Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777
ипконфиг бы для начала и роутпринт
 
а службу времени за что?

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 12:52 30-05-2017 | Исправлено: Us2002, 12:55 30-05-2017
SocialBuisness

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
*




Спам

Всего записей: 2 | Зарегистр. 30-05-2017 | Отправлено: 12:53 30-05-2017 | Исправлено: KLASS, 13:41 30-05-2017
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777

Цитата:
Просьба знающим, кому не лень, посмотреть скрины с откл. службами и подсказать какая из них потенциально может быть причиной проблемы.
Ужас какой вы сотворили!

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 14:16 30-05-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
а службу времени за что?

 
Наверное, просто под горячую руку попала Вроде эта служба синхронизация времени через интернет, мне она не нужна.
 

Цитата:
Ужас какой вы сотворили!

 
Можно поподробнее про ужасы, которые я натворил?

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 14:49 30-05-2017 | Исправлено: Still777, 16:57 04-06-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777

Цитата:
Наверное, просто под горячую руку попала

 а не, в семёре она отрублена, стартится и отрубается из таска шедулера

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 15:05 30-05-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
а не, в семёре она отрублена, стартится и отрубается из таска шедулера

 
в Task Scheduler у меня тоже много чего отключено шпионского, делал все это 2-3 года назад, и еще у меня отключено Windows Error Reporting (Отчет об ошибках) тоже из соображений безопасности и конфиденциальности.

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 15:12 30-05-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
а что за веселуха с 192,168,0,1 / 255,255,255,0 и 192,168,3,25
зы а тап реально нужен?
 
Добавлено:

Цитата:
в Task Scheduler у меня тоже много чего отключено шпионского

ну время то на синхром отрабатывает из задачи?

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 15:13 30-05-2017 | Исправлено: Us2002, 15:19 30-05-2017
KismetT_v3



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Ужас какой вы сотворили!

Да, такого я ещё не встречал.

----------
Это я .... И это тоже я .... Мы из этих

Всего записей: 2471 | Зарегистр. 08-04-2016 | Отправлено: 15:17 30-05-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002, я сейчас подключен через роутер тп-линк 841 и там и там вроде настройки по умолчанию  
IP-адрес:     
192.168.0.1
Маска подсети:     
255.255.255.0

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 15:21 30-05-2017 | Исправлено: Still777, 16:58 04-06-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
автомат убери с каналов и выстави руками чтоб не плющило его
 
так маршрут с неясной метрикой на 192,168,3,х для чего в тачке

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 15:24 30-05-2017 | Исправлено: Us2002, 15:25 30-05-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
автомат убери с каналов и выстави руками чтоб не плющило его  

 
стоит ли менять настройки роутера, если при его отключении и подключении  напрямую через провод проблема все равно остается?

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 17:53 30-05-2017 | Исправлено: Still777, 16:59 04-06-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777
 

Цитата:
Да, но дело не в опенднс, я специально отключил их, чтобы заработали "родные" провайдерские, пробовал гугл днс 8.8.8.8, 8.8.4.4 и даже малоизвестные днс серверы,  отключал роутер и  подключался к инету по проводу напрямую - все без толку

 
ну дык в рулах стенки ип рутера стоит сейчас 192,168,0,1 или как

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 19:35 30-05-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777
 
У самого когда-то R460 стоял:
 

 
при скорости клиентов >= 15 Мбит/с роутер виснет, использование подкачки нет, да и основанная на LINUX ОС занимает 7,8 - 7,9 из 8 Мб ОЗУ, такая "схемотехника" для TP-Link штатная. Меняйте роутер. Проблемы вызваны его схемотехникой и программно не устранимы. Из сравнительно доступных - например ZyXEL Keenetic - у этого ОЗУ 128 Мб и достаточно мощный ЦП - на 1 Гбит/с не виснет.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 20:01 30-05-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
ну дык в рулах стенки ип рутера стоит сейчас 192,168,0,1 или как

 
Не очень понял твой вопрос  В роутере почти все оставил по умолчанию.

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 20:03 30-05-2017 | Исправлено: Still777, 16:54 04-06-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777
я про правила стенки для днс запросов лисы
 
Добавлено:

Цитата:
Netsh.exe Advfirewall Firewall add rule name="Firefox (TCP - исходящий трафик)" dir=out action=allow protocol=TCP program="C:\Program Files (x86)\Mozilla Firefox\firefox.exe" profile=private,public remoteport=80,443,1080,182,8080
 
Netsh.exe Advfirewall Firewall add rule name="Firefox (UDP - исходящий трафик)" dir=out action=allow protocol=UDP program="C:\Program Files (x86)\Mozilla Firefox\firefox.exe" profile=private,public remoteport=53 remoteip=192.168.0.1  

 
 
Добавлено:
Victor_VG

Цитата:
при скорости клиентов >= 15 Мбит/с роутер виснет

страсти прям какие-то...
http://club.dns-shop.ru/peripheral/%D0%A2%D0%B5%D1%81%D1%82-%D1%80%D0%BE%D1%83%D1%82%D0%B5%D1%80%D0%B0-Tp-Link-WR-841ND-v8-1-%D0%A1%D1%82%D0%B0%D0%B2%D0%B8%D0%BC-%D0%B0%D0%BB%D1%8C%D1%82%D0%B5%D1%80%D0%BD%D0%B0%D1%82%D0%B8%D0%B2%D0%BD%D1%83%D1%8E-%D0%BF%D1%80%D0%BE%D1%88/
первое что нагуглил, нет там на 15мбс ступора и не должно быть если не брак

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 21:00 30-05-2017 | Исправлено: Us2002, 21:37 30-05-2017
Still777

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002, теперь понятно, и такие правила пробовал, но сейчас  использую правила  создаваемые брандмауэром вин 7 для браузера по умолчанию, без всяких ограничений, т.е удаленный IP адрес любой, протоколы и порты - любые, чтобы наверняка не ошибиться но все равно,  браузеры ФФ и Опера ведут себя одинаково глючно.  
Склоняюсь к мысли , что все дело в какой-то из отключенных служб.

Всего записей: 124 | Зарегистр. 14-12-2014 | Отправлено: 21:20 30-05-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Still777
 
Да, чуть не забыл - в настройках TCP/IP всех машин надо обязательно указать в качестве шлюза IP вашего роутера. Или будут проблемы с сетью.
 
Us2002
 
Как-то одно и то же TL-R460 на RTL8196C (Lexra RLX4181) с 8Mb 7 ns SDRAM и TL-WR-841N на Atheros AR9341 (MIPS 74Kc) с ОЗУ 32 Мб. Общее - слово роутер и микроархитектура MIPS32 в SoC, изготовитель устройства и ОС которая грузит в ОЗУ кучу незадействованных модулей "на вырост".  
 
У меня любые TL-R460 замечательно тянули до 15 Мбит, на 30 - 40 Мб/с все висли после часа работы, с торрентами,  минут через пять, скайп сразу по завершению звонка. Статистика по 300 шт роутеров разных производственных партий. Мы на работе их испытывали для одного low-cost проекта.  
 
Так что не смешите мой паяльник - шнур отвалится!

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 04:27 31-05-2017 | Исправлено: Victor_VG, 05:04 31-05-2017
MSSIGN



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
https://habrahabr.ru/post/317802/
   
Подробнее...

Всего записей: 608 | Зарегистр. 11-08-2006 | Отправлено: 12:23 31-05-2017 | Исправлено: MSSIGN, 12:31 31-05-2017
Us2002

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Victor_VG

Цитата:
>= 15 Мбит/с роутер виснет


Цитата:
на 30 - 40 Мб/с все висли после часа работы

прогресс намечается, скоро до 70 дойдёт?
https://wiki.openwrt.org/ru/toh/tp-link/tl-wr841nd

Всего записей: 1810 | Зарегистр. 03-02-2005 | Отправлено: 15:10 31-05-2017 | Исправлено: Us2002, 15:17 31-05-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Us2002
 
Ну, коли они ось перестанут бездумно в ОЗУ закидывать, то возможно. У TL-R460 из 8 Мб ОЗУ загруженные модули ОС (он работает под их сборкой Linux v2.6) занимают 7,8 - 7,9 Мб ОЗУ. В оставшихся 100 - 200 Кб размещаются таблицы маршрутизации, базы  антивируса, таблицы NAT, DNS, DHCP, буфера самой ОС и рабочие  буфера SoC. Потому понятно как будет работать такой роутер. При этом в ОС чёрт ногу сломит.  
 
В инете можно найти пост парня который её анализировал, а я читал отчёт наших программистов по результатам испытаний - в отношении того, что ОС роутера собрана как тришкин кафтан и имеет большое количество незадействанных, но загружаемых в ОЗУ фрагментов кода они полностью совпадают. Плюс наши отыскали в ней ряд ошибок в управлении памятью ОС приводящих к её зависанию. Написали изготовителю, но получили ответ что мол это бытовое устройство не предназначенное для промышленного использования. Типа "наша ваша не понимаша".  
 
Более новые версии прошивок и другие изделия TP-Link тестировать не стали, а договорились с 3COM о совместной разработке и авторском сопровождении проекта, что полностью устроило иностранного заказчика.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 15:49 31-05-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru