Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
iifilthii



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Как настроить правило для uTorrnt? вроде включил ему всё что только можно... но когда включаю  
брандмауэр то скорость мгновенно падает и не поднимается... В чём может быть проблема? Может имеется правило для протокола P2P? Похоже проблема с торрентом так и не решена... Значит брандмауэр  и торрент не совместимы... У меня такая же проблема со скоростью торрента при вкл брандмауэре  
 
На данном этапе проблема решается таким образом: Выключение брандмауэра на машине с торрентом

Всего записей: 521 | Зарегистр. 21-01-2013 | Отправлено: 10:02 10-09-2017 | Исправлено: iifilthii, 22:03 10-09-2017
Inoz2000



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
были уже примеры на стр 15 и 27
 
а ваши примеры где?

Цитата:
вроде включил
ну конкретнее же!

----------
Мы все умрём. (-:

Всего записей: 4891 | Зарегистр. 23-04-2009 | Отправлено: 10:21 10-09-2017
Voidstranger

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Раз уж пошёл такой разговор -  а надо ли разрешать DHCP?

Всего записей: 4 | Зарегистр. 21-05-2017 | Отправлено: 23:23 19-09-2017 | Исправлено: Voidstranger, 23:28 19-09-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Voidstranger
У меня входящее DHCP отключено, а при отключении исходящего, не получаю IP от прова,
если провод воткнут в комп, без роутера. Если же через роутер, то он сам получит IP уже без правила от мелких.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 09:18 20-09-2017
DevOpsEngineer

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Кто смотрел правила от @crazy-max
https://github.com/crazy-max/WindowsSpyBlocker
используемые также в WPD  
?
 
WPD : Customize Group Policy, Services and Tasks,  
responsible for data collection and sending, as you like:  
https://getwpd.com/
 
- он там постоянно что-то добаляет вроде.
 
 
 
В wiki на гитхабе есть FAQ и инструкции:
 
https://github.com/crazy-max/WindowsSpyBlocker/wiki/appTelemetryFirewall
 
https://github.com/crazy-max/WindowsSpyBlocker/wiki/miscFAQ
 
 

Всего записей: 220 | Зарегистр. 29-10-2014 | Отправлено: 20:10 24-09-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DevOpsEngineer
Вы шапку местную прочли? Зачем затыкать по IP адресам, если можно заткнуть сразу все
и не отслеживать IP, которые от версии к версии могут меняться?

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:41 24-09-2017
gen4gen



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Ребята, есть 10-ка 1703.  
 
Блокирую фаером все входящие/исходящие (кроме своих нужных). Через некоторое время автоматически добавляется целая куча новых правил от приложений магазина и еще чего (Captive Portal Flow, Email and accounts, Microsoft family features, Take a Test и прочая лабуда).  
 
Как заблокировать возможность подобного поведения? Надо, чтобы правила можно было только ручками добавлять.
 
Забавно, что сам магазин вырезан еще из wim установочного образа

Всего записей: 671 | Зарегистр. 19-11-2004 | Отправлено: 01:47 03-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gen4gen

Цитата:
Как заблокировать возможность подобного поведения?

Сам не юзаю, но в теме было
Disable the ability of other programs to add Windows Firewall rules

Цитата:
Забавно, что сам магазин вырезан еще из wim установочного образа

Мелкие не ведают, удалял юзер из wim что-то или нет. По-видимому, они тупо обновляют\добавляют свои правила
при каждом обновлении системы.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 09:33 03-10-2017 | Исправлено: KLASS, 10:12 03-10-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gen4gen
Это опция "Защищать правила" ("Secure Rules") в WFC. Можно ли это сделать без WFC, не в курсе.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 10:14 03-10-2017
gen4gen



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS, shadow_member
 
Т.е. без WFC это сделать нельзя? Не верю
 
Правила с "@" я все удалил, но они все равно через время появляются.  
 
WFC мне что-то совсем не нравится. Хотелось бы найти решение без него.  

Всего записей: 671 | Зарегистр. 19-11-2004 | Отправлено: 11:36 03-10-2017 | Исправлено: gen4gen, 11:36 03-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gen4gen
На вкус и цвет...
У меня при входе в систему всегда заливаются свои правила через планировщик и отключен
сетевой адаптер. Здесь недавно пояснял.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 12:00 03-10-2017
shadow_member



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gen4gen
Так никто не утверждает, что без WFC нельзя, лично я писал, что не знаю, можно ли это сделать без него.

Всего записей: 22354 | Зарегистр. 18-07-2006 | Отправлено: 12:04 03-10-2017
iifilthii



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gen4gen
Как то уже обсуждали группы Через netsh  не получится... но возможно что либо можно будет сделать через PowerShell...  
Сам разбираться не стал так как там где мне нужна была эта функция брандмауэр работает не корректно с протоколом P2P то есть с торрентом (выше имеется описание проблемы и на данный момент решение только одно) На другой машине использую WFC... полностью устраивает... оч удобно реализована система защиты правил... работают только те группы правил которые указаны в настройках...  
 
KLASS

Цитата:
У меня при входе в систему всегда заливаются свои правила через планировщик и отключен  
сетевой адаптер

Смысл какой? если при открытии или установки какой либо программы правила добавляются сами... и на сервере перезагрузка может быть не раз в сутки а раз в неделю)) (этот вариант будет работать пока MS не выпустит очередное обновление которое будет проверять правила брандмауэра каждые 5 минут... и если нет правила то будет заливать)
Так что не очень хороший вариант... Если бы реализовать замену правил к примеру каждые пол часа... тогда это больше похоже на правду))  
И так же этот вариант не подходит для S3...

Всего записей: 521 | Зарегистр. 21-01-2013 | Отправлено: 14:49 03-10-2017 | Исправлено: iifilthii, 16:00 03-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
iifilthii
Нет у меня стороннего ПО в системе (тем паче на сервере), только портативки, при этом,
у меня не сервер, хотя и сервер надо перегружать после обновления.
После очередной установки кумулятива ручками, комп перегружаю с выключенным сетевым адаптером
(он, собссно, всегда пребывает в таком состоянии).
При входе в систему обновляются\восстанавливаются правила от Мелких и через 15 секунд (при каждом входе)
заливаются мои через планировщик. После этого можно запускать сетевой и спокойно работать.
Сами по себе правила не обновятся, только после установки очередных обнов.
Автоматическое обновление, разумеется, отключено.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 16:50 03-10-2017
gen4gen



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Сами по себе правила не обновятся, только после установки очередных обнов.  

KLASS
 
А вот это по всей видимости не совсем так. Обновы отключены, а "очень нужные" правила от несуществующих пакетов периодически (несколько дней) восстанавливаются.  
 
Даже в логах пишет зараза:
Подробнее...

Всего записей: 671 | Зарегистр. 19-11-2004 | Отправлено: 17:47 03-10-2017 | Исправлено: gen4gen, 17:51 03-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gen4gen
На EnterpriseS не замечал такого.
В принципе, никто не мешает использовать аудит событий и при наступлении определенных
событий заливать свои правила. Либо просто заливать их каждую минуту, без аудита.
Потом, никто не мешает сделать запрещающие правила на всю мутоту от мелких,
которые имеют приоритет над разрешающими. Вернули Мелкие при очередном обновлении
или еще как свои правила, а мы создали те же, но запрещающие и проверились Акулой. )

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 17:57 03-10-2017
iifilthii



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Нет у меня стороннего ПО в системе

Ну винда это не готовое решение а всего лишь платформа для стороннего ПО...  

Цитата:
После очередной установки кумулятива ручками, комп перегружаю с выключенным сетевым адаптером  
(он, собссно, всегда пребывает в таком состоянии).  
При входе в систему обновляются\восстанавливаются правила от Мелких и через 15 секунд (при каждом входе)  
заливаются мои через планировщик. После этого можно запускать сетевой и спокойно работать.  
Сами по себе правила не обновятся, только после установки очередных обнов.  
Автоматическое обновление, разумеется, отключено.

Ради чего такие жертвы?)) Что такого особенного в этой системе что стоит всех этих манипуляций?)))

Всего записей: 521 | Зарегистр. 21-01-2013 | Отправлено: 02:50 04-10-2017
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
iifilthii
Винда это полноценная система, как любая другая со своими плюсами и минусами.
Жертвы?
Предпочтительно по делу, если есть что сказать\спросить, а вату катают здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 08:08 04-10-2017
iifilthii



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Предпочтительно по делу, если есть что сказать\спросить

По теме мой вопрос не изменился: Как подружить брандмауэр с P2P протоколом
Неужели нет решения?....

Всего записей: 521 | Зарегистр. 21-01-2013 | Отправлено: 11:37 04-10-2017 | Исправлено: iifilthii, 11:38 04-10-2017
Victor_VG



Tracker Mod
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
iifilthii
 
Торрент клиент использует случайные порты при запуске, посему добавьте его в исключения создав правило с логикой  Process = <торрент клиент>, Actions = Enabled, Ports = ALL , Protocol = TCP/UDP и ему хватит. По крайней мере ранее хватало.

----------
Жив курилка! (Р. Ролан, "Кола Брюньон")
Xeon E5 2697v2/C602/128 GB PC3-14900L/GTX 1660 Ti, Xeon E5-2697v2/C602J/128 Gb PC3-14900L/GTX 1660 Ti

Всего записей: 33134 | Зарегистр. 31-07-2002 | Отправлено: 11:46 04-10-2017
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru