Как настроить файервол

Содержание

Как правильно настроить межсетевой экран или Check Point Security Best Practices

Как настроить файервол

Уверен, что у большинства системных администраторов или сетевых инженеров возникал вопрос: “Правильно ли я настроил межсетевой экран и что еще можно сделать для лучшей защиты?“. Естественно, в этом вопросе стоит опираться на различные руководства (PCI DSS, ISO, NIST и т.д.) и здравый смысл. Помощь более опытных коллег также приветствуется.

В рамках же данной статьи мы попробуем описать основные рекомендации или лучшие практики (best practices) по настройке межсетевых экранов. Это некий “чек-лист”, следуя которому можно существенно повысить качество защиты сети. Руководство составлено специально для оборудования Check Point, однако оно также может быть использовано, как основа для самостоятельного аудита сети, построенной на оборудовании других вендоров (Cisco, Fortinet, Palo Alto и т.д.). Если вас это заинтересовало, то добро пожаловать под кат…
Compliance Blade Вообще говоря, в случае с Check Point аудит «правильности» настроек можно выполнять в автоматическом режиме. Осуществляется это с помощью программного блейда Compliance, который активируется на менеджмент сервере: Данный блейд выполняет следующие функции:

  1. Мониторинг программных блейдов в режиме 24/7
    • Постоянный контроль за тем, чтобы система управления, программные блейды и шлюзы безопасности были настроены оптимально.
    • Показывает неправильные настройки конфигурации и уязвимости в защите.
    • Предоставляет рекомендации по укреплению безопасности.

  2. Уведомления в режиме реального времени
    • Показывает, как изменение конфигурации повлияет на безопасность.
    • Уведомляет об изменениях политик, негативно влияющих на безопасность.
    • Обучает пользователей, какими будут последствия желаемых изменений.

  3. Готовые отчеты
    • Переводит тысячи требований регуляторов на язык практических рекомендаций.
    • Постоянная оценка совместимости с требованиями регуляторов (PCI DSS, ISO, NIST, DSD и так далее).

Все отчеты отображаются в графическом виде: Оценка настроек: Оценка соответствия требованиям регуляторов: Оценка производительности отдельных шлюзов и блейдов: Блейд Compliance поставляется бесплатно с подпиской на 1 год при покупке сервера управления (будь то физический appliance Smart-1 или виртуальная машина). Этого времени вполне достаточно для комплексной настройки средств защиты с последующей оценкой конфигураций. Таким образом, в первый год вы получаете бесплатный аудит сетевой безопасности (настроек Check Point). Если вы еще ни разу не активировали данный блейд, то это весьма просто сделать в свойствах сервера управления (Management Server), как это было показано на картинке выше. После этого проинсталлировать политики и подождать некоторое время (в зависимости от размеров сети и количества шлюзов). С результатом оценки конфигураций можно ознакомиться на соответствующей вкладке Compliance в консоли SmartDashboard: Стоит заметить, что дальнейшее использование блейда Compliance требует продления соответствующей подписки, цена которой не всегда соответствует бюджету малых и средних компаний.

Что же делать после окончания подписки?

Специально для таких случаев мы создали данное руководство, которое позволит в ручном режиме проверить “адекватность” и безопасность текущих настроек в соответствии с рекомендациями Check Point. При этом мы не будем рассматривать стандарты различных регуляторов (PCI DSS, ISO и т.д.), а лишь затронем лучшие практики (Best Practices) по настройке средств сетевой защиты.

Firewall Best Practices

1. Присутствует правило Management (название может отличаться): Данное правило используется для доступа с сервера управления (Management Server) и компьютера администратора к шлюзу безопасности (Security Gateway). Остальным доступ должен быть запрещен.

2. Присутствует правило Stealth (название может отличаться):

Данное правило используется для блокирования любой попытки доступа к самому шлюзу, что делает его “невидимым” и исключает возможность несанкционированного доступа. Убедитесь, что это правило расположено ниже чем Management.

3. Присутствует правило Clean up rule (название может отличаться):

По умолчанию Check Point блокирует все соединения, которые явно не разрешены. Данное правило используется исключительно для логирования всех пакетов, которые и без этого были бы заблокированы. Правило должно быть самым последним в списке.

4. Присутствует правило Do Not Log (название может отличаться) для которого отключено логирование:

Данное правило используется для фильтрования “паразитного” широковещательного трафика. К такому трафику относятся: udp-high-ports (UDP ports > 1024-65535), domain-udp, bootp, NBT (NetBios), rip (список может отличаться, в зависимости от вашей сети). Логирование отключается намеренно, дабы не перегружать логи межсетевого экрана бесполезной информацией. Правило должно находиться как можно выше в списке (лучше первым).

5. В списках доступа в колонке источник (source) отсутствует значение Any, т.е. любой трафик. Всегда указывайте конкретный источник в правилах, будь то сеть или хост. За исключением правил Stealth, Clean up rule, Do Not Log.

6. Отсутствуют правила разрешающие весь трафик (any any accept).

7. Запрещен входящий Internet трафик для сегментов Бухгалтерии (Finance) и Отдела кадров (HR).

8. Запрещен FTP трафик из сети Internet в DMZ.

9. Отсутствуют неиспользуемые правила. В консоли SmartDashboard можно просматривать счетчик совпадений по каждому списку доступа:

Если счетчик показывает нулевое значение или последнее совпадение (Last hit) было более чем 6 месяцев назад, то рекомендуется удалить данное правило, дабы не перегружать общий список.

10. Для всех правил в поле Track выставлена опция Log. Кроме правила Do Not Log. Так вы сможете логировать все важные события исключая широковещательный трафик.

11.

Источник: https://habr.com/ru/company/tssolution/blog/327316/

Что такое файрвол в Windows и как его настроить?

Как настроить файервол

В любой операционной системе должна быть хоть какая-то защита. В Windows есть целых две защитных функции – фаервол (брандмауэр) и Защитник Windows. Само понятие «фаервол» имеет несколько значений, но в этом материале будет разобран вариант межсетевого экрана.

Что такое файрвол?

Файрвол (брандмауэр) – является межсетевым экраном в системе Windows, предотвращающим несанкционированный доступ к компьютеру из сети Интернет и локальных сетей, а также запрещающий или разрешающий приложениям соединение с сетью.

Простыми словами, брандмауэр является стеной или закрытой дверью, которая открывается только перед теми, кому это разрешено. В Windows ограничения обычно ставятся на программное обеспечение, которые связывается с Интернетом. Теперь мы разобрались с понятием «фаервол», но как же его правильно настроить, чтобы обеспечить компьютеру защиту?

Как настроить фаервол (брандмауэр) на Windows 10?

В офисах этим занимается системный администратор, поэтому будет не лишним иметь навыки настройки защитного программного обеспечения. В домашних условиях любой желающий может изменять параметры компьютера как захочет, но в пределах разумного.

Настройка файрвола после установки Windows 10 происходит очень просто. Вначале нужно разобраться, как включить или отключить защиту, так как при проблемах с брандмауэром возникают различные критические ошибки, исправить которые можно простым отключением или включением защитной функции.

Один из способов зайти в настройки брандмауэра следующий:

  • Используем на клавиатуре такую комбинацию клавиш: Win+I. Затем идём в раздел «Обновления и безопасность»;
  • Перейдите слева в подраздел «Защитник Windows»;
  • Нажмите на кнопку справа «Открыть Центр безопасности Защитника Windows»;
  • В открытом окошке выбираем опцию «Брандмауэр и безопасность сети».

Здесь находится новый интерфейс, в котором настройки немного запутаны для новичка. Если вам не нравится расположение функций, можно вернуться, конечно же, к старому, привычному интерфейсу, какой демонстрируется Windows 7 и 8. Для этого нажимаем по поиску на панели задач и вводим «Брандмауэр», выбрав результат.

Находясь в окне брандмауэра, в десятой версии системы можно увидеть два пункта – «Частная сеть» и «Общественная сеть». В обоих этих пунктах находятся опции отключения брандмауэра для подключенной сети. Тут можно и блокировать все входящие подключения, отметив функцию галочкой.

Чтобы разрешить программам устанавливать соединение с сетью через брандмауэр, нужно найти ниже пункт «Разрешить работу с приложениями через брандмауэр». Откроется окошко, где изменения параметров будут осуществляться после нажатия по кнопке «Изменить параметры».

Если галочка стоит, то обмен ПО через сеть разрешен. Обычно разрешения ставятся только на приложения Microsoft. Если с брандмауэром возникли проблемы, для их разрешения есть опция «Устранения неполадок при подключении к сети». По возможности используйте её.

Перейдя в раздел «Параметры уведомлений», можно увидеть параметры, позволяющие выводить в системе уведомления о заблокированных программах. Если вы настроили параметры неверно, настройки можно «Восстановить по умолчанию». Эта опция находится на главном экране.

Как добавить программу в исключение в брандмауэре?

  1. В главном окне фаервола перейдите к пункту «Параметры уведомлений брандмауэра»;
  2. Щелкните по опции «Параметры защиты от вирусов и угроз»;
  3. Дойдите до раздела «Исключения» и нажмите на кнопку в пункте «Добавление и удаление исключений»;
  4. Теперь жмём кнопку «Добавить исключение» и выбираем тот элемент, который не является вредоносным по вашему мнению. Можно добавлять файлы, целые папки, конкретные типы файлов и процессы.

Дополнительные функции файрвола

В параметрах защиты от нежелательных и вредоносных программ можно активировать или отключить следующие функции:

  • Защита в режиме реального времени – если отключить эту защиту, это может привести к активной работе тех программ, которые были заблокированы.
  • Облачная защита – позволяет защищать данные в облаке.
  • Автоматическая отправка образцов – на сервера Microsoft отправляются данные о найденных вредоносных компонентах.

Остальные настройки уже были разобраны выше.

Настройка фаервола на Windows 7 и 8

При наличии устаревших версий операционных систем, настройка брандмауэра происходит немного по-другому:

  1. Откройте брандмауэр из панели управления.
  2. Необходимые настройки находятся с левой стороны окна, и доступ к ним осуществляется быстрее, чем в ОС Windows 10.
  3. Для включения фаервола нажмите на кнопку параметра «Включение и отключение брандмауэра Windows». Сразу после этого отметьте флажки «Включить…».
  4. Также вы можете сразу сбросить параметры по умолчанию, осуществить взаимодействие приложений в брандмауэре, и настроить уведомления.

Правила безопасности брандмауэра

В окошке слева переходим по опции «Дополнительные параметры». Сразу откроется окошко, где для приложений можно настроить правила по входящим и исходящим подключениям.

Здесь можно полноценно управлять приложениями, соединяющимися с сетью и создавать свои правила. Если вы добавите в запрет браузер, то не сможете выходить с помощью него в Интернет. Также доступ к приложениям можно ограничивать для компьютеров, подключенных по локальной сети или удалённо.

Windows

Источник: http://digitrode.ru/catalog5/1292-chto-takoe-fayrvol-v-windows-i-kak-ego-nastroit.html

Настройка брандмауэра в Windows 8.1

Как настроить файервол

При использовании коммутируемых, широкополосных (PPPoE/ADSL-соединений) или VPN-подключений желательно дополнительно защитить компьютер от атак, используя брандмауэр Windows.

Этот встроенный в операционную систему брандмауэр защищает Windows 8.1, ограничивая типы передаваемой информации.

Принудительно применяя соответствующие ограничения, можно понизить вероятность проникновения в систему несанкционированных лиц.

Брандмауэр Windows представляет собой программный или аппаратный комплекс, который проверяет данные, входящие через Интернет или сеть, и в зависимости от параметров брандмауэра блокирует или разрешает их передачу на компьютер.

Брандмауэр Windows поможет предотвратить проникновение хакеров или вредоносного программного обеспечения (такого как черви) в ваш компьютер через сеть или Интернет. Брандмауэр также помогает предотвратить отправку вредоносных программ на другие компьютеры.

С помощью брандмауэра можно запретить входящие соединения и тем самым стопроцентно защитить себя от всевозможных атак. Также можно запретить доступ отдельно взятой программе или целому классу программ. Так, заблокировав 80-й порт, вы заблокируете работу по сути любого браузера, так как этот порт используется браузерами для получения веб-страниц.

В большинстве случаев параметры брандмауэра должны устроить всех пользователей. И настраивать его вам тоже не придется. Разве что при запуске новой программы указать, в каких сетях ей разрешено работать, а в каких – нет. На скриншоте ниже показано, что программа µTorrent (торрент-клиент) запущена в первый раз и брандмауэр спрашивает, что с ней делать.

По умолчанию предполагается, что вы хотите разрешить работу программы только в частных сетях, например в домашней или рабочей сети.

А в общественных сетях, например в бесплатной Wi-Fi-зоне в каком-нибудь публичном месте, программе доступ к Интернету будет закрыт.

Нужно разрешить программе работу в публичных сетях, иначе ваши программы не будут работать в общественных сетях, например (в библиотеке или кафе).

Если вы снимете еще и флажок Частные сети,например,домашняя или рабочая сеть, то программе вообще будет запрещен доступ к Интернету. Некоторые программы, которым для работы Интернет вообще не нужен, качают из Сети рекламу. Доступ к Интернету таким программам можно запретить. Работать они будут, а вместо рекламных баннеров станут появляться пустые места.

Иногда можно автоматически нажать кнопку Разрешить, забыв отметить флажок Общественные сети. В этом случае придется настраивать правила брандмауэра, чтобы программа заработала как следует.

Для того чтобы получить доступ к настройкам брандмауэра Windows, нажмите сочетание клавиш + R, в появившемся диалоговом окне Выполнить введите firewall.cpl и нажмите клавишу Enter ↵.

Откроется окно Брандмауэр Windows в котором видно, что сейчас компьютер подключен только к частной сети.

Для того чтобы настроить параметры Брандмауэра Windows, в левой части окна нажмите пункт Включение и отключение брандмауэра Windows.

Откроется окно Настроить параметры, в котором можно выбрать, для каких сетей он будет включен, а для каких – выключен. По умолчанию брандмауэр включен как для частных, так и для общественных сетей.

Не отключайте брандмауэр! Это можно сделать лишь перед установкой брандмауэра другого разработчика, чтобы между двумя программами одного класса не возник конфликт.

Для того чтобы получить доступ к дополнительным настройкам брандмауэра Windows, выберите команду Дополнительные параметры на панели слева.

Откроется окно Брандмауэр Windows в режиме повышенной безопасности в котором вы увидите дополнительные параметры — сводку по ним.

Самое главное в дополнительных параметрах брандмауэра – это правила. Правила можно создать как для входящих, так и для исходящих соединений. По умолчанию все входящие соединения, не соответствующие правилам, разрешающим эти соединения, запрещены. А вот с исходящими соединениями ситуация другая – они разрешены, если для них не созданы запрещающие правила.

Перейдите в раздел Правила для входящих подключений. В нем вы найдете все правила – как общие для входящих подключений, так и правила для отдельно созданных программ.

Дважды щелкните на любом из правил. На скриншоте ниже показано правило для µTorrent. Вы можете запретить работу µTorrent, выбрав Блокировать подключение.

Создание нового правила

Рассмотрим небольшой пример – создание нового правила. Допустим, нам нужно заблокировать доступ к Сети. То есть чтобы ни один браузер не смог отобразить веб-страницу, но при этом почта, Skype и другие интернет-программы работали. Этого можно добиться лишь одним способом – заблокировав 80-й порт (точнее, исходящее подключение к 80-му порту).

В окне Брандмауэр Windows в режиме повышенной безопасности выберите раздел Правила для исходящего подключения.

В следующем окне справа на панели Действия выберите команду Создать правило.

В открывшемся окне Мастер создания правила для нового исходящего подключения нужно выбрать тип правила. Если бы мы хотели запретить какую-то конкретную программу, например Chrome, то выбрали бы правило Для программы. А раз нужно запретить все браузеры, то следует создать правило для порта, выбираем тип правила Для порта и нажимаем кнопку Далее.

Далее выберите Определенные удаленные порты и укажите порт 80, нажимаем кнопку Далее.

В следующем окне нужно выбрать действие, в нашем случае Блокировать подключение, нажимаем кнопку Далее.

Затем нужно определить, для каких профилей должно работать правило. Следует выбрать все три профиля, иначе в каких-то сетях правило будет работать, а в каких-то – нет.

В следующем окне введите имя правила и его описание (необязательно), и нажмите кнопку Готово.

Созданное правило отображено на скриншоте ниже.

Теперь проверим правило в работе. Откройте любой браузер и попытайтесь обратиться к любому сайту. Вы увидите сообщение об ошибке.

Вернитесь в окно дополнительных параметров.

Дважды щелкните по созданному нами правилу и в открывшемся окне Свойства: block http установите флажок Разрешить подключение и нажмите кнопку OK.

Теперь обновите страничку в браузере – она откроется.

Чтобы вам было проще составлять различного рода правила, в таблице ниже приведены некоторые стандартные TCP/UDP-порты.

Стандартные TCP/UDP-порты

Номер порта, протоколДля чего используется
20, TCPFTP (File Transfer Protocol), данные
21, TCPFTP (File Transfer Protocol), команды
22, TCPSSH (Secure Shell)
23, TCP(Modify)Telnet
25, TCP/UDPПротокол SMTP (Simple Mail Transfer Protocol), отправка почты
37, TCP/UDPПротокол синхронизации времени
53, TCP/UDPDNS (Domain Name System), система доменных имен
80, TCP/UDPHTTP (Hyper Text Transfer Protocol)
109, 110, TCP/UDPПротоколы POP2 и POP3, используются для получения почты
143, TCP/UDPПолучение почты и управление ею, протокол IMAP
220, TCP/UDPПротокол IMAP (Interactive Mail Access Protocol), версия 3
443, TCPБезопасный HTTP (HTTPS)
465,TCP/UDPБезопасный SMTP
989, 990, TCP/UDPБезопасный FTP
992, TCP/UDPБезопасный Telnet (поверх SSL/TLS)
1194, TCP/UDPOpenVPN
1234, TCP/UDPVLC Media Player, потоковое видео, IPTV
1214, TCPKazaa (клиент файлообменной сети)
5190, TCPICQ и AOL Instant Messenger
6881–6887, TCP/UDPПорты Torrent-клиентов
6889–6890, TCP/UDPЕще один набор портов для Torrent-клиентов

На самом деле портов намного больше, чем представлено в таблице. Некоторые из них назначаются официально, некоторые – неофициально. С официальными все ясно – они могут использоваться только для четко обозначенных действий. С неофициальными не все так просто. Сегодня их может использовать одна программа, завтра – другая.

Источник: https://winnote.ru/security/104-nastroyka-brandmauera-v-windows-81.html

Windows Firewall: блокировка доступа в Интернет, исходящего и входящего трафика

Как настроить файервол

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике: https://hetmanrecovery.com/ru/recovery_news/how-to-use-the-windows-firewall-to-block-application-access-to-the-Internet.htm

В статье мы рассмотрим, как заблокировать входящий или исходящий Интернет трафик любому приложению с помощью Windows Firewall. Современную жизнь трудно представить без соединения с интернетом.

Все мобильные телефоны, планшеты, компьютера и ноутбуки постоянно взаимодействуют между собой в рамках локальной сети или получают, и отправляют информацию в Интернет.

Как бы мы не зависли от сети, в определенных случаях необходимо заблокировать доступ в Интернет некоторым приложениям.

Для чего это может понадобится? Блокировка входящего трафика позволяет отключить не нужные обновления ПО, назойливую рекламу или экономить трафик. Блокировка исходящего – может предотвратить распространение конфиденциальной информации.

Возможно вы захотите ограничить вашего ребенка от просмотра нежелательного контента или чрезмерного проведения времени за онлайн играми. В статье мы рассмотрим, как заблокировать входящий или исходящий трафик любому приложению с помощью Windows Firewall.

Это наиболее простой и одновременно гибкий способ блокировки доступа.

Мы рассмотрим работу фаервола в Windows 10, однако эта инструкция будет работать и для пользователей Windows 8 или 7.

Создание правила брандмауэра Windows

Для начала необходимо запустить расширенный интерфейс межсетевого экрана. Для этого перейдите в панель управления, выберите режим отображения крупные значки и кликните «Брандмауэр Windows».

Панель управления можно вызвать, кликнув правой кнопкой мышки по кнопке Пуск и выбрав нужный пункт меню, или нажать Пуск и затем ввести Панель управления.

В окне брандмауэра нужно кликнуть на Дополнительные параметры.

Расширенный интерфейс брандмауэра содержит множество настроек. Вносите все изменения максимально внимательно, в точности следуя этой инструкции. Не правильная настройка приведет к множеству проблем в работе компьютера.

В левой навигационной панели выберите «Правила для исходящего подключения». Система отобразит все созданные ранее правила, не удивляйтесь, что список заполнен десятками различных записей, созданных Windows.

В правой панели кликните на «Создать правило».

По умолчанию предлагается создать правило для программы, подтвердите выбор нажав кнопку Далее.

На следующем шаге необходимо указать путь к исполняемому файлу программы для блокировки. На примере браузера Opera мы проверим блокировку подключения к интернету. Вы можете как внести полный путь к exe файлу вручную, так и воспользоваться кнопкой Обзор.

В последнем случае система автоматически заменит часть пути файла на переменную окружения. В нашем случае файл находится по адресу C:\Program Files\Opera\45.0.0.255225846\opera.exe, но брандмауэр автоматически заменяет путь на %ProgramFiles%\Opera\45.0.0.255225846\opera.exe.

Важно: По ряду причин переменные окружения могут неправильно определяться системой. Если вы столкнулись с тем, что созданное правило блокировки не работает – отредактируйте правило, вставив полный путь к файлу в поле ввод вручную.

Тоже важно: В большинстве случаев достаточно заблокировать исполняемый файл программы, для ограничения доступа к интернету. Но этот подход может не сработать для онлайн игр. К примеру, если вы хотите заблокировать возможность подключения к игровым серверам Minecraft, блокировать нужно приложение Java (исполняемый файл Javaw.exe). Так как игра подключается к сети Интернет через Java.

Подтвердите выбор файла нажав кнопку Далее.

На следующем шаге подтвердите выбор «Блокировать подключение» нажав кнопку Далее.

На следующей шаге необходимо выбрать, когда применяется правило (по умолчанию все элементы отмечены). Эти элементы определяют, применяется ли правило в зависимости от того, подключен ли компьютер к сети, которую вы определили, как общедоступную или частную сеть.

Важно: Если вы выберите параметр Частный и снимете выбор с Публичный, это не будет означать, что программа будет иметь доступ к ресурсам локальной сети, но не будет иметь доступ в интернет.

Допустим вы используете ноутбук дома (в сети, которую вы определили, как конфиденциальную), на работе (в сети под управлением домена) и в кафе (сеть, которую вы определили, как общедоступную). Если вы хотите, чтобы правило применялось и в кафе, и на работе, и дома, выберите все 3 опции. Если вы хотите, чтобы правило применялось только в одном из 3 случаев, укажите соответствующую опцию.

Если вы сомневаетесь в выборе, оставьте все варианты блокировки включенными по умолчанию. Подтвердите выбор нажав кнопку «Далее».

На последнем шаге необходимо назвать правило. Дайте этому правилу осознанное имя, что бы вы могли легко найти его в дальнейшем. Здесь же вы можете указать описание вашему правилу, что бы вы могли вспомнить причину его создания через продолжительное время. ОС Windows создает множество правил для брандмауэра автоматически, все они имеют довольно экзотические имена.

Для того, чтобы выделить наше правило, назовем его «Блокировка браузера Opera». Завершите мастер, нажав кнопку Готово.

Теперь в списке блокировки исходящих правил появился новый пункт. Вы можете дважды кликнуть по нему для редактирования. На пример вы можете указать пользователей, для которых будет действовать (или не будет действовать) это правило, или блокировать только определенный протокол – TCP и т.д.

Тестирование блокировки

Блокировка вступает в силу сразу после создания, вам не нужно выходить из системы или перезагружать компьютер. Запустите приложение Opera и перейдите на сайт https://www.google.com, что бы убедиться в блокировке.

Если вам понадобится отключить блокировку, необходимо будет вернуться в интерфейс расширенных настроек Windows Firewall, выделить правило левой кнопкой, затем либо выключить, либо удалить его. Используйте для этого соответствующие пункты в правой панели Брандмауэра.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике: https://hetmanrecovery.com/ru/recovery_news/how-to-use-the-windows-firewall-to-block-application-access-to-the-Internet.htm

Источник: https://zen.yandex.ru/media/hetmansoftware/windows-firewall-blokirovka-dostupa-v-internet-ishodiascego-i-vhodiascego-trafika-5bf1ba1fd35aa600a9594ef8

Стена огня. Учимся настраивать файрвол на примере MikroTik

Как настроить файервол

Назначение файрвола — фильтрация трафика и манипуляция пакетами. Именно он становится первым и, к сожалению, во многих случаях последним бастионом сети. В интернете полно рекомендаций, как настроить эту часть системы. Но бездумное копирование чужих правил может принести больше вреда, чем пользы. Поэтому сначала нужно разобраться, как работает и что может файрвол в RouterOS.

Файрвол, как и многое другое в RouterOS, пришел из Linux и представляет собой доработанный iptables. Поэтому многие мануалы по настройке iptables легко можно сконвертировать в формат RouterOS. Файрвол состоит из следующих таблиц:

  • Filter — занимается фильтрацией трафика — определяет, пропустить пакет в сеть или отбросить его. Мы будем рассматривать работу только этой таблицы;
  • NAT — Network Address Translation. Изменяет проходящие пакеты. Поменять адрес источника или порт назначения — дело именно этой таблицы. В основном она используется для обеспечения доступа в интернет из локалки и обратно. Иногда без NAT невозможно работать в плохо спроектированных сетях, а еще его, бывает, используют в качестве «костыля»;
  • Mangle — классифицирует и маркирует трафик и может менять некоторые поля в заголовке (TTL, ToS, DF). Применяется для построения сложных путей трафика (например, когда подключено два провайдера или нужны разные пути трафика для RDP и VoIP);
  • Raw — обрабатывает пакеты до их попадания в Connection Tracking. Пригодится для защиты от DoS или при работе с большими объемами трафика.

Таблицы состоят из цепочек. Цепочки в разных таблицах могут отличаться. Чуть позже станет ясно почему. В нашей таблице Filter три цепочки:

  • input — трафик к самому роутеру. Обязательное условие попадания в input — адресом назначения пакета должен быть один из адресов роутера, широковещательный адрес сети или широковещательный адрес работающей на роутере службы. Сюда попадает WinBox, SSH, WebFig, ping, VPN и другой трафик, предназначенный роутеру. Полный список можешь посмотреть в вики. В этой цепочке мы должны защищать сам роутер;
  • output — трафик от роутера. Ответы на прилетевшее в input или новые пакеты от роутера (пинг, VPN, SSH-сессия с самого роутера). Эта цепочка редко используется, так как часто роутер считается доверенным звеном и пакеты, генерируемые им, по умолчанию легитимны. Но, как показывает история взломов, контроль исходящего трафика может выявить заражение на начальных этапах;
  • forward — трафик, проходящий через роутер (когда пакет прилетел в один интерфейс и вылетел с другого или того же самого). Трафик из локалки в интернет, из интернета в локалку, из одного VLAN локалки в другой;
  • user chains — пользовательские цепочки. Админ может создавать цепочки правил по своему усмотрению. Это бывает полезно для декомпозиции больших конфигураций. К примеру, можно весь трафик на порты 80 и 443 завернуть в отдельную цепочку WEB и в ней уже делать десятки правил для фильтрации — это визуально упростит настройку, хотя качественно на прохождение трафика не повлияет.

Два важных момента, о которых нужно помнить.

Момент первый. У трафика в forward всегда есть входящий и исходящий интерфейсы — трафик влетел в input, обработался процессом маршрутизации и должен вылететь в output.

У входного трафика не может быть исходящего интерфейса — он обработается внутри роутера и никуда дальше не полетит.

Также у выходного трафика не может быть входящего интерфейса — этот трафик генерируется самим роутером (это либо новый трафик, либо созданный роутером ответ на трафик, пришедший в input).

Момент второй. У трафика не существует «внешнего» или «внутреннего» интерфейсов. Роутеру плевать, что ты считаешь внешним, — для него есть интерфейс, в который трафик вошел, и интерфейс, с которого трафик уйдет.

Правила образуют цепочки. У каждого правила может быть только одна цепочка. По умолчанию политика у всех цепочек — все разрешено.

Правила срабатывают в таблицах в зависимости от их порядка: сначала пакет обработается первым правилом, затем вторым и так далее.

Хорошим тоном считается упорядочивать правила внутри таблиц по цепочкам: сначала — пачка правил input, затем — forward, в конце — output.

Трафик будет проходить по правилам только в пределах своей цепочки. И если сначала идет input, потом forward, затем снова input, то трафик input все равно никогда не попадет в forward, то есть такое расположение правил не повлияет на прохождение трафика, а только запутает админа. В пределах одной таблицы пакет не перепрыгнет из одной цепочки в другую, пока админ это явно не укажет.

table_chain_ruleДругие статьи в выпуске:

  • выпуска
  • Подписка на «Хакер»

Connection Tracking

Еще одна важная вещь для понимания работы файрвола — механизм определения состояния соединений — Connection Tracking (или просто ConnTrack). У RouterOS есть специальная таблица, в которой хранятся данные о состоянии соединений. Благодаря ей работает NAT и многие другие части файрвола.

Механизмы ConnTrack проверяют, принадлежит ли пришедший на роутер пакет какому-либо из потоков, чтобы применить к нему политики всего потока или как-то упорядочить пакеты в пределах одного или нескольких потоков (например, для нарезки скорости).

ConnTrack

Для ConnTrack существуют четыре состояния пакетов:

  • new — новый пакет, не принадлежащий ни одному из известных потоков. Это может быть первый пакет для коннекта к серверу RDP, или первый пакет в потоке WinBox, или запрос к DNS. Система запоминает Source IP, Source Port, Destination IP, Destination Port и некоторые другие параметры и записывает эти данные в таблицу. Следующий пакет с такими же данными будет относиться к записанному потоку;
  • established — пакет, принадлежащий существующему потоку. То есть пакет, у которого Source IP, Source Port, Destination IP, Destination Port подходят под одну из записей таблицы ConnTrack (или обратный пакет);
  • related — пакет, порожденный другим потоком. Некоторые протоколы, такие как FTP, SIP, PPTP, используют для работы несколько потоков. Например, управляющие команды FTP ходят по порту TCP 21, но данные передаются с порта TCP 20. При попытке получения или отправки данных на FTP в потоке на порт 21 сервер сообщает: «А сейчас я открою 20-й порт, и ты забирай данные с него», после этого клиент посылает пакет на 20-й порт сервера. Этот пакет будет считаться related, так как он порожден потоком 21-го порта;
  • invalid — все, что не относится к перечисленным выше состояниям. Пример: сессия корректно закрылась, но из-за ошибок маршрутизации часть пакетов из середины сессии улетела другим путем. Когда они пришли, их сессия уже закрыта и роутер о них ничего не знает. Они не new и не относятся к существующим соединениям, поэтому считаем их invalid.

Состояние потока не связано с флагами TCP: SYN, ACK, FIN. Для UDP и других stateless-протоколов в таблице ConnTrack тоже содержатся все возможные состояния.

Connstate

Работа ConnTrack требует ресурсов процессора и при больших объемах трафика может существенно нагрузить CPU. Но ConnTrack нужен не везде, и его можно отключить.

Например, у провайдеров на стыке с вышестоящим провайдером стоят роутеры, которые молотят десятки гигабит трафика.

На этих роутерах, как правило, нет NAT (прямая маршрутизация), а трафик фильтруется уровнем ниже, чтобы не перегружать и без того нагруженный бордер. То есть в этом случае ни к чему проверять каждый пакет на принадлежность какому-либо потоку.

Нажав кнопку Tracking, можно отключить механизм ConnTrack или подкрутить таймеры. В большинстве случаев тебе не понадобится заходить в эти настройки, но знать о них нужно. Режима ConnTrack три: что такое yes и no, думаю, понятно, а в режиме auto ConnTrack выключен до тех пор, пока хотя бы один пакет не попадет в существующие правила таблицы NAT или Filter.

Выключенный ConnTrack ломает NAT и фичи файрвола, основанные на трекинге потоков: connection-bytes, connection-mark, connection-type, connection-state, connection-limit, connection-rate, layer7-protocol, new-connection-mark, tarpit.

Tracking

Рекомендации по настройке

Переходим к практике настройки. В этой статье я расскажу о таблице Filter — той, что занимается фильтрацией трафика. Как мы выяснили чуть выше, за трафик к самому роутеру отвечает цепочка input, а за трафик, который проходит через роутер, — forward. Займемся защитой самого роутера.

Первое и самое главное, что нужно помнить при работе с файрволом, было описано еще в утерянной главе «Слова о полку Игореве»: «удаленная настройка файрвола — к дальней дороге». Так что уважай предков — чти их заветы и используй Safe Mode.

Работает этот режим так: ты нажимаешь кнопку Safe Mode в интерфейсе, и она остается нажатой. Дальше ты делаешь все, что собирался, но применятся эти изменения, только когда ты снова кликнешь по кнопке.

Если они приведут к обрыву взаимодействия роутера и конфигуратора WinBox (например, если ты зафильтровал свои же пакеты или отключил интерфейс), то роутер вернется в состояние, которое было до входа в Safe Mode.

Запоминается только 100 действий, но этого хватит на большинство случаев. Перезагрузки не будет — откат мгновенный. Из консоли этот режим активируется по Ctrl-X.
Safe Mode

Есть два подхода к настройке файрвола:

  • разрешено все, что не запрещено;
  • запрещено все, что не разрешено.

Ни один из них нельзя назвать однозначно правильным. Я приверженец второго подхода, но в незнакомых сетях применяю первый.

Чтобы разрешить нужный трафик, нужно определиться с этим самым трафиком. В случае с input это сделать довольно просто. Вот что нужно для корректной работы роутера.

  1. Management: WinBox, SSH, в некоторых случаях WebFig, например для просмотра графиков нагрузки.
  2. Если провайдер выдает адрес по DHCP, то разрешить этот протокол на внешнем интерфейсе.
  3. Если роутер является сервером DHCP, то разрешить этот протокол на внутренних интерфейсах.
  4. То же самое с DNS.
  5. Если будем поднимать туннели, то разрешить их.
  6. OSPF.
  7. ICMP.
  8. NTP.
  9. Neighbor Discovery.
  10. SNMP.
  11. Другие сервисы.

Определились? Открываем нужное и закрываем все остальное.

Файрвол работает по принципу «если [условие], то [действие]». Если выполняются условия, заданные во вкладках General, Advanced, Extra, то к пакету применяется действие из вкладки Action. На сегодня нам будет достаточно условий src/dst address, protocol, src/dst port, in/out interface, connection-state.

Их значения понятны по названию, но если вдруг неясно — вперед, читать про основы TCP/IP. Самые распространенные действия: accept — разрешено, drop — запрещено (пакет просто уничтожится), reject — запрещено, но отправитель получит информацию, что пакет был уничтожен по причине, указанной в reject-with.

Каждое правило на пути пакета отнимает процессорное время. И если в небольших сетях это некритично, то при серьезных объемах трафика нужно учитывать этот момент. Рассмотрим на примере.

Источник: https://xakep.ru/2020/05/06/mikrotik-firewall/

Брандмауэр Windows 10: где находится, как включить и настроить файрвол

Как настроить файервол

Работающий по умолчанию брандмауэр (firewall) Windows 10 является утилитой, которая обеспечивает контроль над входящими и исходящими соединениями.

Подключения, не отвечающие требованиям безопасности, автоматически блокируются. Эта служба является составляющей Центра безопасности Виндовса.

Утилита Firewall защищает интернет-трафик, препятствует проникновению на ПК вирусов и вредоносных ПО.

Что такое брандмауэр Windows 10

На любом компьютере, использующем Виндовс в качестве ОС, имеется встроенное средство защиты интернет-трафика. Называется оно брандмауэром или firewall.

При включении ПК в момент загрузки Windows утилита запускается по умолчанию, то есть самостоятельно. Активировать эту службу не нужно, отключать нежелательно.

Разрешается выставлять исключения для некоторых конфликтующих с утилитой программ.

Брандмауэр защищает компьютер от опасных подключений и блокирует несанкционированный доступ к нему. Эта служба контролирует входящий и исходящий интернет-трафики. Работает тихо, в автоматическом режиме, а, когда возникает необходимость, выдает уведомления.

Как открыть утилиту:

  • через Пуск перейти в Поиск;
  • написать в поисковике: «Брандмауэр» или «Firewall»;
  • появится консоль службы.

Открыв утилиту, можно посмотреть ее статус. На консоли отображается информация о состоянии службы (вкл. или откл.), а также активные подключения, список исключений.

Пользователь может самостоятельно задать или изменить параметры уведомлений о работе защитника.

Через исключения удастся отредактировать входящие подключения, то есть разблокировать трафик приложениям, которых нет в перечне разрешенных программ.

Насколько он надежен

Брандмауэр, или firewall, автоматически блокирует подключения, не соответствующие его правилам и настройкам. Это надежное средство защиты ПК от проникновения через интернет вирусов и вредоносных ПО.

Устанавливаемые на ПК программы самостоятельно добавляют в эту службу исключения для получения свободного доступа к сети и соединению. Причем эти действия выполняются без оповещений.

Наоборот, пользователь получит уведомления от firewall только тогда, когда устанавливаемые программы не смогут самостоятельно добавить исключения. В таком случае пользователю придется самому установить доступ.

Время от времени желательно проверять список исключений. Некоторые вредоносные программы умеют обойти выставленную утилитой защиту.

Исключения в firewall можно задать, имея администраторские права. Если пользователь работает в стандартной учетной записи, то для устанавливаемых программ, не соответствующих правилам утилиты, подключения автоматически блокируются.

Важно! Всем приложениям, скачанным из виртуального магазина Microsoft Store, по умолчанию разрешен доступ к домашней сети или интернету. Правда, у пользователя имеется возможность самостоятельно заблокировать трафик для таких программ.

Как его включить?

По умолчанию утилита под названием Брандмауэр Microsoft Defender включена. Если защитник по каким-то причинам отключен, его можно активировать.

Панель управления

Как запустить утилиту:

  • активировать Панель управления;
  • появится список;
  • отыскать «Брандмауэр Виндовс»;
  • активировать службу (должна появиться консоль (окно) с информацией и опциями);
  • в подпункте «Состояние…» выставить значение «Вкл.»;
  • отыскать «Включение и отключение…»;
  • перейти в «Настроить параметры»;
  • выбрать сеть и активировать для каждой опцию «Вкл.».

Командная строка

Команды для включения firewall:

  • открыть командную строчку на администраторских правах;
  • для всех сетевых профилей: netsh advfirewall set allprofiles state on;
  • для текущего: netsh advfirewall set currentprofile state on;
  • для доменного: netsh advfirewall set domainprofile state on;
  • для частного: netsh advfirewall set privateprofile state on;
  • для сети общего пользования: netsh advfirewall set publicprofile state on.

При помощи реестра

Способ активации firewall через Редактор реестра:

  • вызвать «Выполнить»;
  • написать символы: regedit;
  • откроется консоль под названием «Редактор реестра»;
  • пройти в конец: HKEY_LOCAL_MACHINE\System\ControlSet001\Services\SharedAccess\Defaults\FirewallPolicy\DomainProfile;
  • отыскать «Enable Firewall»;
  • проверить параметры этой опции (вызвав всплывающее окошко «Изменение параметра»);
  • выставить «1» в строчке «Значение»;

В интерфейсе Защитника Windows

Как включить утилиту через журнал Защитник Виндовс:

  • зайти в Центр безопасности Защитника Windows (через активацию значка «щит»);
  • отыскать «Брандмауэр…»;
  • перейти в этот подраздел;
  • выставить для каждой сети значение «включен».

Services.msc

Способ включения утилиты через Службы:

  • вызвать «Выполнить»;
  • написать символы: smsc;
  • откроется консоль «Службы»;
  • в стандартном списке отыскать «Брандмауэр…»;
  • кликнуть один раз на это слово;
  • запустится окошко «Свойства», в котором находится информация о состоянии и функциях защитника;
  • во вкладке под названием «Общие» выставить значение «Авто» для опции «Тип запуска»;
  • нажать один раз на «Пуск» («Запустить») и «ОК».

Как настроить брандмауэр

Не рекомендуется отключать службу, контролирующую безопасность подключений. При обнаружении конфликтов разрешается выставить исключения для конкретной программы.

Открытие порта

Как открыть порт:

  • активировать консоль «Брандмауэр…» (из «Панели управления»);
  • через «Дополнительные параметры» выполнить активацию режима повышенной безопасности;
  • в окошке «Монитор…» кликнуть на «Правила для входящих подключений»;
  • перейти в подпункт «Действия»;
  • активировать «Создать правило»;
  • автоматически откроется «Мастер создания правила»;
  • обозначить точкой протокол (например, TCP);
  • задать номер определенного локального порта (например, 443);
  • отметить точкой «Разрешить подключение»;
  • указать профили (локальные сети), к которым будет применяться создаваемое правило (доменный, частный, публичный);
  • в новом окошке придумать наименование (например, «Для порта 443»);
  • в конце кликнуть один раз на «Готово».

Как добавить в Исключение

Как отредактировать список исключений:

  • активировать утилиту через Панель управления;
  • в открывшейся консоли отыскать подпункт «Разрешение взаимодействия с приложением…»;
  • появится список «Разрешенные программы и компоненты»;
  • нажать один раз на «Изменить параметры»;
  • отметить галочкой приложения, которым разрешен доступ;
  • если в списке нет конкретной программы, активировать «Разрешить другое…» и прописать путь к файлу с расширением «exe» и кликнуть на «Добавить»;
  • нажать один раз на «ОК».

Блокировка приложения/игры в фаерволе

Как самостоятельно заблокировать доступ для конкретной программы:

  • активировать утилиту через Панель управления;
  • в открывшейся консоли отыскать «Дополнительные параметры»;
  • выполнить активацию режима повышенной безопасности;
  • в окошке «Монитор…» отыскать «Правила для входящих (исходящих) подключений»;
  • перейти в подпункт «Действия»;
  • активировать «Создать правило»;
  • запустится «Мастер…»;
  • указать тип: «Для программы»;
  • отметить точкой «Путь программы» и прописать путь;
  • активировать опцию «Блокировать подключение»;
  • отметить все сети, которые будут блокироваться;
  • придумать наименование и нажать один раз на «Готово».

Firewall Control

Как настроить подключения для конкретных программ через стороннюю утилиту Firewall Control:

  • скачать и запустить сетевой экран «FC»;
  • во вкладке «Programs» выбрать и активировать нужную программу;
  • отобразится разрешенное (отмечено зеленым цветом) или заблокированное (отмечено красным цветом) соединение;
  • в «Event» дан список событий;
  • в «Connections» отображены текущие соединения;
  • в «Setting» можно выполнять нужные настройки.

Что делать, если файрвол не открывается

Бывают случаи, когда с первого раза утилита не запускается. Ничего страшного в этом нет. Проблему можно решить самостоятельно.

Если firewall не открывается, рекомендуется предпринять такие действия:

  • отключить сторонний антивирус, запущенный на ПК (возможен конфликт ПО);
  • проверить устройство на наличие вирусов (вредоносная программа может блокировать работу утилиты);
  • просто перезагрузить ПК;
  • скопировать код ошибки (в появившемся уведомлении), перейти на сайт support.microsoft, отыскать рекомендации;
  • запустить связанные с утилитой службы, без которых она не запускается;

найти решение похожей проблемы на сайте answers.microsoft.com/ru-ru.



Источник: https://it-tehnik.ru/windows10/nastroyka/brandmauer.html

Поделиться:
Нет комментариев

    Добавить комментарий

    Ваш e-mail не будет опубликован. Все поля обязательны для заполнения.