Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows

Модерирует : KLASS, IFkO

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Открыть новую тему     Написать ответ в эту тему

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
  • Как видно из описания темы, речь пойдёт о настройке брандмауэра Windows для предотвращения несанкционированных соединений, в том числе телеметрии, вся "борьба" с которой сводится к отключению/перенастройке почти всех правил Microsoft.
    Сначала возвращаем ПРАВИЛА БРАНДМАУЭРА ПО УМОЛЧАНИЮ, если система только что установлена, то можно пропустить.
     
  • Выбираем Пуск => Средства администрирования => Брандмауэр Windows в режиме повышенной безопасности.
    ПКМ на "Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)" => Свойства => Блокируем исходящие подключения:
       
    Отключаем или удаляем все входящие правила M$, кроме Основы сетей - протокол DHCP (вх. трафик DHCP)
    Отключаем или удаляем все исходящие правила M$, кроме Основы сетей - протокол DHCP (DHCP - исходящий трафик)
    и Основы сетей - DNS (UDP - исходящий трафик).


    НЕ ОБЯЗАТЕЛЬНО (на слив телеметрии не влияет, сначала осознайте, для чего вам это нужно):
    Оставив правило DNS, помним и не забываем, что некоторые программы могут воспользоваться им для своих нужд.
    Если таки решили это правило отключить и осознали, зачем вам это надо, обязательно отключите службу DNS-клиент.


    Всё, Интернета нет, как и нет любых других соединений (кроме DHCP и DNS), включая телеметрию. Чтобы убедиться в этом, используйте Wireshark.
    После такой настройки обновления автоматически устанавливаться не будут. Для систем ниже Windows 10 сначала обновите систему, а потом настраивайте правила брандмауэра. Последующие обновления устанавливайте ручками.
    Актуальный список обновлений для Windows 10 см. здесь, рекомендации по обновлению Windows 7 SP1 см. здесь.
    История кумулятивных обновлений для разных версий Windows 10 доступна здесь.
     
  • Осталось "научить" брандмауэр Windows выпускать и впускать только то, что мы разрешили. Иначе говоря, будем создавать "белый" список приложений.
    Так как у каждого свои приложения и задачи, предлагаю здесь в теме обсудить правила, которые необходимы для комфортной работы пользователя.
     
  • Для того чтобы быстро разобраться, какой программе что нужно открыть в брандмауэре, можно использовать приложение Process Hacker.
    Сборка Process Hacker x86 x64 от Victor_VG или ее русский вариант от KLASS для Windows 10.
    Вопросы по работе Process Hacker (изучите там шапку).
    Открываем Process Hacker от имени администратора (по ПКМ), вкладка "Firewall" и запускаем приложение, которому необходим выход в Интернет. Здесь (красные строки, т.е. заблокированные соединения) мы сразу видим, к каким портам, удалённым адресам и по какому протоколу обращается запущенное приложение. Исходя из этих данных, можно гибко настроить правило для любого приложения.
    Для Windows 7 можно воспользоваться набором NetworkTrafficView_russian.
    Также, в любой системе, для отслеживания можно использовать Process Monitor от Марка Руссиновича (в той же теме все вопросы по настройке программы).
     
  • Как добавлять или изменять правила, используя командную строку (команда netsh).
     
  • Контекстное меню в проводнике для файлов .EXE, с помощью которого можно добавлять правила в брандмауэр (Shift+ПКМ).
     
  • Не лишним будет добавить в свои правила полное отключение Интернета или вообще отключать сетевые интерфейсы так или так.
     
  • Импортируйте свои правила при каждом входе в систему через Планировщик, так как правила от M$ могут быть восстановлены при очередном обновлении.
     
  • Чтобы передать команду добавления правила брандмауэра другому пользователю, можно использовать PowerShell (начиная с Windows 8.1)
     
  • Также, для удобства создания правил, есть другой инструмент Windows Firewall Control.
    Это надстройка, которая работает в области уведомлений на панели задач и позволяет пользователю легко управлять родным брандмауэром Windоws, без необходимости переходить в определённые окна настроек брандмауэра.
     
  • Включить аудит Платформы фильтрации IP-пакетов
     
  • Администрирование брандмауэра в режиме повышенной безопасности с помощью PowerShell или Netsh
     
  • Проверка брандмауэра на наличие уязвимостей
     
  • Как запретить или разрешить изменять правила брандмауэра. Утилита SubInACL от Microsoft. Нюансы: 1, 2. На сегодня утилита не поддерживается и была убрана с сайта разработчика.
    Ищите в других местах:
    subinacl.exe
    Size: 290 304 Bytes
    CRC32: 90B58A75
    MD5: 53cdbb093b0aee9fd6cf1cbd25a95077
    SHA1: 3b90ecc7b40c9c74fd645e9e24ab1d6d8aee6c2d
    SHA256: 01a2e49f9eed2367545966a0dc0f1d466ff32bd0f2844864ce356b518c49085c
    SHA512: 7335474d6a4b131576f62726c14148acf666e9a2ce54128b23fe04e78d366aa5bdf428fe68f28a42c2b08598d46cada447a4e67d530529b3e10f4282513a425f
     
  • Ещё раз про "секретные, неотключаемые разрешающие правила" RestrictedServices
     
  • Смежные темы:
    Настройка персональных файерволов (firewall rules)
    Бесконтрольность Windows 10
    Быстрая настройка Windows
     
  • Шапку и около-темные вопросы обсуждаем здесь

Всего записей: 11060 | Зарегистр. 12-10-2001 | Отправлено: 20:59 05-03-2017 | Исправлено: WildGoblin, 13:05 15-06-2022
gutasiho

Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
nsa57
Цитата:
Нет, только DNS запросы для программ которые явно разрешены в правилах фаерволла.
Служба Dnscache отключена, значит, правила DNS прописаны индивидуально для каждой программы? Значит ли это, что svchost и его другие службы не выйдут в интернет? Ведь новое ваше правило для svchost все же разрешающее, так?

Всего записей: 6230 | Зарегистр. 14-09-2020 | Отправлено: 15:09 13-11-2020
RdMax

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Служба Dnscache отключена, значит, правила DNS прописаны индивидуально для каждой программы? Значит ли это, что svchost и его другие службы не выйдут в интернет?

В моей Windows 10 нет таких служб как: Dnscache и DHCP; и интернет как видите работает, просто делаются запросы непосредственно к DNS серверам, а моему компьютеру выставил фиксированные настройки: IP адреса, шлюза и другие.

Всего записей: 271 | Зарегистр. 11-11-2020 | Отправлено: 15:16 13-11-2020
gutasiho

Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
RdMax
Цитата:
В моей Windows 10 нет таких служб как: Dnscache и DHCP
Это я понял, к тому же DHCP нужна только если провайдер выдает пользователям динамические IP. Непонятно другое, через svchost рекурсивно работает несколько десятков служб, и при вашем разрешающем для svchost все соединения правиле они таки не могут выйти в сеть?

Всего записей: 6230 | Зарегистр. 14-09-2020 | Отправлено: 15:48 13-11-2020
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
nsa57
gutasiho

Цитата:
App=%SystemRoot%\system32\svchost.exe

С таким разрешающим правилом svchost с его десятками службами (процессами), обойдет и включит вообще все что угодно, даже что нибудь особо ценное удаленное сможет загрузить-восстановить

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 16:11 13-11-2020 | Исправлено: blizard, 16:40 13-11-2020
nsa57



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Непонятно другое, через svchost рекурсивно работает несколько десятков служб, и при вашем разрешающем для svchost все соединения правиле они таки не могут выйти в сеть?  

Не смогут))) Как я понял Dnscache это единственная служба которая позволяет программам обойти фаерволл.

Цитата:
С таким разрешающим правилом svchost с его десятками службами (процессами), обойдет и включит вообще все что угодно, даже удаленное сможет загрузить-восстановить

Каким образом svchost "обойдет и включит вообще все что угодно"))) если в правиле v2.30|Action=Allow|Active=TRUE|Dir=Out|Protocol=17|RPort=53|App=%SystemRoot%\\system32\\svchost.exe указан 53 порт c протоколом UDP которые предназначены только для DNS запросов?)))

Всего записей: 50 | Зарегистр. 13-09-2016 | Отправлено: 17:01 13-11-2020
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
nsa57
[off]Где нибудь выше писали про 53 порт?[/off]

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 17:38 13-11-2020
nsa57



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
[off]Где нибудь выше писали про 53 порт?[/off]

Выше я писал о записи Svc=dnscache в правилах которые находятся в ветке реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules и если вы внимательно просмотрите эти правила то поймете, что везде где есть запись Svc=dnscache стоят 53 или 5353 или 5355 порты которые относятся к DNS.

Всего записей: 50 | Зарегистр. 13-09-2016 | Отправлено: 22:03 13-11-2020
Caravelli



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Приветствую.
Windows SandBox с отключенной службой dnscache, естественно, не запускается и выводится сообщение "Error 0x800706ba. Сервер RPC недоступен".
Хочу по методике предложенной nsa57 прописать правило для брандмауэра Windows, но только не очень умею их создавать.
Так будет правильно? "RPC"="V2.30|Action=Allow|Dir=In|LPort=RPC|Protocol=6|App=%SystemRoot%\\system32\\svchost.exe|Svc=RpcSs|Name=Allow RPC/TCP traffic|"

Всего записей: 2146 | Зарегистр. 01-12-2009 | Отправлено: 09:36 14-11-2020 | Исправлено: Caravelli, 09:38 14-11-2020
vikkiv



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Caravelli

Цитата:
но только не очень умею их создавать.

Так с реестром напрямую не нужно делать, тем более при такой квалификации.
Для таких случаев есть GUI
(рекомендуется для рядовых пользователей: Свойства Сети -> Firewall -> Advanced Settings -> Outbound Rules -> New)
или netsh (очень старый для вымирающих динозавров но пока почему-то работающий метод)
или рекомендуемый админовский подход - через PowerShell (командой New-NetFirewallRule )
 
Добавлено:
P.S. По моему опыту (недавно переставших работать программ из-за прилетевших обновлений Windows)
- каждое приложение теперь вроде как требует прямого доступа в сеть для разрешения имён (DNS на UDP порту 53)
т.е. без всяких рискованных разрешений для svhost
в смысле в интернете пишут что экзешнику C:\Windows\System32\WindowsSandbox.exe
нужно своё правило для доступа в сеть, ну и естественно кроме установки других фишек
{Containers/Hyper-V/VM-Platform/WinHypervisor-Platform} создать бридж между сетью SandBox и выходом в мир хоста..

Всего записей: 747 | Зарегистр. 10-11-2005 | Отправлено: 17:09 14-11-2020
Caravelli



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
vikkiv
Цитата:
тем более при такой квалификации

Моя такая квалификация определяется только тем, что я не пользуюсь брандмауэром Windows как firewall. Это не требует пояснений?
Меня интересует только одно правило брандмауэра Windows - разрешение для RPC.
Обязательно нужно повыёживаться?
 
Добавлено:

Цитата:
каждое приложение теперь вроде как требует прямого доступа в сеть для разрешения имён
Не вроде как, а именно так и делается при отключенной службе dnscache.

Всего записей: 2146 | Зарегистр. 01-12-2009 | Отправлено: 17:34 14-11-2020
I95

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
я не пользуюсь брандмауэром Windows как firewall. Это не требует пояснений?
звучит забавно
Если вы не пользуетесь брандмауэром в качестве файервола то зачем нужно правило к нему? Ведь он не используется и соответственно ничему помешать не может.
А вобще, ИМХО вы бы уже давно самостоятельно получили ответ установив Windows Firewall Control и с его помощью создав в брандмауэре нужное вам правило.

Всего записей: 1063 | Зарегистр. 20-03-2009 | Отправлено: 18:38 14-11-2020
Caravelli



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Ребята, давайте не будем разводить беспредметную дискуссию.
Я попросил всего-то ничего.
Цитата:
Так будет правильно? "RPC"="V2.30|Action=Allow|Dir=In|LPort=RPC|Protocol=6|App=%SystemRoot%\\system32\\svchost.exe|Svc=RpcSs|Name=Allow RPC/TCP traffic|"

P.S.

Цитата:
вы бы уже давно самостоятельно получили ответ установив Windows Firewall Control
И как бы это правило выглядило в WFC?

Всего записей: 2146 | Зарегистр. 01-12-2009 | Отправлено: 19:16 14-11-2020
I95

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
И как бы это правило выглядило в WFC
в WFC нет правил. Это надстройка над Windows Firewall.  
 

Цитата:
с его помощью создав в брандмауэре
Правило появится в брандмауэре. Как оно там будет выглядеть я не знаю, так как не пользуюсь Windows SandBox.  

Всего записей: 1063 | Зарегистр. 20-03-2009 | Отправлено: 19:39 14-11-2020
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
А что дают uTorrentу входящие правила? Без них вроде все скачивается-раздается с зеленой иконкой в статус баре.  
Хоть какому нибудь софту нужны обязательно входящие правила?

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 19:20 20-11-2020
Death_INN

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
blizard, если в настройках фаера входящие подключения блокируются по умолчанию, то за тебя дядя решает, что блокировать, а что нет

Всего записей: 3025 | Зарегистр. 24-10-2002 | Отправлено: 20:49 20-11-2020
blizard

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Death_INN
Сейчас во всех трех профилях стоит Все входящие подключения запрещены и пустой список входящих правил.
 
Каким нибудь типам популярных программ нужны обязательно входящие правила? Даже uTorrent и игровые лаунчеры создают автоматически входящие правила, но работают и без них

Всего записей: 81 | Зарегистр. 19-02-2018 | Отправлено: 14:23 21-11-2020 | Исправлено: blizard, 14:29 21-11-2020
gutasiho

Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
blizard
Цитата:
нужны обязательно входящие правила?
В большинстве случаев нет. Нужны приложениям, которые работают как сервер, приложениям для обмена файлами, Скайпу, вроде. Для  uTorrent нужно входящее на тот порт, который указан в настройках.

Всего записей: 6230 | Зарегистр. 14-09-2020 | Отправлено: 14:37 21-11-2020
harrykkk



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Для  uTorrent нужно входящее на тот порт, который указан в настройках

Работает и без этого

Всего записей: 9020 | Зарегистр. 24-02-2013 | Отправлено: 13:48 22-11-2020
Caravelli



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
blizard
Цитата:
Хоть какому нибудь софту нужны обязательно входящие правила?

А в ответ тишина.
 
Хоть какому нибудь софту нужны обязательно входящие правила?

Всего записей: 2146 | Зарегистр. 01-12-2009 | Отправлено: 14:53 22-11-2020
Death_INN

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
У меня uTorrent вообще возомнил себя богом. Ему плевать даже на строгую фильтрацию в WFC, когда ничего не пашет. При запуске uTorrent-а смотрю логи фаера:
µTorrent Block Out Local IP 57000 DNS IP 53 UDP    
µTorrent Block Out 127.0.0.1 62000 239.255.255.250 1900 UDP    
µTorrent Allow In Local IP 50000 Local IP 54380 TCP    
µTorrent Allow In Local IP 62000 239.255.255.250 1900 UDP    
µTorrent Allow Out Local IP 62000 239.255.255.250 1900 UDP    
µTorrent Allow Out Local IP 50000 Local IP 54380 TCP

Всего записей: 3025 | Зарегистр. 24-10-2002 | Отправлено: 01:23 23-11-2020
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Тонкая настройка брандмауэра Windows


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru