Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Caravelli
generator324
Я правильно понял, что речь идёт о Home (сам не юзал) редакции Выни 10, где народ не может отключить обновы, т.к. нет ГП?
А это в Home не работает что-ли?

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 16:50 11-12-2019
PTITZA



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
generator324
Caravelli
 
Подробнее...
 
 
Добавлено:
KLASS (пост)
Цитата:
А это в Home не работает что-ли?

Если указать одну wuauserv, то почему-то не работает

Всего записей: 1406 | Зарегистр. 03-01-2010 | Отправлено: 16:54 11-12-2019
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
PTITZA
Тогда, либо отключаем все, как в шапке и настраиваем брандмауэр с нуля,
либо смотрим через тот же Хакер, что еще ломится при обновлении в Инет.
Но, чтобы голову не ломать, проще первый вариант. Все запретить, а потом открывать
только тому, что нам нужно.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 17:05 11-12-2019
generator324

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Я правильно понял, что речь идёт о Home (сам не юзал) редакции Выни 10, где народ не может отключить обновы, т.к. нет ГП?  

Нет. Имелось ввиду совсем другое, и начиналось это не здесь . Но поскольку "там" всё перевирается и искажается (действуют, очень мягко говоря, "странные правила"), а речь в том случае коснулась одного из способов, использующего блокировку брандмауэром, то перешли сюда. Напрасно, по-видимому - я уже понял...
 
PTITZA
Извините, милейший, но то что вы написали НИОЧЁМ. Именно так, слитно. Я тоже таких скринов могу запостить - вагон и тележку. На них ведь нет ничего!
Вы думаете, я правила не умею создавать? Ваше право. Но я-то просил конкретно  
ваши правила, а не копипаст из учебника. Понятно всё, можете не продолжать...

Всего записей: 1084 | Зарегистр. 11-01-2019 | Отправлено: 17:12 11-12-2019
PTITZA



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
KLASS (пост)
Цитата:
проще первый вариант. Все запретить, а потом открывать
только тому, что нам нужно.

Согласен, я так и делаю, но люди спрашивали конкретно за блокирование wauserv средствами виндового брандмауэра.

Всего записей: 1406 | Зарегистр. 03-01-2010 | Отправлено: 17:14 11-12-2019
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Разработчик WFC утверждал, что правило с указанием службы wuauserv работает на Win7, но не работает на Win8.1 и Win10. На Win10 для проверки-установки обновлений должно быть более свободное правило для svchost.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 17:17 11-12-2019
PTITZA



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
generator324 (пост)
Цитата:
а не копипаст из учебника

Сами Вы копипаст, я СВОЕ правило показал. Показать пошагово, с картинками?
Извольте:
Подробнее...

Всего записей: 1406 | Зарегистр. 03-01-2010 | Отправлено: 17:21 11-12-2019 | Исправлено: PTITZA, 17:27 11-12-2019
generator324

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
PTITZA

Цитата:
Сами Вы копипаст, я СВОЕ правило показал. Показать пошагово, с картинками?

Приведите, пожалуйста, ПРИМЕР. Типа:

Код:
netsh advfirewall firewall add rule name=...

КАК вы блокируете те же обновления
 
Добавлено:
Да вы, батенька - Маньяк! Мне всего-ничего надо было (выше)...
Картинки - себе оставьте

Всего записей: 1084 | Зарегистр. 11-01-2019 | Отправлено: 17:27 11-12-2019
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
PTITZA
Так вы делаете примерно то же самое, что и в шапке (в шапке проще), но, если вопрос стоит о закрытии ТОЛЬКО возможности системе обновляться, то тут надо отслеживать. Таки думаю должна быть такая возможность через брандмауэр, просто никто никогда этим не занимался.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 17:33 11-12-2019
danetz

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
generator324
Чтоб закрыть обновы, кроме wuauserv необходимо заблочить еще DoSvc. Не факт коненчо что закрыв службу доставки вы не повредите, допустим скачку приложений с магазина виндовс... Никто не блочит брэндмауэром обновы, это как микроскоп и гвозди. Делайте, так как делают в огранизациях - это золотой стандарт - Gpedit only (ну или реестр на хоум версиях).

Всего записей: 400 | Зарегистр. 25-02-2012 | Отправлено: 23:01 11-12-2019
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Можно блокировать адреса серверов обновления, например, SimpleWall так и предлагает, у него имеется список из штук 250 адресов.
Ad
Timius1
Если читать пост правильно, то смысл не в сторонней программе, а в
Цитата:
Можно блокировать адреса серверов обновления

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 09:54 16-12-2019 | Исправлено: shadow_member, 12:51 16-12-2019
Timius1

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Windows 10 Firewall Control блокирует контекстно. Без ip адресов. Но это же сторонние программы.Ссылка

Всего записей: 21 | Зарегистр. 17-05-2018 | Отправлено: 11:31 16-12-2019 | Исправлено: Timius1, 11:32 16-12-2019
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
А реестр (ГП из Enterprise) на Home редакциях не помогает?

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 12:59 16-12-2019
masterlola

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
блокировать обновление окон, блокировка svchost.exe TCP-соединения
 

Цитата:
netsh advfirewall firewall add rule name="Block Windows Update[SvcHost]" dir=Out action=Block program="C:\windows\system32\svchost.exe" protocol=TCP remoteport=80,443 enable=yes

 
 
Удалить правило блокировки Центра обновления Windows:
 

Цитата:
netsh advfirewall firewall delete rule name="Block Windows Update[SvcHost]"

Всего записей: 86 | Зарегистр. 30-08-2015 | Отправлено: 16:51 06-01-2020 | Исправлено: masterlola, 15:07 08-01-2020
v_run

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Всем привет!
Настроил брандмауэр по этой теме:
Основы сетей - протокол DHCP (вх. трафик DHCP)
Основы сетей - протокол DHCP (DHCP - исходящий трафик)
Основы сетей - DNS (UDP - исходящий трафик)
Пожалуйста, помогите настроить работу Hyper-V.
Чему и как открыть доступ для работы Hyper-V?
адрес Hyper-V Ссылка
правила физической системы СсылкаСсылка

Всего записей: 4 | Зарегистр. 10-01-2020 | Отправлено: 13:29 10-01-2020 | Исправлено: v_run, 14:01 10-01-2020
vikweb78

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Подскажите, а настройка брандмауэра Windows (запреты для телеметрии и подобного), хоть немного продляет жизнь батареи ноутбука ?

Всего записей: 22 | Зарегистр. 11-12-2008 | Отправлено: 19:58 16-01-2020
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
vikweb78
Не то слово, секунд на 10, теоретически!

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 21:57 16-01-2020
Germanus



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
vikweb78
Не так, чтобы много, но, да - продлят. Все зависит от того насколько сильно порежешь.

Всего записей: 4418 | Зарегистр. 08-06-2003 | Отправлено: 03:38 17-01-2020
Andryha2005

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Достаточно ли настроить брандмауэр чтобы пресечь слежку Windows?
Как вы относитесь к таким статьям-инструкциям по отключению/удалению ненужных функций в Windows https://fdossena.com/?p=w10debotnet/index_1903.frag? Нужно ли это делать дополнительно к настройке брандмауэра?
Если стоит KIS, что настраиваем штатный брандмауэр, firewall Касперского или оба?

Всего записей: 201 | Зарегистр. 09-07-2005 | Отправлено: 22:43 20-01-2020 | Исправлено: Andryha2005, 23:25 20-01-2020
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Достаточно ли настроить брандмауэр чтобы пресечь слежку Windows?

Именно настройка брандмауэра закрывает от слива.

Цитата:
Как вы относитесь к таким статьям-инструкциям

Больше отключите, меньше вынь будет записывать на винт то, что нужно для отправки.
Для этого есть отдельная тема.

Цитата:
Если стоит KIS

То штатный должен автоматически отключаться.
Два антивирусника, два файрволла - это изврат.
Все вопросы по KIS в профильных темах.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 07:24 21-01-2020
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru