к данной теме не относится

Всего записей: 2879 | Зарегистр. 30-09-2002 | Отправлено: 19:52 14-01-2019
pangasiys



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
я пользуюсь TimeSync 2.35 для синхронизации времени - она порташная и не требует чтоб была включена служба времени
А включаете её вручную и если нет, то какой плюс по сравнению с нативными средствами?  
мне плюс такой что вырублена служба времени и нет лишнего процесса в диспетчере задач а значит процессору легче - хе
и ещё плюс МНЕ что она не требует установки - портабельная - нету её в реестре и нигде кроме её папки - хе хе
вручную её запускаю иногда - мне не трудно - хе хе хе
 
 
Добавлено:

 

Всего записей: 6415 | Зарегистр. 05-06-2012 | Отправлено: 19:54 14-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Oleg_II

Цитата:
это не критично и к данной теме не относится

ну да, твоя тачка получила хер знает от кого (того, кто использовал подменный ип к примеру) дату и время, твоя стенка это пропустила, а к теме не относиццо, смеяццо после слова лопата?

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 21:02 14-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
pangasiys

Цитата:
мне плюс такой что вырублена служба времени и нет лишнего процесса в диспетчере задач а значит процессору легче
Так служба W32Time по умолчанию в "ручном" режиме запуска - планировщик её дёргает иногда и она отрабатывает:
%windir%\system32\sc.exe start w32time task_started
Раз в день что ли...

Цитата:
вручную её запускаю иногда - мне не трудно - хе хе хе
Сколько раз в день, неделю, год? Окажется , что на протяжении всей жизни потратили под сотню часов чтобы время синхронизировать! Не стоит оно того.
 
Us2002

Цитата:
ну да, твоя тачка получила хер знает от кого (того, кто использовал подменный ип к примеру) дату и время
тайм нист гов - ничего себе "хз от кого"!

Всего записей: 29114 | Зарегистр. 15-09-2001 | Отправлено: 22:56 14-01-2019
Timius1

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Здравствуйте!  
Подскажите пожалуйста какие нужны правила брандмауэра для настройки Hyper-V в Windows 10 2019 LTSC?  
Настроенные правила:  
Основы сетей - протокол DHCP (вх. трафик DHCP)  
Основы сетей - протокол DHCP (DHCP - исходящий трафик)  
Синхронизация времени (UDP - исходящий трафик)  
Что бы потом через Hyper-V можно было настроить.  
1 вариант) правила для приватной работы через Hyper-V.  
2 вариант) правила для мессенджеров скайп, дискорд и прочие через Hyper-V.

Всего записей: 21 | Зарегистр. 17-05-2018 | Отправлено: 23:33 14-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
тайм нист гов - ничего себе "хз от кого"!

и кто сказал что он это он?

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 01:01 15-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
и кто сказал что он это он?
А зачем от кого-то другого?

Всего записей: 29114 | Зарегистр. 15-09-2001 | Отправлено: 13:23 15-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
это не ответ на мой вопрос, а другой вопрос с переводом стрелок
 
Добавлено:
попробую пояснить, смысл не в том что забить какойто модный сервер в реестр (хоть тайм нист, хоть твой локальный рутер), а в том чтоб получать ответы именно от того который там забит и ни от кого иного

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 13:46 15-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
а в том чтоб получать ответы именно от того который там забит и ни от кого иного
Понял, но разве NTP по ссл может? Да и смысл какой - разве будет кто копаться в трафике и заменять десятки серверов точного времени на свой зловредный? Затратить такие большие усилия чтобы время сбить кому-то. Ну а если ты не "кто-то", то заведи себе свой институт - с атомными часами и студентами. Хотя может я чего и не уловил...

Всего записей: 29114 | Зарегистр. 15-09-2001 | Отправлено: 16:00 15-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
видимо не уловил, имхо нельзя подвергать нормальную работоспособность системы и по зависимости от каковато мудака (или клёвого пацана), долбящего в твою стенку "ответами" с тем временем, которое ему необходимо засылать
 
Добавлено:
зы ссл уже не катит, в мусорку его, тлс нынче в тренде
 
Добавлено:
зызы в туннелях сстп и ипсек до доверенного и авторизованного дхцп стандартный нтп вроде замечательно бегал
 
Добавлено:
а если физика локалки под контролем, то возможно и напрямую без тоннелей

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 16:57 15-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
...долбящего в твою стенку "ответами" с тем временем, которое ему необходимо засылать
Так не он долбит, а "ты" запрашиваешь.

Цитата:
зы ссл уже не катит, в мусорку его, тлс нынче в тренде  
Это понятно, но ссл быстрее набрать. )

Цитата:
зызы в туннелях сстп и ипсек до доверенного и авторизованного дхцп стандартный нтп вроде замечательно бегал  
Так он же не ведает что по впн бегает - для него это всё прозрачно.

Всего записей: 29114 | Зарегистр. 15-09-2001 | Отправлено: 18:28 15-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ты - запрашиваешь, а он - долбит, различные процессы
не ведает, ему не положено

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 18:46 15-01-2019
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Из опыта на практике, пример?

Всего записей: 11063 | Зарегистр. 12-10-2001 | Отправлено: 16:02 17-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
теоретического предположения мало? надо инструкцию по лому банкоматов? =)

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 16:43 17-01-2019
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru