 |
|
|
|
Наладка брандмауэра Windows в режиме повышенной безопасности
Наладка брандмауэра Windows
Компания Microsoft впервые интегрировала систему сетевой безопасности в свою операционную систему Windows 2000. Тогда это был простой пакетный фильтр, позволяющий ограничить подключения перечнем разрешенных протоколов, UDP- и TCP-портов. Вместе с операционной системой Windows XP начал поставляться продукт «Брандмауэр подключения к интернету» (Internet Connection Firewall, ICF). Он приобрел черты системы защиты для конечного узла: правила безопасности можно было ассоциировать с выполняющимися на компьютере приложениями. Несмотря на то что он позволял регулировать только входящий трафик, его автоматическое включение при установке пакета обновлений SP2 вызвало заметный переполох в ИТ-сообществе. Решение любых сетевых проблем тогда начинали с отключения брандмауэра. Понимая важность сетевой безопасности в современном мире, разработчики Windows не остановились на достигнутом и представили в Windows Vista новый «Брандмауэр Windows в режиме повышенной безопасности» (Windows firewall with advanced security), который можно увидеть и в современных версиях (с незначительными, но принципиальными изменениями, некоторые из них будут упомянуты позже). Это приложение получило много новых полезных качеств, которые, с одной стороны, существенно улучшили защиту от вторжений, а с другой – усложнили его настройку. В статье для сокращения «Брандмауэр Windows в режиме повышенной безопасности» будет называться просто брандмауэром. Профили брандмауэра и классификация сетевых подключений Брандмауэр функционирует в контексте сетевых подключений. Для его настройки важно чётко разделять понятия сетевого интерфейса и сетевого подключения. Например, через интерфейс Wi-Fi на работе можно быть подключенным к корпоративной доменной сети, на вокзале – к общественной сети, а дома – к сети своего интернет-провайдера. Windows различает сетевые подключения с помощью службы сетевого расположения NLA (Network Location Awareness), которая использует DNS-суффикс сети, признак прохождения проверки в домене, IP-адреса компьютера и шлюза по умолчанию, маску подсети и другие параметры [1]. С точки зрения настройки брандмауэра интерфейс, через который выполнено сетевое подключение, не играет никакой роли и не фигурирует в настройках. Напротив, в зависимости от работающего подключения активируется соответствующая группа правил брандмауэра. Эти группы называются профилями брандмауэра (firewall profiles). Каждое сетевое подключение может быть отнесено к одной из трех категорий:
Последняя категория часто называется «общая» и «публичная». В доменную категорию попадают сетевые подключения, которые успешно прошли проверку на контроллере домена. Все происходит автоматически, другим способом отнести интерфейс к этой категории нельзя. Относительно других двух категорий у операционной системы нет априорных предположений, поэтому классификация подключений по ним производится пользователем (администратором).
К частной категории следует относить подключения к сетям, которые защищены от «большого мира» пограничными устройствами безопасности – маршрутизаторами или аппаратными брандмауэрами. Если при подключении к новой сети Windows задает вопрос о ее классификации, нужно иметь в виду, что «Домашняя сеть» и «Рабочая сеть» будут отнесены к категории «частная», а все остальные виды сетей – к категории «общедоступная». В отличие от брандмауэра Windows Vista, где активным мог быть только один сетевой профиль, который выбирался по принципу наибольшего ограничения для набора установленных в данный момент подключений, начиная с Windows 7правила брандмауэра распространяются всегда строго на те группы подключений, для которых они были назначены [2]. Часто вызывает затруднение ситуация, когда операционная система не может идентифицировать сетевое подключение. Например, VMware создает на хост-компьютере сетевой интерфейс для обмена данными между виртуальными машинами и хостом, который позволяет имитировать сетевое соединение через Ethernet-коммутатор. У подключений через этот интерфейс не назначается шлюз по умолчанию, поэтому Windows помечает их как «Неопознанная сеть» (Unidentified network), а брандмауэр, как в случае с доменными подключениями, автоматически относит их ккатегории «общедоступная» (см. рис. 1).
Рисунок 1. «Неопознанная сеть» Ethernet 2, созданная VMware для взаимодействия виртуальных машин с хостом, будет автоматически отнесена к категории «общедоступная», а переклассификация, выполненная администратором, будет действовать только до перезапуска сетевого подключения Статью целиком читайте в журнале «Системный администратор», №10 за 2017 г. на страницах 50-54. PDF-версию данного номера можно приобрести в нашем магазине.
|
ИГОРЬ ОРЕЩЕНКОВ, инженер-программист, 
Комментарии отсутствуют
| Добавить комментарий |
|
Комментарии могут оставлять только зарегистрированные пользователи |
|
