Наладка брандмауэра Windows в режиме повышенной безопасности

 ИГОРЬ ОРЕЩЕНКОВ, инженер-программист, iharsw@tut.by

Наладка брандмауэра Windows
в режиме повышенной безопасности

Во многих источниках описывается настройка брандмауэра Windows для работы в различных конфигурациях. В этой статье приводятся сведения о том, как осуществлять наладку брандмауэра в случаях, если что-то работает не так, какзапланировано

Компания Microsoft впервые интегрировала систему сетевой безопасности в свою операционную систему Windows 2000. Тогда это был простой пакетный фильтр, позволяющий ограничить подключения перечнем разрешенных протоколов, UDP- и TCP-портов.

Вместе с операционной системой Windows XP начал поставляться продукт «Брандмауэр подключения к интернету» (Internet Connection Firewall, ICF). Он приобрел черты системы защиты для конечного узла: правила безопасности можно было ассоциировать с выполняющимися на компьютере приложениями.

Несмотря на то что он позволял регулировать только входящий трафик, его автоматическое включение при установке пакета обновлений SP2 вызвало заметный переполох в ИТ-сообществе. Решение любых сетевых проблем тогда начинали с отключения брандмауэра.

Понимая важность сетевой безопасности в современном мире, разработчики Windows не остановились на достигнутом и представили в Windows Vista новый «Брандмауэр Windows в режиме повышенной безопасности» (Windows firewall with advanced security), который можно увидеть и в современных версиях (с незначительными, но принципиальными изменениями, некоторые из них будут упомянуты позже). Это приложение получило много новых полезных качеств, которые, с одной стороны, существенно улучшили защиту от вторжений, а с другой – усложнили его настройку.

В статье для сокращения «Брандмауэр Windows в режиме повышенной безопасности» будет называться просто брандмауэром.

Профили брандмауэра и классификация сетевых подключений

Брандмауэр функционирует в контексте сетевых подключений. Для его настройки важно чётко разделять понятия сетевого интерфейса и сетевого подключения.

Например, через интерфейс Wi-Fi на работе можно быть подключенным к корпоративной доменной сети, на вокзале – к общественной сети, а дома – к сети своего интернет-провайдера. Windows различает сетевые подключения с помощью службы сетевого расположения NLA (Network Location Awareness), которая использует DNS-суффикс сети, признак прохождения проверки в домене, IP-адреса компьютера и шлюза по умолчанию, маску подсети и другие параметры [1].

С точки зрения настройки брандмауэра интерфейс, через который выполнено сетевое подключение, не играет никакой роли и не фигурирует в настройках. Напротив, в зависимости от работающего подключения активируется соответствующая группа правил брандмауэра. Эти группы называются профилями брандмауэра (firewall profiles).

Каждое сетевое подключение может быть отнесено к одной из трех категорий:

• доменная (domain);
• частная (private);
• общедоступная (public).

Последняя категория часто называется «общая» и «публичная».

В доменную категорию попадают сетевые подключения, которые успешно прошли проверку на контроллере домена. Все происходит автоматически, другим способом отнести интерфейс к этой категории нельзя.

Относительно других двух категорий у операционной системы нет априорных предположений, поэтому классификация подключений по ним производится пользователем (администратором).

К частной категории следует относить подключения к сетям, которые защищены от «большого мира» пограничными устройствами безопасности – маршрутизаторами или аппаратными брандмауэрами.

Если при подключении к новой сети Windows задает вопрос о ее классификации, нужно иметь в виду, что «Домашняя сеть» и «Рабочая сеть» будут отнесены к категории «частная», а все остальные виды сетей – к категории «общедоступная».

В отличие от брандмауэра Windows Vista, где активным мог быть только один сетевой профиль, который выбирался по принципу наибольшего ограничения для набора установленных в данный момент подключений, начиная с Windows 7правила брандмауэра распространяются всегда строго на те группы подключений, для которых они были назначены [2].

Часто вызывает затруднение ситуация, когда операционная система не может идентифицировать сетевое подключение. Например, VMware создает на хост-компьютере сетевой интерфейс для обмена данными между виртуальными машинами и хостом, который позволяет имитировать сетевое соединение через Ethernet-коммутатор.

У подключений через этот интерфейс не назначается шлюз по умолчанию, поэтому Windows помечает их как «Неопознанная сеть» (Unidentified network), а брандмауэр, как в случае с доменными подключениями, автоматически относит их ккатегории «общедоступная» (см. рис. 1).

Рисунок 1. «Неопознанная сеть» Ethernet 2, созданная VMware для взаимодействия виртуальных машин с хостом, будет автоматически отнесена к категории «общедоступная», а переклассификация, выполненная администратором, будет действовать только до перезапуска сетевого подключения

Статью целиком читайте в журнале «Системный администратор», №10 за 2017 г. на страницах 50-54.

PDF-версию данного номера можно приобрести в нашем магазине.

1. Network Location Awareness (NLA) and how it relates to Windows Firewall Profiles – URL: https://blogs.technet.microsoft.com/networking/2010/09/08/network-location-awareness-nla-and-how-it-relates-to-windows-firewall-profiles/.
2. Яремчук С., Матвеев А. Системное администрирование Windows 7 и Windows Server 2008 R2 на 100%. – СПб.: Питер, 2011.
3. Яремчук С. Настройка Windows Firewall с помощью PowerShell. // «Системный администратор», № 12, 2014 г. – С.39 (http://samag.ru/archive/article/2836).
4. Configuring Firewall Rules – URL: https://technet.microsoft.com/ru-ru/library/dd448559(v=ws.10).aspx#bkmk_Configuringprogramorservicesettings.

Комментарии могут оставлять только зарегистрированные пользователи