Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
iifilthii
смените uTorrent и посмотрите. Будут проблемы, стало-быть, они локальные.
Не будет-проблемы торрента.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 22:18 05-10-2017
gen4gen



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Ребят, может кто уже ковырялся, какие диапазоны ip нужно открыть для svchost.exe, чтобы обновления от мелких приходили? Полный выход в инет ему совсем хочется давать.

Всего записей: 671 | Зарегистр. 19-11-2004 | Отправлено: 21:02 09-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gen4gen
Установка обнов на автомате это тоже слив, потому как предварительно сливается инфа
(какая?), а потом уже пользователь получает обновы. Любые IP могут периодически меняться,
стало-быть, нет смысла их отслеживать.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 08:00 10-10-2017
syrenium

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Подскажите, пожалуйста, по терминологии "локальный порт" и "удаленный порт" в правилах брандмауэра Windows.
Цитата с technet.microsoft.com

Цитата:
Локальный порт - это порт компьютера, к которому применяются профили брандмауэра.


Цитата:
Удаленный порт - это порт на компьютере, пытающийся установить связь с другим компьютером, к которому применен профиль брандмауэра.

То есть, при входящих соединениях локальный порт - мой компьютер (условно), удаленный - компьютер отправителя.
Но при исходящих соединениях локальный порт - компьютер получателя, удаленный - мой.
 
Цитата с Википедии

Цитата:
Если хост получит пакет, порт процесса-отправителя называется «удалённым» (англ. remote) портом или "открытым на другом хосте", а порт процесса получателя — «локальным» портом, то есть открытым на текущем хосте. Если хост отправил пакет, порт процесса-отправителя называется «локальным» портом (открытым на текущем хосте), а порт процесса-получателя — «удалённым» портом (открытым на другом хосте).

То есть, что при входящих, что при исходящих соединениях, локальный порт - мой компьютер, удаленный - чей-то другой.
Как правильно?

Всего записей: 671 | Зарегистр. 07-12-2015 | Отправлено: 11:48 25-10-2017 | Исправлено: syrenium, 11:49 25-10-2017
Userrr



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Но при исходящих соединениях локальный порт - компьютер получателя, удаленный - мой.  

всегда локальный порт это там где установлен файерволл и за которым сидишь ты

Всего записей: 10821 | Зарегистр. 21-03-2006 | Отправлено: 12:13 25-10-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Локальный порт при исходящих, при входящих- порт на твоей локальной машине.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 12:59 25-10-2017
syrenium

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Userrr
shadow_member
А как же тогда понимать разъяснения с technet.microsoft.com?

Всего записей: 671 | Зарегистр. 07-12-2015 | Отправлено: 14:38 25-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
syrenium

Цитата:
Локальный порт - это порт компьютера, к которому применяются профили брандмауэра.
Удаленный порт - это порт на компьютере, пытающийся установить связь с другим компьютером, к которому применен профиль брандмауэра.

Так и понимать, буквально.
Все, что "локальное" это все ваше, расположенное локально, к которому вы применяете профили...
Удаленный порт-это все не ваше, т.е. порт другого компа.
А исходящее или входящее соединение не важно. Просто при исходящем соединении вы подключаетесь
по определенному протоколу через определенный, локальный (свой) порт к удаленному (чужому) порту,
при входящем соединении подключаются к вам с удаленного (чужого) порта к вашему, т.е. локальному порту.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 15:32 25-10-2017
syrenium

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Ясно, спасибо!
Смутило описание и то, что использую COMODO Firewall. В нем

Цитата:
удаленный адрес для исходящего соединения – это «Адрес назначения», а удаленный для входящего – это «Адрес отправления»; аналогично с портами.

Всего записей: 671 | Зарегистр. 07-12-2015 | Отправлено: 18:35 25-10-2017
syrenium

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Правильно я пониманию, что при использовании dnscrypt нет необходимости отключать службу Dnscache?
Если ее отключить, то всем приложениям в loopback нужно разрешать исходящие соединения на локальный и удаленный адреса - 127.0.0.1 и удаленный порт 53.
Если ее включить, то подобное правило нужно будет только для svchost.exe.

Всего записей: 671 | Зарегистр. 07-12-2015 | Отправлено: 19:16 29-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
syrenium

Цитата:
Правильно я пониманию, что при использовании dnscrypt нет необходимости отключать службу Dnscache?

Я не юзал dnscrypt. А службу можно и без dnscrypt не отключать, просто в шапке я сделал максимум отключений для svchost и создавал для каждого приложения, которому нужен Инет, отдельное правило для DNS. Чтобы этим не заморачиваться, просто не отключаем Dnscache.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 01:41 30-10-2017
syrenium

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Наверное, я неправильно спросил.
Правильнее скорее: нет смысла отключать службу Dnscache при любых раскладах?
dnscrypt завязывает исходящие соединения на 53 порт внутри локального компьютера (127.0.0.1), а внешне - через себя. Поэтому в случае отключения Dnscache каждое приложение требует разрешить ему 53 порт с 127.0.0.1 на 127.0.0.1 (на dnscrypt).
А если не отключать Dnscache внутри компа все идет через svchost.exe, но только до dnscrypt.

Всего записей: 671 | Зарегистр. 07-12-2015 | Отправлено: 08:04 30-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
syrenium

Цитата:
Поэтому в случае отключения Dnscache каждое приложение требует разрешить ему 53 порт с 127.0.0.1 на 127.0.0.1 (на dnscrypt).  

Ну да, т.е. также, как и я создавал отдельные правила DNS для каждого приложения, только не на 127.0.0.1, а на адреса DNS-серверов провайдера.

Цитата:
А если не отключать Dnscache внутри компа все идет через svchost.exe, но только до dnscrypt.  

Ну да.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 10:27 30-10-2017
syrenium

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
Спасибо! Раз уж зашел разговор.
По Вашему варианту настраиваю брандмауэр и смотрю, что блокирует. Возникло пара вопросов:
1. Блокируются исходящие соединения на протоколы IGMP и Multicast Listener Discovery на 239.255.255.250 (SSDP) и на 224.0.0.х. По сути одно и то же, только для IPv4 и IPv6. Почитал, это мультивещание. Нужно для IPTV, трансляций и онлайн-игр. IPTV не использую, видео с компа не транслирую. Но использую Steam. Большинство соединений блокируются именно, когда запускаю игры через Steam. Хотя каких-либо сбоев или ошибок не обнаружил.
2. Блокируются исходящие соединения между IPv6 адресами fe80::х, ff02::1х и ff02::2х. По правилам брандмауэра нашел, что это Основы сетей - RA (исходящий трафик ICMPv6) и Основы сетей - запрос маршрута(исходящий трафик ICMPv6).
Нужны ли эти соединения и для чего?

Всего записей: 671 | Зарегистр. 07-12-2015 | Отправлено: 10:56 30-10-2017 | Исправлено: syrenium, 11:00 30-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
syrenium
1. Если при блокировке мультивещания проблем нет с steam, стало-быть и думать не о чем
2. Если что-то блокируется, но при этом все работает... не вижу смысла напрягать мозг
Больше закрыли-меньше слили
А протокол v6 насколько помню используется в домашней группе.
Дома такого не держу, стало-быть, все подобные правила выпилены.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 11:52 30-10-2017
syrenium

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS
В как Вы думаете, если при работе с локальной сетью разрешить ряду системных процессов (svchost.exe, spoolsv.exe и т.п.) исходящие соединения на любые порты, но ограничив локальный и удаленный адреса Локальной подсетью (с 192.168.1.х на 192.168.1.х), пострадает Тонкая настройка брандмауэра?
 
Поясню вопрос: если Тонкая настройка брандмауэра в части исходящих соединений рассчитана, прежде всего, на предотвращение слива данных, как негативно может сказаться разрешение системным процессам исходящие внутри локальной сети?

Всего записей: 671 | Зарегистр. 07-12-2015 | Отправлено: 12:13 30-10-2017 | Исправлено: syrenium, 13:56 30-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
как негативно может сказаться разрешение системным процессам исходящие внутри локальной сети?

Отвечу двояко:
1. Технически - думаю, никак.
2. Философски - чем больше закрыто (читай, меньше разрешено системным процессам), тем крепче сон.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 14:29 30-10-2017
Alex_OS

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Почему Windows Firewall, когда какая-либо программа впервые пытается выйти в Интернет, иногда спрашивает, что с этим делать, а иногда просто пускает? Причём, пускает втихаря чаще, чем спрашивает. От чего это зависит?

Всего записей: 207 | Зарегистр. 01-10-2017 | Отправлено: 19:20 01-11-2017
KismetT_v3



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
когда какая-либо программа впервые пытается выйти в Интернет, иногда спрашивает, что с этим делать

Спрашивает он только на предмет разрешения входящих, если этого требует приложение.
А на исходящие никаких запросов не выдаёт.  


----------
Это я .... И это тоже я .... Мы из этих

Всего записей: 2471 | Зарегистр. 08-04-2016 | Отправлено: 20:04 01-11-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
А чтоб не спрашивал, снять птички (Панель упр. —> Брандмауэр Windows —> Включение и откл. брандмауэра Windows)
   
Теперь, если программа XYZ.exe захочет открыть порт для прослушивания входящего трафика (принять входящее соединение), вы не получите уведомления об этом, но эти действия программы XYZ.exe будут незаметно заблокированы (создано запрещающее правило).

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 20:48 01-11-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru