Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
Oleg_II



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Цитата:
ну а как же без пинга и трассера тестить
Для пинга включаем:
shadow_member
Цитата:
Если нужен пинг, разрешить исх. ICMPv4 для System.
А трассер там же?
 
 
Добавлено:
Us2002
Цитата:
такто -оно на постоянку нафиг не нужно (когда постоянка проверена от проводов до прокладки между моном и диваном)
Хм... Ну, тогда это необязательный компонент, можно отдельным файлом сделать и применять только в случае необходимости. Типа ремкомплект

Всего записей: 2879 | Зарегистр. 30-09-2002 | Отправлено: 14:55 11-01-2019 | Исправлено: Oleg_II, 15:02 11-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Oleg_II

Цитата:
А трассер там же?
 

вроде да, проверь
 
Добавлено:

Цитата:
Типа ремкомплект  

+++

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 14:59 11-01-2019
Oleg_II



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Цитата:
проверь
Накаркаете, мне тогда надо будет узнать, что это такое
 
Ладно, а если серьёзно, что ещё стоит добавить или дальше уже только частные случаи и отдельные программы?

Всего записей: 2879 | Зарегистр. 30-09-2002 | Отправлено: 15:01 11-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Oleg_II

Цитата:
Ладно, а если серьёзно, что ещё стоит добавить

для какого случая, отдельный комп для дома с подключением к рутеру по проводу? =) случаи-то разные
иногда есть домашняя сетка со всякими там устройствами и необходимостью сетевого взаимдействия между ними, иногда к компу дибильнег подключают по усбе, иногда по вафле и синезубому чёт взаимодействует, иногда комп  носится по всему свету...
агласитя весь списог пажалста, скока вешать в граммах =)
 
Добавлено:
зы работа с виртуалками кстати ща в моде

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 15:10 11-01-2019
Oleg_II



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Понял, значит уже частные случаи
 
Ну, что же, тогда я в общих чертах в теме разобрался. Если у кого есть отдельные настройки, необходимые для беспроводных сетей (вайфай), то с благодарностью заберу, чтобы сократить свои трудозатраты в будущем. А так, пошёл я мучить людей в другую тему

Всего записей: 2879 | Зарегистр. 30-09-2002 | Отправлено: 15:22 11-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Oleg_II
для минимального случая ваще имхо никакие правила не нужны кроме общего по синхронизации времени и частных для каждой проги

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 15:39 11-01-2019
Oleg_II



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
Цитата:
синхронизации времени
Хм... Я что-то пропустил? А для этого что надо добавить?
 
В Process Hacker svchost.exe ломанулся на удалённый порт 53 UDP при попытке синхронизировать время. Разрешить надо это соединение?
 
Добавлено:
Вообще, я раньше отключал службу синхронизации времени в ХР и пользовался сторонними утилитами.
Сейчас в запасе есть Neutron.exe, был испытан в 10-ке - работает. Надо проверить.
 
Работает В одном правиле по двум портам.
Можно отключать сервис синхронизации времени (если он есть) и заменять его 15-килобайтной прожкой

Всего записей: 2879 | Зарегистр. 30-09-2002 | Отправлено: 15:52 11-01-2019 | Исправлено: Oleg_II, 16:13 11-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Кстати днс-туннель вполне отлично работает даже при использовании днс-сервера роутера и виртуальной машины. Но собственно это не совсем днс-туннель (как правильно говорит уважаемый CaptainFlint, хотя я с ним и спорю гыгы), но общение с помощью такого метода тоже можно построить.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 16:18 11-01-2019
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Oleg_II

Цитата:
svchost.exe ломанулся на удалённый порт 53 UDP при попытке синхронизировать время. Разрешить надо это соединение?  

ну он же не знает ипа сервера времени, он знает тока его имя, как он передаст-то? =)

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 16:24 11-01-2019
trimba



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Извиняйте... Del

Всего записей: 348 | Зарегистр. 30-09-2005 | Отправлено: 22:32 11-01-2019 | Исправлено: KLASS, 10:05 13-01-2019
Timius1

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Здравствуйте!
Подскажите пожалуйста какие нужны правила брандмауэра для настройки Hyper-V в Windows 10 2019 LTSC?
Настроенные правила:
Основы сетей - протокол DHCP (вх. трафик DHCP)
Основы сетей - протокол DHCP (DHCP - исходящий трафик)
Синхронизация времени (UDP - исходящий трафик)
Что бы потом через Hyper-V можно было настроить.
1) правила для приватной работы через Hyper-V.
2) правила для мессенджеров скайп, дискорд и прочие через Hyper-V.

Всего записей: 21 | Зарегистр. 17-05-2018 | Отправлено: 13:29 13-01-2019 | Исправлено: Timius1, 13:42 13-01-2019
conon



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Прикольно давно искал нормальную настройку брандмауэра  
но чёт больно сложно... Пользуюсь simplewall там сразу приходит
уведомление разрешить запретить. Но бывает он чуток тупит уведомление не сразу приходит
вопрос можно так же сделать со стандартным брандмауэром чтоб он так же спрашивал разрешить
запретить программам в сеть?

Всего записей: 26 | Зарегистр. 13-01-2019 | Отправлено: 18:38 13-01-2019
wvxwxvw

Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Oleg_II

Цитата:
Neutron.exe

Он неверное время устанавливает, на час больше чем должно быть. Как исправили?
 
Вообще утилит для этого куча, у меня сейчас UpdateTime работает, но она без настроек, сервер не изменить.

Всего записей: 5677 | Зарегистр. 02-04-2015 | Отправлено: 18:57 13-01-2019
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
conon

Цитата:
вопрос можно так же сделать со стандартным брандмауэром чтоб он так же спрашивал разрешить
запретить программам в сеть?
Можно, если поставить надстройку Binisoft Windows Firewall Control.
wvxwxvw
У тебя нормальный выбор, из-за разнобоя я отказался от нейтрона, стоят Atomic Alarm Clock, они же и синхронизируют (svchost на синхронизацию забанен).

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 19:31 13-01-2019
conon



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Был у меня такой пропускает он обновление
и кортану в сеть телеметрия само сабой

Всего записей: 26 | Зарегистр. 13-01-2019 | Отправлено: 19:40 13-01-2019
wvxwxvw

Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
conon
У вас похоже руки кривые, а не "он пропускает". У меня ни чего не пропускает и у сотен других пользователей тоже, а у вас пропускает. Задумайтесь.
 
shadow_member
У меня T-Clock 2010. В нем нет синхронизации, но UpdateTime я в него добавил, в меню.
 
У других, которые у меня есть, ком.строка неизвестна, что бы без захода в GUI синхронизировать. Ну или хотя бы с заходом, но без лишних кликов, как в Neutron.

Всего записей: 5677 | Зарегистр. 02-04-2015 | Отправлено: 22:13 13-01-2019
conon



Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
wvxwxvw
https://pastenow.ru/4IHBY
думаю дальше дискуссию можно не продолжать

Всего записей: 26 | Зарегистр. 13-01-2019 | Отправлено: 23:21 13-01-2019 | Исправлено: conon, 01:33 14-01-2019
wvxwxvw

Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
conon
Ну я и говорю руки кривые. Вы думаете, что установив такую программу она все за вас сделает? На настройку правил надо потратить несколько часов времени, перед этим потратив несколько дней на чтение всяких шапок и статей. Вы ведь в курсе что правила вручную настраиваются? Нет? Тогда действительно можно не продолжать.
 
И еще совет бесплатный. Если не в состоянии прочесть, что в программе на английском написано, пользуйтесь переводом.

Всего записей: 5677 | Зарегистр. 02-04-2015 | Отправлено: 06:24 14-01-2019 | Исправлено: wvxwxvw, 06:57 14-01-2019
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
svchost на синхронизацию забанен
Почему?

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 12:17 14-01-2019
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
Сторонние часы, в них есть синхронизация.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 13:05 14-01-2019
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru