KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft. Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.   Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности. ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:     Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP) Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик) и Основы сетей - DNS (UDP - исходящий трафик). НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно): Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд. Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент. Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark. После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками. Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь. История кумулятивных обновлений для разных версий Windows 10 доступна здесь.   Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений. Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.   Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker. Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10. Вопросы по работе Process Hacker (изучите там шапку). Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения. Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian. Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).   Как добавлять или изменять правила, используя командную строку (команда netsh).   Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).   Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.   Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.   Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)   Также, для удобства создания правил, есть другой инструмент Windows Firewall Control. Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.   Включить аудит Платформы фильтрации IP-пакетов   Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh   Проверка брандмауэра на наличие уязвимостей   Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика. Ищите в других местах: subinacl.exe Size: 290 304 Bytes CRC32: 90B58A75 MD5: 53cdbb093b0aee9fd6cf1cbd25a95077 SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f   Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices   Смежные темы: Настройка персональных файерволов (firewall rules) Бесконтрольность Windows 10 Быстрая настройка Windows   Шапку и около-темные вопросы обсуждаем здесь Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022

aliv Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Конфигурация firewall для работы NFS client в Windows 10 Enterprise.   Достаточно открыть доступ по TCP для C:\Windows\System32\mount.exe C:\Windows\system32\nfsclnt.exe C:\Windows\explorer.exe   на порты 111,2049 и еще кастомные фиксированные порты, которые надо настроить на стороне NFS Server (подробнее тут и тут). Всего записей: 264 | Зарегистр. 23-04-2003 | Отправлено: 15:05 18-08-2019 | Исправлено: aliv, 18:10 18-08-2019

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: И для чего правила про DHCP? Кажется, оно нужно, когда провайдер выдает динамический IP. Если без правила работает, работай без него. Цитата: и тогда для каждого нужно ещё добавлять исходящее правило на UDP порт 53?   Да. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 07:40 03-09-2019

WildGoblin Ru-Board Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору zaqiklop Цитата: Проще ж всё разом блокануть, чем выискивать отдельные адреса, не? Давно тут так и делаем. Цитата: Если локалки как таковой нет (или же где всё на статических адресах), то может, и они не нужны? Не нужны (заисключением того, что сказал shadow_member). Всего записей: 29394 | Зарегистр. 15-09-2001 | Отправлено: 12:58 03-09-2019

MR_DesigneR Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору shadow_member   Цитата: Кажется, оно нужно, когда провайдер выдает динамический IP. Не кажется, а так и есть.)) zaqiklop   Цитата:  При РРРОЕ-подключении адрес я получил и без них.   Откуда известно? Службу предварительно отключали? Сомневаюсь... Если динамика, то при убитой службе обычно потеря сетки. Всего записей: 14549 | Зарегистр. 06-09-2014 | Отправлено: 16:54 03-09-2019

zaqiklop Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Всем спасибо! Цитата: Откуда известно? Службу предварительно отключали? Как смог заскринил. Может, упускаю чего из виду, но нарочно не обманываю А вот для работы VMWare NAT (чтоб адаптеру на хосте выдавался адрес) правило DHCP OUT понадобилось... Всего записей: 64 | Зарегистр. 19-05-2010 | Отправлено: 00:16 07-09-2019 | Исправлено: zaqiklop, 02:02 09-09-2019

MR_DesigneR Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору zaqiklop Цитата: Может, упускаю чего из виду, но нарочно не обманываю Конечно упускаете, вы попутали DNS c DHCP, - суть разные вещи, - и на скринах у вас автомат настроен на получение IP, что невозможно при отключённой DHCP.)) Всего записей: 14549 | Зарегистр. 06-09-2014 | Отправлено: 19:11 08-09-2019

zaqiklop Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: автомат настроен на получение IP, что невозможно при отключённой DHCP Разобрались! В шапке (и в моих вопросах) речь шла об отключении службы DNS Client и о [не]отключении правил фаервола "Основы сетей - протокол DHCP". Я нигде не писал, что отключаю службу DHCP Client Кстати, бьюсь сейчас над выбором подходящей мне Windows 10. В 1809 LTSC я привычным образом отключил службу DNS Client (в версии 1607, например, она отключается "из коробки", в 1709 уже нужно из реестра удалять соответствующую ей ветку Security) и... соединение PPPOE перестало работать. Долго пишет "подключение", крутит-крутит и в итоге не соединяет. Думал, это как раз случай о котором все мне писали, что, мол, и не должно работать (как мы выяснили, это мы просто друг друга не понимали и речь о разном вели), но включение правил DHCP / отключение фавервола не помогает Всего записей: 64 | Зарегистр. 19-05-2010 | Отправлено: 22:51 08-09-2019

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: В 1809 LTSC я привычным образом отключил службу DNS Client Цитата: уже нужно из реестра удалять соответствующую ей ветку Security) Отключал изменением Start с 2 на 4. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 07:45 09-09-2019

Valery_Sh Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Код: ;; ANSWER SECTION: ritlabs.com.        21599    IN    TXT    "v=spf1 a:mail.ritlabs.com a:utils-mt.ritlabs.com -all" "google-site-verification=ED57BMwv1QHX9GwhwRMNKNSLCJpQcarZSGUNWBQKva4" Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 16:58 14-09-2019

Valery_Sh Silver Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору zaqiklop Цитата: либо это мимо кассы.   Пожалуй, да - это я мимо кассы угодил.   Вот это работает, но как сие провернуть под виндой я х.з Код: -A OUTPUT -p udp -m udp --dport 53 -m string --hex-string \ "|066d616e75616c067468656261740e70726f6475637476657273696f6e077269746c61627303636f6d|" \ --algo bm --to 255 -j DROP .... nslookup -q=txt manual.thebat.productversion.ritlabs.com ;; connection timed out; no servers could be reached разве что на роутере.... Всего записей: 2171 | Зарегистр. 30-06-2008 | Отправлено: 19:22 14-09-2019 | Исправлено: Valery_Sh, 19:23 14-09-2019

KLASS Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору zaqiklop Может чего не понял, сорри... адрес обнов перекрыть, не? 168.62.57.203 Всего записей: 11113 | Зарегистр. 12-10-2001 | Отправлено: 08:52 15-09-2019

Victor_VG Tracker Mod Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору zaqiklop   Создайте в брандмауере разрешающее правило для процесса ping.exe на порт 7 (echo), протоколы TCP, UDP, удалённый адрес - любой, действие Permit (Разрешить).   По The Bat! - вот вам вся "подноготная" этого хоста из DNS: DNS , WhoIs   DNS checker:   Name: ritlabs.com IP Address #1: 194.87.235.40   KLASS   Возможно у ребята IP динамический. Связки DNS с DHCP достаточно чтобы реализовать однозначность сопоставления "имя хоста" - "IP" при динамичеких IP хостов.       ---------- Жив курилка! (Р. Ролан, "Кола Брюньон") Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti Всего записей: 33227 | Зарегистр. 31-07-2002 | Отправлено: 11:18 15-09-2019

zaqiklop Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Valery_Sh Роутера нет, не смогу проверить   Цитата: адрес обнов перекрыть, не? 168.62.57.203   Словами это тяжко всё описывать. Адреса там вообще не участвуют, как я понимаю. Оно по одному обращению к DNS-серверу понимает, что есть новая версия (инфа об этом - в DNS TXT записи manual.thebat.productversion.ritlabs.com), а уж саму новую версию предлагает качать браузером. Короче говоря, блокировка ни 168.62.57.203, ни 194.87.235.40 (ping ritlabs.com мне такой показывает) ничего не даёт. Можно спросить, а нафига оно мне вообще тогда надо? Психологический эффект: как это программа смеет видеть новую версию?!! Не положено!       Цитата: разрешающее правило для процесса ping.exe на порт 7 (echo), протоколы TCP, UDP, удалённый адрес - любой, действие Permit Всё равно General failure, как и при одном правиле для ICMP. При ICMP правиле ещё и для SYSTEM - работает. Может, очередной прикол десятки, но одним правилом для ping.exe, похоже, не обойтись. К слову, если пинговать IP (8.8.8.8), то проходит вообще без единого разрешающего правила для ping.exe (если службу dnscache не отключать, то и пинг по URL пройдёт, а так самой утилите нужно адрес резолвнуть). Ладно, как я выше и написал, словами чёрте-что получается при описании этого, а польза от решений чисто академическая.   Всем спасибо за участие! Всего записей: 64 | Зарегистр. 19-05-2010 | Отправлено: 13:42 15-09-2019

shadow_member Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: Создайте в брандмауере разрешающее правило для процесса ping.exe на порт 7 (echo), протоколы TCP, UDP, удалённый адрес - любой, действие Permit (Разрешить). Может, на прежних системах и да, а сейчас поможет только правило: для system разрешить исх. по протоколу ICMPv4. Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 15:08 15-09-2019

Victor_VG Tracker Mod Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору shadow_member   Тогда это точно свежие фокусы мелкомягких т.к. на AIX, SunOS, Solaris, DEC UNIX (OSF/1), Open VMS, SCO UNIX, IBM OS/2, BSD UNIX, Win NT 3.x/42k, XP, Vista, 7, IBM Z/390 этого не требуется. PING работает по протоколам TCP/UDP на порту 7 с любой машиной где разрешён echo ответ.   А тот факт, что они используют DNS TXT record для хранения не предусмотренной в RFC 1035 информации (эта запись может содержать толлько e-mail и строго стандартизованную информацию для подтверждения подлинности домена) может закончится для нарушителя очень серьёзным наказанием со стороны IETF, вплоть до пожизненной блокировки ресурса и запрета любых повторных регистраций доменов. По крайней мере такой ответ мне дали в RIPE.   zaqiklop   Ну а если запретить мышу обращение к данному адресу по 53-у порту (DNS)? ---------- Жив курилка! (Р. Ролан, "Кола Брюньон") Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti Всего записей: 33227 | Зарегистр. 31-07-2002 | Отправлено: 18:28 15-09-2019

zaqiklop Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Victor_VG Не поможет. Как я понял, оно берёт это не с их адреса, а с DNS-сервера, на который настроено соединение пользователя. Да и пёс с ним, короче. Фраерволом тут не блокануть, значит попёр оффтоп. Кажется, вопрос по существу с самого начала должен был звучать как-то типа "можно ли через фаервол запретить программе читать DNS-record'ы определённого типа", но когда я писал тот пост ещё сам не разбирал что к чему.   И ещё такое. Пытаюсь блокировать/разрешать отдельные службы. В большинстве вроде всё нормально, но с парой обломался. Конкретно - IP Helper (iphlpsvc) и Cryptographic Services (CryptSvc). Создал для svchost запрещалки с указанием службы, а Windows Firewall Control для них дальше всплывающие окна показывает, будто и нет никаких правил. Как это объяснить и можно ли как-то исправить, в смысле, заставить работать правила не блокируя svchost полностью? Он мне, гадина, для Soft AP нужен Я-то просто выключил оповещения WFC для svchost, а если бы мне надо было наоборот, такие же, но разрешающие правила, я бы так просто не отделался...   Ещё раз заранее всем спасибо! Всего записей: 64 | Зарегистр. 19-05-2010 | Отправлено: 20:39 15-09-2019 | Исправлено: zaqiklop, 01:28 16-09-2019

Victor_VG Tracker Mod Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору zaqiklop   При обращении любой DNS сначала смотрит локальную прямую зону на наличие там записи типа А для запрошенного имени, и если находит её, то сразу читает и возвращает IP хоста. Если нет, то DNS смотрит NS-записи в своей прямой зоне  и при наличии в данной сети иных DNS запрашивает у них разрешение имени, а в случае неудачи сyjdf cvjnhbn NS и сам выдаёт клиентский запрос к вышестоящему уровню DNS.  Цепочка запрсов в случе неудачного их разрешения на низших уровнях DNS доходит до корневых серверов системы, и если ни один из них не смог разрешить его, то спускается по другим ветвям дерева до момента успешного разрешения запроса, а ответ кэшируется всеми DNS участвовавшиме в разрешении данного запроса и пересылается по цепочке "сервер ->  клиент" первичному DNS, кэшируется им, а клиенту возвращается IP искомого хоста.     Срок действительности записи кэша определяется настройкой TTL данного DNS и датой её создания. Если DATE+TTL >= Current DATE запись считается действительной, иначе она удаляется из кэша и процедура повторяется.     RFC 1035 запрещает модификацию пользователем записей прямой и обратной (arp) зон любых находящихся вне его сети DNS, но при формировании запроса происходит кэширование данных в памяти DNS, в т.ч. и ТХТ записей, но можно заблокировать конкретный хост путём определения для него своих А и arp записей на локальном DNS сети. Для этогго никакой брандмауэр не нужен, так же как и файлы HOSTS/LMHOSTS (они используются ОС, но наличие в них блокирующих строк легко ловится), а достаточно установить локальнуную копию IETF BIND DNS и задать в его прямой и aarp зонах для зловредных хостов записи А содержащие IP 127.0.0.0. Запросы резольвига при наличии полноценного локального DNS обрабатывается только им и не пересылаются вышестоящим уровням с которыми взаимодействует только. В винде свой DNS есть только в серверных версиях, а в клиентских  его нет, там есть только кэширующий DNS который представляет собой тот же DNS, но с отключёнными прямой и обратной зонами, а потому он вынужден обращаться для резольвинга к вышестоящим серверам. Так же можно настроить ОС на использование DNS в роутере, но тогда все остальные DNS необходимо отключить, а блокирующую запись задать в его зонах. Но, поставить и настроить IETF BIND DNS намного проще, да и это резко увеличит управляемость вашей сети (если она у вас есть). ---------- Жив курилка! (Р. Ролан, "Кола Брюньон") Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti Всего записей: 33227 | Зарегистр. 31-07-2002 | Отправлено: 23:15 15-09-2019

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование