Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
У меня с десяток лет svchost живёт в очень прочной смирительной рубашке и ничего - помирать не собирается.

а что не кинешь конфиг с пояснениями
 
Добавлено:

Цитата:
Нет - не фильтрует лупбак вообще и это оказывается давно известная "фича".

v2.10|Action=Allow|Active=TRUE|Dir=In|Protocol=6|LA4=127.0.0.1|App=%SystemRoot%\system32\svchost.exe|Svc=WcesComm|Name=@%systemroot%\WindowsMobile\wmdcBase.exe,-4002|Desc=@%systemroot%\WindowsMobile\wmdcBase.exe,-14002|EmbedCtxt=@%systemroot%\WindowsMobile\wmdcBase.exe,-4014|
а это как тогда понимать

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 20:25 28-04-2017
Gorkiy

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Сделал как CruSanodeR и все заработало потому что я тоже сижу на wi-fi роутере.
Правило для adguard 6.2:
 
Netsh.exe Advfirewall Firewall add rule name="Adguard (TCP - исходящий трафик)" dir=out action=allow protocol=TCP program="C:\Program Files (x86)\Adguard\adguardSvc.exe" profile=private,public remoteport=443

Всего записей: 12 | Зарегистр. 05-03-2017 | Отправлено: 03:59 29-04-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
nonim

Цитата:
Windows 10 Enterprise LTSB (от Lex_NNNN) и на чистой системе ставлю опыты



Цитата:
у вас во входящих (именно в окне BiniSoftWFC !) - совсем пусто, точнее - ничего лишнего?  








Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 06:09 29-04-2017 | Исправлено: KLASS, 06:29 29-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
nonim

Цитата:
А я с самого начала объяснил, что у меня всё заблокировано, но всё пролезает.
Вы конфиг не выкладываете свой и потому нет никакого смысла дальше гадать и разбираться.
 
P.S. Антивирус установлен какой сторонний?
 
Добавлено:
Us2002

Цитата:
v2.10|Action=Allow|Active=TRUE|Dir=In|Protocol=6|LA4=127.0.0.1|App=%SystemRoot%\system32\svchost.exe|Svc=WcesComm|Name=@%systemroot%\WindowsMobile\wmdcBase.exe,-4002|Desc=@%systemroot%\WindowsMobile\wmdcBase.exe,-14002|EmbedCtxt=@%systemroot%\WindowsMobile\wmdcBase.exe,-4014|
а это как тогда понимать
Как понимать? Наверное так, что разрешены входящие на локальный?
 
А вот такое правила не сработает ибо не фильтруется лупбак (вы ведь понимаете, что loopback трафик это не трафик из вне на локальный адрес?).

Код:
v2.26|Action=Block|Active=TRUE|Dir=Out|Profile=Public|LA4=127.0.0.1|App=C:\program files\Program\Program.exe|Name=Program (TCP-Out)|Desc=Outbound rule to block Program (TCP-Out)|EmbedCtxt=My Rules|


Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 09:25 29-04-2017 | Исправлено: WildGoblin, 10:08 29-04-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Администрирование брандмауэра Windows через PowerShell. Не для слабонервных.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 13:28 29-04-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
А вот такое правила не сработает ибо не фильтруется лупбак  

видимо мсявая стенка работает через драйвера сетюхи и берёт значения регистров оттуда, из чипа, но со своим программным интерфейсом не работает, так?

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 15:52 29-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
видимо мсявая стенка работает через драйвера сетюхи и берёт значения регистров оттуда, из чипа, но со своим программным интерфейсом не работает, так?
Не знаю по какой причине оно работает именно так (и не уверен, что знание поможет решить проблему).
 
В общем всем у кого установлен в системе прозрачный прокси (антивири различные и т.п.) следует быть внимательными ибо через них всё утечёт в обход стенки.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 16:32 29-04-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ну тоесть именно поэтому не нужен входящий рул в стене на ответ по удп (например днс) и хватает только исходящего рула на запрос, ибо железо сетюхи само отфильтрует и передаст ответ в течении определённого таймаута?

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 18:13 29-04-2017
Gorkiy

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Сегодня запустил CCleaner провел проверку реестра и он мне среди прочего выдал, что у меня установлены "неправильные правила брандмауэра".
 

 
После прочтения всей ветки, уточняю, что UDP на входящие не делал, не смотря на то, что сижу на wi-fi роутере, я указал правило DNS

Код:
netsh advfirewall firewall add rule name="DNS (UDP - исходящий трафик)" dir=out action=allow profile=private,public program="C:\Windows\System32\svchost.exe" protocol=UDP localport=any remoteport=53 localip=any remoteip=192.168.8.1,192.168.8.1

Всего записей: 12 | Зарегистр. 05-03-2017 | Отправлено: 14:54 30-04-2017 | Исправлено: Gorkiy, 15:01 30-04-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Gorkiy

Цитата:
...у меня установлены "неправильные правила брандмауэра"
Правила есть, а программ этих нет - удалите просто эти стандартные правила.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 15:08 30-04-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
кто что скажет по корректности и актуальности этого правила и по созданию данных активных маршрутов
 
v2.10|Action=Block|Active=TRUE|Dir=Out|RA4=23.99.10.11|RA4=23.102.21.4|RA4=23.218.212.69|RA4=64.4.6.100|RA4=64.4.54.22|RA4=64.4.54.32|RA4=65.39.117.230|RA4=65.52.100.7|RA4=65.52.100.9|RA4=65.52.100.11|RA4=65.52.100.91|RA4=65.52.100.92|RA4=65.52.100.93|RA4=65.52.100.94|RA4=65.52.108.29|RA4=65.55.29.238|RA4=65.55.39.10|RA4=65.55.108.23|RA4=65.55.138.114|RA4=65.55.138.126|RA4=65.55.138.186|RA4=65.55.252.63|RA4=65.55.252.71|RA4=65.55.252.92|RA4=65.55.252.93|RA4=111.221.29.177|RA4=111.221.29.253|RA4=131.253.40.37|RA4=134.170.30.202|RA4=134.170.115.60|RA4=134.170.165.248|RA4=134.170.165.253|RA4=134.170.185.70|RA4=137.116.81.24|RA4=137.117.235.16|RA4=157.55.129.21|RA4=157.55.133.204|RA4=157.56.91.77|RA4=157.56.121.89|RA4=168.63.108.233|RA4=184.86.56.12|RA4=185.13.160.61|RA4=191.232.80.58|RA4=191.232.80.62|RA4=191.232.139.254|RA4=191.237.208.126|RA4=204.79.197.200|RA4=207.46.101.29|RA4=207.46.114.58|RA4=207.46.223.94|RA4=207.68.166.254|RA4=212.30.134.204|RA4=212.30.134.205|Name=Block MS Telemetry|

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 15:58 30-04-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
Не знаю по какой причине оно работает именно так (и не уверен, что знание поможет решить проблему).  

а оно (петля) однако в принципе не имеет системных настроек ни в реестре ни через политики...
 
зы а что это у них за интерфейс:
{846ee342-7039-11de-9d20-806e6f6e6963

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 01:05 01-05-2017 | Исправлено: Us2002, 01:14 01-05-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
а оно (петля) однако в принципе не имеет системных настроек ни в реестре ни через политики...
А какие там могут быть настройки?

Цитата:
зы а что это у них за интерфейс:
{846ee342-7039-11de-9d20-806e6f6e6963
Я не знаю что это такое и не вижу подобного у себя.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 11:57 02-05-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin

Цитата:
А какие там могут быть настройки?

любой адаптер имеет интерфейс, его параметры, бинды, роуты, экспротрты в секциях тцпип ну и ланмансерва
обратная петля - интерфейс на уровне чипа видимо

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 13:12 02-05-2017 | Исправлено: Us2002, 13:16 02-05-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
любой адаптер имеет интерфейс, его параметры, бинды, роуты, экспротрты в секциях тцпип ну и ланмансерва
Какие там могут быть настройки позволяющие справится с проблемой?

Цитата:
обратная петля - интерфейс на уровне чипа видимо
В интернетах же подробно расписано как это работает.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 15:47 02-05-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
 

Цитата:
А вот такое правила не сработает ибо не фильтруется лупбак (вы ведь понимаете, что loopback трафик это не трафик из вне на локальный адрес?).
 
Код:
v2.26|Action=Block|Active=TRUE|Dir=Out|Profile=Public|LA4=127.0.0.1|App=C:\program files\Program\Program.exe|Name=Program (TCP-Out)|Desc=Outbound rule to block Program (TCP-Out)|EmbedCtxt=My Rules|
 

ну так подобное правило же сработает
v2.26|Action=Allow|Active=TRUE|Dir=Out|Profile=Public|LA4=X.Y.Z.0|App=C:\program files\Program\Program.exe|Name=Program (TCP-Out)|Desc=Outbound rule to block Program (TCP-Out)|EmbedCtxt=My Rules|
тоесть только с данной подсети или ипа пройдут пакеты (остальные дропнутся на стенке, петля типо завернётся на сетевом чипе в случае если запрещены неописаные исходящие )

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 17:05 02-05-2017 | Исправлено: Us2002, 17:09 02-05-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002

Цитата:
ну так подобное правило же сработает
А зачем мне нужно подобное разрешающее правило когда необходимо только блокировать некоторый трафик на лакальный прокси?

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 17:15 02-05-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
так блокировать прогу на посыл 127.0.0.0
 
зы а ну да, посылать-то посылает, принимать можно запретить
ну не знаю...  запретить на сетюхе интерфейс петли не метод, дропить пакеты на нём - тоже, единственное - программе внутри себя запретить слать =)

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:41 02-05-2017 | Исправлено: Us2002, 19:56 02-05-2017
Valery_Sh



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
И сколько программ перестанут работать после такого запрета?

Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 22:36 02-05-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
мне более интересен ответ вопрос какие электрические импульсы с адресом отправки 127.0.0.х куда пойдут в современных железках под управлением вынь 7-10 а также куда придут с адресом доставки 127.0.0.х,
Цитата:
В интернетах же подробно расписано как это работает.
пока не видел, но предполагаю что такие импульсы таки можно будет обнаружить в проводниках на шинах между чипом сетюхи, памятью и процессором.

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 05:09 03-05-2017 | Исправлено: Us2002, 05:15 03-05-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru