Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Del




Флейм закончим или помочь...

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 17:39 17-07-2020 | Исправлено: blizard, 18:07 17-07-2020
Caravelli



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member
Цитата:
позволяющее запускать его (CCleaner) с обходом UAC
Это потому что "выполнить с наивысшими правами"?
Самообразования ради.




Тему по планировщику открываем и там во все тяжкие, ага.

Всего записей: 2146 | Зарегистр. 01-12-2009 | Отправлено: 18:56 17-07-2020 | Исправлено: KLASS, 19:53 17-07-2020
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
shadow_member

Цитата:
CCleaner знаешь? Установи его, и увидишь, что он создал задание планировщика, позволяющее запускать его (CCleaner) с обходом UAC...

Вот потому и надо быть осторожнее с установщиками.

----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 11:15 18-07-2020
mark74

Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
надо в название темы или в описание добавить FireWall иначе сложно тему находить

Всего записей: 480 | Зарегистр. 25-01-2009 | Отправлено: 06:19 24-08-2020
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Форум русскоязычный, перевод слова в ОС, которую обсуждаем в разделе, имеется - Брандмауэр.
Тему искать не надо, она прикреплена вверху первой страницы раздела, одна из четырех пяти прикрепленных.

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 08:00 24-08-2020 | Исправлено: KLASS, 08:09 24-08-2020
deDUBros



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Форум русскоязычный

а почему ветка на богомерзском буржуйском языке? надо православненько - Мелкомягкие Окна




Чтобы клон флеймить снова начал, а я бы его банил.

Всего записей: 4485 | Зарегистр. 19-09-2018 | Отправлено: 08:18 24-08-2020 | Исправлено: KLASS, 08:31 24-08-2020
trimba



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Народ прошу помощи!
Как мне настроить VPN (конкретно у меня есть подписка Windscribe), все настроено как описано в шапке, т.е. я выпускаю браузеры, программы и прочую лабуду в инет строго по отдельности UDP-Out 53 порт и TCP-Out 80,443 портам, все остальное запрещено, DNS у меня свои прописаны в контроллере, Dnscache-disable. Как правильно прописать этот VPN в брандмауэр, что бы он работал? или направьте плз. где почитать про это.  
Спасибо!

Всего записей: 348 | Зарегистр. 30-09-2005 | Отправлено: 14:10 25-08-2020 | Исправлено: trimba, 14:19 25-08-2020
Zeroglif

...
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
trimba
 
Трудно сказать, как реализован этот VPN, у меня ExpressVPN, делал так:
 
- установить WFC (в шапке ссылка)
- включить в нём Medium Filtering (запрещено всё, кроме разрешенного)
- запустить приложение VPN и смотреть, что происходит
 
WFC начнёт отлавливать, кто стучится в сеть. Можно сходу разрешить и дальше уже потоньше настроить, кто куда и почему. Обычно VPN поднимают свой OpenVPN Daemon, его одного должно быть уже достаточно (openvpn.exe и т.п.) для соединения.

Всего записей: 2105 | Зарегистр. 19-05-2003 | Отправлено: 15:38 25-08-2020
I95

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
trimba
Цитата:
Народ прошу помощи!  Как мне настроить VPN (конкретно у меня есть подписка Windscribe), все настроено как описано в шапке, т.е. я выпускаю браузеры, программы и прочую лабуду в инет строго по отдельности UDP-Out 53 порт и TCP-Out 80,443 портам, все остальное запрещено, DNS у меня свои прописаны в контроллере, Dnscache-disable. Как правильно прописать этот VPN в брандмауэр, что бы он работал? или направьте плз. где почитать про это.   Спасибо!
У меня завелось вот так:
 
C:\program files (x86)\windscribe\windscribeopenvpn_2_4_6.exe - UDP-Out - удалённый порт 443
 
C:\program files (x86)\windscribe\windscribe.exe - UDP-Out - удалённый порт 53
C:\program files (x86)\windscribe\windscribe.exe - TCP-Out - удалённый порт 443
 
Как вам подсказал выше Zeroglif всё это дает увидеть лог в WFC.
 

Всего записей: 1063 | Зарегистр. 20-03-2009 | Отправлено: 16:32 25-08-2020
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
mark74

Цитата:
надо в название темы или в описание добавить FireWall иначе сложно тему находить

+
KLASS

Цитата:
Форум русскоязычный, перевод слова в ОС, которую обсуждаем в разделе, имеется - Брандмауэр.

"Брандмауэр" оно так-то вообще не русскоязычное и такое же органически чуждое как и "директория" IMHO.
 
P.S. Но я не настаиваю конечно.

----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 16:36 25-08-2020
I95

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
trimba
И ещё,  вы, когда создаёте идивидуальные правила для программ по  UDP-Out 53 порт, указываете ещё IP DNS в удаленном адресе, правильно? Так вот с Windscribe к DNS у меня пришлось добавить ещё 10.255.255.2. После пары перезагрузок все продолжает работать. Не знаю, для всех пользователей Windsrcibe это одинаково или меняется от пользователя к пользователю.

Всего записей: 1063 | Зарегистр. 20-03-2009 | Отправлено: 16:42 25-08-2020 | Исправлено: I95, 18:03 25-08-2020
Zeroglif

...
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
с Windscribe к DNS у меня пришлось добавить ещё 10.255.255.2. После пары перезагрузок все работает.

 
У меня VPN забирает на себя все запросы, включая DNS, они идут на TAP-адаптер, правило для браузера выглядит так (локальный адрес, удалённый порт):
 

 
Реально в сеть смотрит только openvpn.exe по UDP

Всего записей: 2105 | Зарегистр. 19-05-2003 | Отправлено: 17:27 25-08-2020 | Исправлено: Zeroglif, 17:28 25-08-2020
I95

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Zeroglif, значит нужно как у вас ставить/добавлять сразу диапазон, наверное: 10.0.0.0 - 10.255.255.255 чтобы наверняка.

Всего записей: 1063 | Зарегистр. 20-03-2009 | Отправлено: 18:12 25-08-2020
trimba



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
I95

Цитата:
И ещё,  вы, когда создаёте идивидуальные правила для программ по  UDP-Out 53 порт, указываете ещё IP DNS в удаленном адресе, правильно?

У меня по другому немного. У меня домашняя кабельная сеть 192.168.0.1 и список моих DNS адресов прописан в адаптере моего компа т.к. провайдоровские и гуглоовские DNS адреса были уже не раз пойманы на блокировке некоторых сайтов через DNS.
Попробовал по вашим рекомендациям, к сожалению не работает, по логам вижу что на 53 UDP порт ломится svchost, он у меня полностью в блоке. Получается что windscribe IKEv2 заточена через svchost.
В общем спасибо всем откликнувшимся.  
Вопрос закрыт, т.к. это уже не в рамках этой темы, надо будет получше изучить этот windscribe.

Всего записей: 348 | Зарегистр. 30-09-2005 | Отправлено: 20:52 25-08-2020 | Исправлено: trimba, 20:57 25-08-2020
KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
были уже не раз пойманы на блокировке некоторых сайтов через DNS

Как?

Цитата:
по логам вижу что на 53 UDP порт ломится svchost

Ломится... или вы все закрыли?

Цитата:
Получается что windscribe заточена через svchost.

По барабану, вы можете закрыть, или?

Цитата:
Вопрос закрыт, т.к. это уже не в рамках этой темы

Это зависит, что вы хотите...

Всего записей: 11062 | Зарегистр. 12-10-2001 | Отправлено: 21:00 25-08-2020
trimba



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
KLASS

Цитата:
Цитата:
были уже не раз пойманы на блокировке некоторых сайтов через DNS
 
Как?

 
Методом смены IP стороннего DNS сервера
 

Цитата:
Цитата:
по логам вижу что на 53 UDP порт ломится svchost
 
Ломится... или вы все закрыли?

 
Да,  svchost у меня полностью в блоке,
Вижу в логе Windows Firewall Control = Block,
До включения VPN в логе все чисто на 53 UDP по IP windscribe
 

Цитата:
Цитата:
Получается что windscribe заточена через svchost.
 
По барабану, вы можете закрыть, или?

 
Ха, возможно нужно открыть svchost 53 UDP, нужно попробовать
 

Цитата:
Цитата:
Вопрос закрыт, т.к. это уже не в рамках этой темы
 
Это зависит, что вы хотите...

Для меня все прекрасно устраивает мои настройки брандмауэра Windows с Windows Firewall Control как описаны в шапке этой темы +-, без  VPN.
VPN мне нужен в основном для смены региона, ну и для дополнительной безопасности, если таково имеет смысл...
Ну в общем у меня не получется подключииться через windscribe VPN с этими моими настройками, а svchost не хочется выпускать в инет....

Всего записей: 348 | Зарегистр. 30-09-2005 | Отправлено: 21:24 25-08-2020 | Исправлено: trimba, 00:27 26-08-2020
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Для загрузки приложений и обновлений в Microsoft Store какие еще нужны разрешения кроме WinStore.App.exe?
При скачивании вроде пытается запуститься Учетная запись Microsoft (C:\Windows\SystemApps\Microsoft.Windows.CloudExperienceHost) но там нет .exe файла

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 23:39 02-09-2020 | Исправлено: blizard, 23:47 02-09-2020
WildGoblin



Ru-Board Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
blizard

Цитата:
Для загрузки приложений и обновлений в Microsoft Store какие еще нужны разрешения кроме WinStore.App.exe?

"Служба Windows License Manager", "Оптимизация доставки"

----------
Capitalism is the Virus
Бога нет, царя не надо, Губернатора убьём, Платить подати не будем, Во солдаты не пойдём.

Всего записей: 29107 | Зарегистр. 15-09-2001 | Отправлено: 11:57 03-09-2020
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
WildGoblin
У вас скачиваются приложения с этими двумя службами?  
Я пробовал включать их и еще Диспетчер учетных веб-записей, Помощник по входу в учетную запись, Посредник подключений к сети, Служба PushToInstall, Служба лицензий клиента, Служба оркестратора обновлений, Служба развертывания AppX, Служба установки Microsoft Store, Служба хранилища, Фоновая интелектуальная BITS, Центр обновления Windows все равно ни приложения ни обновления не загружаются. Но если включить svchost.exe без ограничений, то все работает

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 17:33 03-09-2020 | Исправлено: blizard, 20:05 03-09-2020
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Прочитал практически всю тему, перепробовал полно способов но так и не работает. За эти годы может кто нашел способ как заставить обновляться Microsoft Store, Windows Defender и Windows Update без полного открытия svchost.exe?

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 21:39 04-09-2020
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Активные темы » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru