Что такое сетевое расположение в Windows7:
- Публичная сеть. По умолчанию любая сеть при первом подключении попадает в категорию публичных. Для такой сети подразумевается, что она открыта для прочих компьютеров и никак не защищает локальный компьютер от других.
- Частная сеть. Подключение к сети, недоступной для окружающих, может быть отмечено администратором как частное. Это, например, может быть подключение к домашней или офисной сети, изолированной от общедоступных сетей с помощью аппаратного брандмауэра или устройства, осуществляющего преобразование сетевых адресов (NAT). Беспроводные сети следует защитить протоколом шифрования, таким как WPA или WPAv2. Сеть никогда не попадает в категорию частных автоматически. Такая настройка выполняется только администратором. ОС Windows запоминает такую сеть, и при следующем подключении та останется в категории частных.
- Домен. Этот тип сетевого расположения определяется, когда локальный компьютер входит в домен службы Active Directory и может пройти проверку подлинности его доменного контроллера с использованием одного из сетевых подключений. Если указанные условия выполняются, доменный тип сетевого расположения назначается автоматически. Администраторы не могут назначить его вручную.
Блокирование исходящих подключений
Итак, как мы будем настраивать наш файерволл? Я предлагаю перевести работу фильтра исходящих подключений в режим белой фильтрации, и настроить список разрешений. Для этого откроем оснастку Windows Firewall with Advanced Security.
Теперь запретим исходящие подключения для Публичных и Частных сетей. Доменный профиль мы не затрагиваем в случае, если компьютер не в домене (я думаю мало кто из пользователей поднимает у себя дома доменную структуру). Для этого откроем окно свойств брандмауэра и на вкладках Частного и Публичного профиля поставим опцию Исходящие подключения в состояние
Блокировать.
Теперь осталось прописать правила для всех приложений и служб, которым необходимо получать доступ в интернет. Я расскажу и покажу на примере как создавать правила приложений, служб Windows, гаджетов рабочего стола, а также как активировать стандартные зарезервированные правила.
Создание правил для приложений
Допустим, необходимо разрешить браузеру выполнять исходящие подключения. Для этого перейдем в группу правил
Исходящих подключений, и выполним действие
Новое правило.
Откроется мастер создания правила для исходящего подключения.
На данном шаге мастера мы указываем тип создаваемого правила. В данном случае выбираем
Для программы и жмем далее.
На следующем шаге прописываем путь к приложению, в данном случае прописываем путь к ИЕ и жмем далее
На данном шаге мы можем разрешить или запретить подключение. Поскольку нам надо разрешить его, то выбираем разрешить.
Выбираем
Сетевые расположения, для этого правила:
Вводим имя правила и его описание
И нажимаем
Готово. После создания правила мы можем, при необходимости, уточнить дополнительные параметры, такие как протоколы, локальный/удаленный порты, ip-адреса, подсети и многое другое.
Создание правил для служб Windows
Теперь покажем как дать доступ в сеть службе
Windows Update. Для этого при создании правила на первом шаге выберем пункт Настраиваемое и нажимаем далее. Как мы знаем, службы, загружаемых из динамических библиотек, хостятся в процессе
svchost.exe. Поэтому дадим разрешение этому процессу для службы
Windows Update. Жмем далее и выполняем стандартные процедуры.
Создание правил для гаджетов рабочего стола
Для того, чтобы разрешить гаджетам выходить в Интернет, необходимо создать разрешающее исходящее правило для
%ProgramFiles%Windows Sidebarsidebar.exe. Правило создается аналогично, описывалось ранее.
Как разрешить VPN-подключение через брандмауэр
Допустим, необходимо создать правило для VPN подключения через туннель PPTP. Для этого создаем, как описано ранее, 2 правила:
- Разрешить 47 протокол (GRE) для удаленного хоста
- Разрешить передачу TCP пакетов на 1723 порт удаленного хоста.
В данном обзоре описано, как настроить Брандмауэр Windows для обеспечения более высокого уровня безопасности. Однако, всегда следует помнить, что теперь Вам придется все время за ним следить. При установке нового приложения (а иногда и после обновления старого) вам придется каждый раз создавать/изменять правила. Поэтому вам надо выбирать: либо повышенная безопасность, либо удобство работы.
