Наладка брандмауэра Windows в режиме повышенной безопасности::Журнал СА 10.2017
www.samag.ru
     
Поиск   
              
 www.samag.ru    Web  0 товаров , сумма 0 руб.
E-mail
Пароль  
 Запомнить меня
Регистрация | Забыли пароль?
Журнал "Системный администратор"
Журнал «БИТ»
Наука и технологии
Подписка
Где купить
Авторам
Рекламодателям
Магазин
Архив номеров
Контакты
   

  Опросы
1001 и 1 книга  
12.02.2021г.
Просмотров: 9601
Комментарии: 7
Коротко о корпусе. Как выбрать системный блок под конкретные задачи

 Читать далее...

11.02.2021г.
Просмотров: 9962
Комментарии: 9
Василий Севостьянов: «Как безболезненно перейти с одного продукта на другой»

 Читать далее...

20.12.2019г.
Просмотров: 17103
Комментарии: 1
Dr.Web: всё под контролем

 Читать далее...

04.12.2019г.
Просмотров: 15963
Комментарии: 13
Особенности сертификаций по этичному хакингу

 Читать далее...

28.05.2019г.
Просмотров: 16870
Комментарии: 6
Анализ вредоносных программ

 Читать далее...

Друзья сайта  

Форум системных администраторов  

sysadmins.ru

 Наладка брандмауэра Windows в режиме повышенной безопасности

Архив номеров / 2017 / Выпуск №10 (179) / Наладка брандмауэра Windows в режиме повышенной безопасности

Рубрика: Безопасность /  Механизмы защиты

Игорь Орещенков ИГОРЬ ОРЕЩЕНКОВ, инженер-программист, iharsw@tut.by

Наладка брандмауэра Windows
в режиме повышенной безопасности

Наладка брандмауэра Windows в режиме повышенной безопасностиВо многих источниках описывается настройка брандмауэра Windows для работы в различных конфигурациях. В этой статье приводятся сведения о том, как осуществлять наладку брандмауэра в случаях, если что-то работает не так, какзапланировано

Компания Microsoft впервые интегрировала систему сетевой безопасности в свою операционную систему Windows 2000. Тогда это был простой пакетный фильтр, позволяющий ограничить подключения перечнем разрешенных протоколов, UDP- и TCP-портов.

Вместе с операционной системой Windows XP начал поставляться продукт «Брандмауэр подключения к интернету» (Internet Connection Firewall, ICF). Он приобрел черты системы защиты для конечного узла: правила безопасности можно было ассоциировать с выполняющимися на компьютере приложениями.

Несмотря на то что он позволял регулировать только входящий трафик, его автоматическое включение при установке пакета обновлений SP2 вызвало заметный переполох в ИТ-сообществе. Решение любых сетевых проблем тогда начинали с отключения брандмауэра.

Понимая важность сетевой безопасности в современном мире, разработчики Windows не остановились на достигнутом и представили в Windows Vista новый «Брандмауэр Windows в режиме повышенной безопасности» (Windows firewall with advanced security), который можно увидеть и в современных версиях (с незначительными, но принципиальными изменениями, некоторые из них будут упомянуты позже). Это приложение получило много новых полезных качеств, которые, с одной стороны, существенно улучшили защиту от вторжений, а с другой – усложнили его настройку.

В статье для сокращения «Брандмауэр Windows в режиме повышенной безопасности» будет называться просто брандмауэром.

Профили брандмауэра и классификация сетевых подключений

Брандмауэр функционирует в контексте сетевых подключений. Для его настройки важно чётко разделять понятия сетевого интерфейса и сетевого подключения.

Например, через интерфейс Wi-Fi на работе можно быть подключенным к корпоративной доменной сети, на вокзале – к общественной сети, а дома – к сети своего интернет-провайдера. Windows различает сетевые подключения с помощью службы сетевого расположения NLA (Network Location Awareness), которая использует DNS-суффикс сети, признак прохождения проверки в домене, IP-адреса компьютера и шлюза по умолчанию, маску подсети и другие параметры [1].

С точки зрения настройки брандмауэра интерфейс, через который выполнено сетевое подключение, не играет никакой роли и не фигурирует в настройках. Напротив, в зависимости от работающего подключения активируется соответствующая группа правил брандмауэра. Эти группы называются профилями брандмауэра (firewall profiles).

Каждое сетевое подключение может быть отнесено к одной из трех категорий:

  • доменная (domain);
  • частная (private);
  • общедоступная (public).

Последняя категория часто называется «общая» и «публичная».

В доменную категорию попадают сетевые подключения, которые успешно прошли проверку на контроллере домена. Все происходит автоматически, другим способом отнести интерфейс к этой категории нельзя.

Относительно других двух категорий у операционной системы нет априорных предположений, поэтому классификация подключений по ним производится пользователем (администратором).

Для уверенного управления брандмауэром нужно хорошо представлять контексты, которые он использует для применения правил

К частной категории следует относить подключения к сетям, которые защищены от «большого мира» пограничными устройствами безопасности – маршрутизаторами или аппаратными брандмауэрами.

Если при подключении к новой сети Windows задает вопрос о ее классификации, нужно иметь в виду, что «Домашняя сеть» и «Рабочая сеть» будут отнесены к категории «частная», а все остальные виды сетей – к категории «общедоступная».

В отличие от брандмауэра Windows Vista, где активным мог быть только один сетевой профиль, который выбирался по принципу наибольшего ограничения для набора установленных в данный момент подключений, начиная с Windows 7правила брандмауэра распространяются всегда строго на те группы подключений, для которых они были назначены [2].

Часто вызывает затруднение ситуация, когда операционная система не может идентифицировать сетевое подключение. Например, VMware создает на хост-компьютере сетевой интерфейс для обмена данными между виртуальными машинами и хостом, который позволяет имитировать сетевое соединение через Ethernet-коммутатор.

У подключений через этот интерфейс не назначается шлюз по умолчанию, поэтому Windows помечает их как «Неопознанная сеть» (Unidentified network), а брандмауэр, как в случае с доменными подключениями, автоматически относит их ккатегории «общедоступная» (см. рис. 1).

Рисунок 1. «Неопознанная сеть» Ethernet 2, созданная VMware для взаимодействия виртуальных машин с хостом, будет автоматически отнесена к категории «общедоступная», а переклассификация, выполненная администратором, будет действовать только до перезапуска сетевого подключения

Рисунок 1. «Неопознанная сеть» Ethernet 2, созданная VMware для взаимодействия виртуальных машин с хостом, будет автоматически отнесена к категории «общедоступная», а переклассификация, выполненная администратором, будет действовать только до перезапуска сетевого подключения

Статью целиком читайте в журнале «Системный администратор», №10 за 2017 г. на страницах 50-54.

PDF-версию данного номера можно приобрести в нашем магазине.


  1. Network Location Awareness (NLA) and how it relates to Windows Firewall Profiles – URL: https://blogs.technet.microsoft.com/networking/2010/09/08/network-location-awareness-nla-and-how-it-relates-to-windows-firewall-profiles/.
  2. Яремчук С., Матвеев А. Системное администрирование Windows 7 и Windows Server 2008 R2 на 100%. – СПб.: Питер, 2011.
  3. Яремчук С. Настройка Windows Firewall с помощью PowerShell. // «Системный администратор», № 12, 2014 г. – С.39 (http://samag.ru/archive/article/2836).
  4. Configuring Firewall Rules – URL: https://technet.microsoft.com/ru-ru/library/dd448559(v=ws.10).aspx#bkmk_Configuringprogramorservicesettings.

Комментарии отсутствуют

Добавить комментарий

Комментарии могут оставлять только зарегистрированные пользователи

               Copyright © Системный администратор

Яндекс.Метрика
Tel.: (499) 277-12-41
Fax: (499) 277-12-45
E-mail: sa@samag.ru