Applies ToWindows 11 Windows 10
Брандмауэр Windows помогает защитить устройство, фильтруя сетевой трафик и блокируя несанкционированный доступ. Он снижает риск угроз сетевой безопасности, ограничивая или разрешая трафик на основе различных свойств, таких как IP-адреса, порты или пути к программе.
Вы можете использовать приложение Безопасность Windows для просмотра состояния брандмауэра Windows и управления им. Вы можете включить или отключить брандмауэр, а также получить доступ к дополнительным параметрам для различных типов сетей, включая доменные (рабочие), частные (доверенные) и общедоступные (ненадежные) сети.
Частные и общедоступные сети
Можно указать, что определенная сеть, к которую подключается устройство, является частной или общедоступной. Ключевое различие заключается в том, разрешено ли другим устройствам в той же сети видеть ваше устройство и, возможно, подключаться к нему.
Ваша домашняя сеть может быть примером частной сети. Теоретически единственными устройствами в ней являются ваши устройства и устройства, принадлежащие вашей семье. Вы в порядке с другими устройствами, которые могут видеть ваши, потому что вы доверяете этим устройствам.
Однако Wi-Fi в вашем местном кафе является общедоступной сетью. Большинство других подключенных к нему устройств принадлежат незнакомым людям, и вы, вероятно, предпочитаете, чтобы они не могли видеть или подключаться к вашему устройству.
Как правило, вы будете иметь более строгие средства контроля безопасности в общедоступной сети, чем в частной сети, просто из-за уровня доверия к другим пользователям и устройствам в этой сети.
Настройка брандмауэра Windows в Безопасность Windows
-
В приложении «Безопасность Windows» на компьютере, выберите Брандмауэр & защиты сети или используйте следующий ярлык:
Брандмауэр & защиты сети
-
Безопасность Windows показывает, к какому типу сети вы подключены в данный момент. Как правило, устройство будет подключено только к одной сети за раз. Выберите профиль сети: Доменная сеть, Частная сеть или Общедоступная сеть
-
В разделеMicrosoft Defender Брандмауэр переключите параметр на Включено , чтобы включить брандмауэр Windows. Для выключения переключите этот параметр в положение Выкл. Отключение брандмауэра Windows может сделать ваше устройство более уязвимым для несанкционированного доступа. Если вам нужно использовать приложение, которое заблокировано, вы можете разрешить его через брандмауэр, а не выключать брандмауэр.
-
В разделе Входящие подключения установлен флажок Блокировать все входящие подключения, в том числе в списке разрешенных приложений. Установка этого флажка указывает брандмауэру Windows игнорировать список разрешенных приложений и блокировать все. Включение этого параметра повышает безопасность, но может привести к прекращению работы некоторых приложений.
Примечание: Если устройство управляется организацией, параметры политики могут препятствовать изменению конфигурации брандмауэра Windows. Для получения дополнительных сведений обратитесь к администратору.
Дополнительные параметры
Ниже приведен список дополнительных параметров, доступных на странице брандмауэра и защиты сети:
-
Разрешить приложению через брандмауэр
. Если брандмауэр блокирует нужное приложение, можно добавить исключение для этого приложения или открыть определенный порт. Дополнительные сведения об этом процессе (и о том, почему вы не захотите) см. в статье Риски, связанные с разрешением приложений через брандмауэр Windows. -
Средство устранения неполадок с сетью и Интернетом: Если у вас возникли общие проблемы с сетевым подключением, вы можете использовать это средство устранения неполадок, чтобы попытаться автоматически диагностировать и устранить их.
-
Параметры уведомлений брандмауэра: Хотите получать больше уведомлений, когда брандмауэр блокирует что-то? Меньше? Узнайте, как настроить уведомления
-
Дополнительные параметры: Откроется классический брандмауэр Защитника Windows, который позволяет создавать правила для входящего или исходящего трафика, правила безопасности подключения и просматривать журналы мониторинга брандмауэра. Большинство людей не хотят копаться в нем, что глубоко; неправильное добавление, изменение или удаление правил может привести к тому, что система станет более уязвимой или может привести к тому, что некоторые приложения не будут работать.
-
Восстановление брандмауэров по умолчанию . Если кто-то или что-то внес изменения в параметры брандмауэра Windows, что приводит к неправильной работе, вы просто в два щелчка от сброса параметров, как они были, когда вы впервые получили компьютер. Если ваша организация применила какие-либо политики для настройки брандмауэра, они будут применены повторно.
Нужна дополнительная помощь?
Нужны дополнительные параметры?
Изучите преимущества подписки, просмотрите учебные курсы, узнайте, как защитить свое устройство и т. д.
Все способы:
- Настройка брандмауэра
- Типы сетей
- Включение и отключение, блокировка, уведомления
- Сброс настроек
- Взаимодействие с программами
- Правила
- Профили
- Практика
- Создание правил для программ
- Работа с исключениями
- Правила для портов
- Заключение
- Вопросы и ответы: 13
Брандмауэр – это встроенный в Windows межсетевой экран (файервол), предназначенный для повышения безопасности системы при работе в сети. В этой статье мы разберем основные функции данного компонента и научимся его настраивать.
Настройка брандмауэра
Многие пользователи пренебрежительно относятся к встроенному файерволу, считая его неэффективным. Вместе с тем, данный инструмент позволяет значительно повысить уровень безопасности ПК с помощью простых инструментов. В отличие от сторонних (особенно бесплатных) программ, брандмауэр довольно легок в управлении, имеет дружественный интерфейс и понятные настройки.
Добраться до раздела опций можно из классической «Панели управления» Windows.
- Вызываем меню «Выполнить» комбинацией клавиш Windows+R и вводим команду
controlЖмем «ОК».
- Переключаемся на режим просмотра «Мелкие значки» и находим апплет «Брандмауэр защитника Windows».
Типы сетей
Различают два типа сетей: частные и общественные. Первыми считаются доверенные подключения к устройствам, например, дома или в офисе, когда все узлы известны и безопасны. Вторыми – соединения с внешними источниками через проводные или беспроводные адаптеры. По умолчанию общественные сети считаются небезопасными, и к ним применяются более строгие правила.
Включение и отключение, блокировка, уведомления
Активировать брандмауэр или отключить его можно, перейдя по соответствующей ссылке в разделе настроек:
Здесь достаточно поставить переключатель в нужное положение и нажать ОК.
Блокировка подразумевает запрет всех входящих подключений, то есть любые приложения, в том числе и браузер, не смогут загружать данные из сети.
Уведомления представляют собой особые окна, возникающие при попытках подозрительных программ выйти в интернет или локальную сеть.
Функция отключается снятием флажков в указанных чекбоксах.
Сброс настроек
Данная процедура удаляет все пользовательские правила и приводит параметры к значениям по умолчанию.
Сброс обычно производится при сбоях в работе брандмауэра в силу различных причин, а также после неудачных экспериментов с настройками безопасности. Следует понимать, что и «правильные» опции также будут сброшены, что может привести к неработоспособности приложений, требующих подключения к сети.
Взаимодействие с программами
Данная функция позволяет разрешить определенным программам подключение к сети для обмена данными.
Этот список еще называют «исключениями». Как с ним работать, поговорим в практической части статьи.
Правила
Правила – это основной инструмент брандмауэра для обеспечения безопасности. С их помощью можно запрещать или разрешать сетевые подключения. Эти опции располагаются в разделе дополнительных параметров.
Входящие правила содержат условия для получения данных извне, то есть загрузки информации из сети (download). Позиции можно создавать для любых программ, компонентов системы и портов. Настройка исходящих правил подразумевает запрет или разрешение отправки запросов на сервера и контроль процесса «отдачи» (upload).
Правила безопасности позволяют производить подключения с использованием IPSec – набора специальных протоколов, согласно которым проводится аутентификация, получение и проверка целостности полученных данных и их шифрование, а также защищенная передача ключей через глобальную сеть.
В ветке «Наблюдение», в разделе сопоставления, можно просматривать информацию о тех подключениях, для которых настроены правила безопасности.
Профили
Профили представляют собой набор параметров для разных типов подключений. Существуют три их типа: «Общий», «Частный» и «Профиль домена». Мы их расположили в порядке убывания «строгости», то есть уровня защиты.
При обычной работе эти наборы активируются автоматически при соединении с определенным типом сети (выбирается при создании нового подключения или подсоединении адаптера – сетевой карты).
Практика
Мы разобрали основные функции брандмауэра, теперь перейдем к практической части, в которой научимся создавать правила, открывать порты и работать с исключениями.
Создание правил для программ
Как мы уже знаем, правила бывают входящие и исходящие. С помощью первых настраиваются условия получения трафика от программ, а вторые определяют, смогут ли они передавать данные в сеть.
- В окне «Монитора» («Дополнительные параметры») кликаем по пункту «Правила для входящих подключений» и в правом блоке выбираем «Создать правило».
- Оставляем переключатель в положении «Для программы» и жмем «Далее».
- Переключаемся на «Путь программы» и жмем кнопку «Обзор».
С помощью «Проводника» ищем исполняемый файл целевого приложения, кликаем по нему и нажимаем «Открыть».
Идем далее.
- В следующем окне видим варианты действия. Здесь можно разрешить или запретить подключение, а также предоставить доступ через IPSec. Выберем третий пункт.
- Определяем, для каких профилей будет работать наше новое правило. Сделаем так, чтобы программа не могла подключаться только к общественным сетям (напрямую к интернету), а в домашнем окружении работала бы в штатном режиме.
- Даем имя правилу, под которым оно будет отображаться в списке, и, по желанию, создаем описание. После нажатия кнопки «Готово» правило будет создано и немедленно применено.
Исходящие правила создаются аналогично на соответствующей вкладке.
Работа с исключениями
Добавление программы в исключения брандмауэра позволяет быстро создать разрешающее правило. Также в этом списке можно настроить некоторые параметры – включить или отключить позицию и выбрать тип сети, в которой она действует.
Подробнее: Добавляем программу в исключения в брандмауэре Windows 10
Правила для портов
Такие правила создаются точно так же, как входящие и исходящие позиции для программ с той лишь разницей, что на этапе определения типа выбирается пункт «Для порта».
Наиболее распространенный вариант применения – взаимодействие с игровыми серверами, почтовыми клиентами и мессенджерами.
Подробнее: Как открыть порты в брандмауэре Windows 10
Заключение
Сегодня мы познакомились с брандмауэром Windows и научились использовать его основные функции. При настройке следует помнить о том, что изменения в существующих (установленных по умолчанию) правилах могут привести к снижению уровня безопасности системы, а излишние ограничения – к сбоям в работе некоторых приложений и компонентов, не функционирующих без доступа к сети.
Наша группа в TelegramПолезные советы и помощь
Для кого эта статья:
- пользователи ПК, интересующиеся основами интернет-безопасности
- родители, желающие защитить детей во время использования интернета
- будущие специалисты в области компьютерной безопасности
В Roblox можно больше, чем просто играть
Научим детей и подростков программировать и создавать миры в Roblox
Что такое брандмауэр и для чего он нужен
Каждое устройство, у которого есть доступ в интернет, связано с глобальной сетью. А потому может не только передавать и принимать информацию, но и стать жертвой вредоносного трафика. Чтобы не допустить этого, компьютер защищают разными средствами. В том числе — с помощью брандмауэра.
Брандмауэр (firewall, межсетевой экран) — это способ защиты устройства, который представляет собой барьер между самим устройством и глобальной сетью.
Основной функцией брандмауэра является защита от сетевых угроз. По принципу работы он похож на магический щит. Брандмауэр не просто отражает входящий трафик, он анализирует его и отделяет безопасный от подозрительного. Так межсетевой экран не даёт злоумышленникам получить доступ к вашему компьютеру через интернет.
Даже его название намекает на то, как он действует. В немецком brandmauer — это глухая противопожарная стена, которая защищает дом и не даёт огню распространяться. Отсюда и второе название экрана — firewall.
От чего защищает брандмауэр
Теперь давайте разберёмся, от каких видов угроз файрвол может уберечь ваше устройство. Сделаем это в таблице ниже.
|
От чего защищает брандмауэр |
|
|---|---|
|
Угроза |
Сущность |
|
Взлом удалённого рабочего стола |
Мошенник подбирает логин и пароль для доступа к удалённому рабочему столу и может украсть персональные данные или конфиденциальную информацию из компании. |
|
Фишинговые сайты |
Чтобы запутать пользователя, злоумышленники создают сайт, один в один похожий на настоящий. А после ждут, пока он введёт свои данные, чтобы перехватить их. Обычно такие сайты отличаются от настоящих 1–2 символами в домене. |
|
Доступ через бэкдор |
Чтобы добраться до личных файлов пользователя, мошенник может воспользоваться уязвимостью в защите устройства, например, открытыми портами. |
|
Компьютерные черви и часть вирусов |
Если пользователь открывает подозрительные сайты, переходит по ссылкам и скачивает непроверенные файлы из разных источников, он рискует заразить компьютер вирусом или червём. Это вредоносные программы, которые могут воспроизводить сами себя в системе и мешают её работе. |
|
DDoS-атаки |
Чтобы нарушить работу сервера, мошенники могут направлять большое количество запросов из разных источников, которые сервер не способен обработать. Тогда он сбоит или перестаёт отвечать совсем. |
|
Шпионские программы |
Чтобы украсть личные данные и следить, что пользователь делает в интернете, злоумышленники прячут шпионские программы в файлы, которые этот пользователь может скачать в сети. |
Но это не значит, что брандмауэр — панацея от всех угроз в интернете. С некоторыми видами опасностей он не справится. Какими именно — рассмотрим в конце статьи, когда будем отвечать на частые вопросы о файрволах.
Вы тоже можете стать специалистом по интернет-безопасности и разрабатывать защитные программы. Начните путь к востребованной профессии с в Skysmart Pro.айти-курсов для детей
Как устроен интернетЧитать →
Как включить брандмауэр и изменить его настройки
Включить файрвол можно в любой операционной системе. Для примера давайте разберём, как это сделать на Windows 10.
Первым делом стоит проверить, включён ли ваш брандмауэр. Для этого перейдите в Параметры → Обновление и безопасность → Безопасность Windows. Здесь можно просмотреть данные о защите вашего компьютера по разным направлениям.
Сейчас нас интересует пункт Брандмауэр и защита сети. Если рядом с его иконкой есть значок с зелёной галочкой, то всё в порядке — межсетевой экран включён и защищает устройство. Если же вместо галочки стоит восклицательный знак в жёлтом треугольнике, значит, есть проблемы. Чтобы решить их, кликаем по кнопке Открыть службу «Безопасность Windows» вверху.
Здесь можно посмотреть, включён ли брандмауэр и для каких сетей. Если он выключен, его можно активировать. Всё, что нужно сделать, — прокликать кнопки Включить у каждого типа сети. И лучше сделать это для всех сетей сразу.
Так, если вы подключитесь к домашней сети, например, через Wi-Fi, будут работать параметры Частная сеть. А когда зайдёте в интернет через открытую точку доступа в кафе или другом общественном месте, брандмауэр применит настройки в пункте Общедоступная сеть.
Теперь, когда вы включили брандмауэр, его нужно настроить. Чтобы быстро найти нужную программу, кликните на значок с изображением лупы на панели задач. Откроется строка поиска. Впишите туда «монитор» и найдите вариант Монитор брандмауэра Защитника Windows в режиме повышенной безопасности.
Кликайте по нему — откроется программа, где можно изменить настройки файрвола. Здесь вы можете посмотреть правила брандмауэра по умолчанию, которые тот использует для разных сетей. Чтобы изменить их так, как вам нужно, нажмите Свойства брандмауэра Защитника Windows.
После этого откроется новое окно с параметрами для входящих и исходящих запросов для трёх типов сетей. Всего есть три варианта параметров для каждого из них:
-
разрешить — сетевой экран блокирует только те подключения, которые указаны в запрещениях;
-
блокировать (по умолчанию) — сетевой экран блокирует все подключения, кроме тех, что указаны в разрешениях;
-
блокировать все подключения — сетевой экран блокирует даже те подключения, которые указаны в разрешениях.
Установите нужные настройки для каждой сети, переключаясь между вкладками сверху. Если нужно, здесь же можно выключить файрвол Windows для одной или нескольких из них.
Что будет, если отключить брандмауэр
Если кратко, то ничего хорошего. Так вы сделаете своё устройство уязвимым перед атаками злоумышленников в интернете. Поэтому в случае, когда вам нужно использовать приложение, которое блокирует брандмауэр, мы советуем настроить доступ к нему, а не выключать защиту Windows полностью.
Это можно сделать в том же окне. Для этого перейдите во вкладку Правила для исходящего подключения и нажмите Создать правило справа. В новом окне выберите тип правила, укажите путь к приложению и сохраните нужные разрешения для каждой сети в настройках. Готово!
Сервер — что это такое?Читать →
Чем можно заменить встроенный брандмауэр
Встроенный в ОС файрвол — не единственный способ обезопасить устройство. Есть и другие программы, которые вы можете установить, чтобы защитить компьютер от угроз. В таблице ниже мы собрали несколько самых надёжных из них.
|
Аналоги встроенного брандмауэра |
|
|---|---|
|
Приложение |
Описание |
|
Comodo Firewall |
Домашний файрвол, который в обзорах часто называют лучшим из бесплатных. Хорошо блокирует вредоносный трафик, позволяет следить за историей проверок, содержит встроенную систему репутации файлов. Можно также установить совмещённый с файрволом антивирус. |
|
Avast! Internet Security |
Бесплатный антивирус со встроенным брандмауэром, один из самых популярных среди пользователей. Хорошо справляется с прямыми атаками. Предлагает режим автопроверки трафика, в котором сам выдаёт разрешения, и управляемую настройку разрешений. В последнем пользователь может выбрать один из 5 уровней доступа для каждого приложения. |
|
PrivateFirewall |
Простой и удобный файрвол. Не занимает много места на диске, радует интуитивно понятным интерфейсом, быстро реагирует на угрозы. Кроме стандартных функций брандмауэра предлагает режим сканирования системы. Из минусов — приложение на английском языке, нет режима автопроверки приложений. |
|
ZoneAlarm Free Firewall |
Ещё один качественный бесплатный файрвол, главный конкурент Comodo Firewall по функциям и популярности. Не требует особых навыков из-за доступного интерфейса, позволяет гибко настраивать разрешения, эффективно справляется с угрозами. Можно также установить совмещённый с файрволом антивирус. |
|
TinyWall |
Файрвол отражает своё название — это маленькая, но полезная программа. Её можно использовать как самостоятельный брандмауэр или как дополнительный к другим системам защиты. Хорошо фильтрует трафик, «дружит» почти со всеми популярными антивирусами, требует мало памяти. Есть и минусы. Например, TinyWall не уведомляет пользователя, когда блокирует что-либо. А ещё не спасает от DDoS-атак. |
Ответы на частые вопросы
А теперь простыми словами ответим на вопросы, которые чаще всего задают пользователи ПК о брандмауэрах и сетевой безопасности.
Какие угрозы может предотвратить брандмауэр и какие — нет?
В начале статьи мы уже писали, что файрвол может защитить компьютер от червей, взлома удалённого рабочего стола, шпионского софта и DDoS. Но это не все угрозы, с которыми может столкнуться ваше устройство. И от некоторых брандмауэр уберечь не сможет, например:
-
уже «живущие» на компьютере вирусы и черви;
-
входящий трафик через VPN;
-
некоторые сложные типы вирусов.
Поэтому важно использовать все инструменты безопасности в комплексе — только так вы защитите своё устройство. Например, всегда держите включёнными и брандмауэр, и антивирус.
Как брандмауэр защищает компьютер или сеть от взломов и вредоносных программ?
Брандмауэр постоянно мониторит входящий трафик. Всё, что поступает на ваше устройство, он проверяет и решает, стоит заблокировать запрос или разрешить его. При этом он записывает всю информацию о проверенном трафике, чтобы вы могли обратиться к истории и узнать, находил ли файрвол угрозы.
Может ли брандмауэр замедлять работу сети или ухудшать качество связи?
Может. Если компьютер отстаёт от современного по техническим характеристикам, файрвол заметно снижает его производительность. Но мы всё равно не рекомендуем жертвовать безопасностью в угоду лишним секундам скорости. Вместо этого советуем улучшить производительность другими доступными методами.
Как ускорить работу компьютераЧитать →
Сегодня мы разобрали термин «брандмауэр»: узнали, что это такое, как включить его на компьютере, и покопались в настройках. Знакомство с ним — это важный этап для всех, кто хочет в будущем стать специалистом по интернет-безопасности. Но помните: белому хакеру важна не только теория, но и практика. Например, в языках программирования.
Если вы ещё не определились, что хотите изучать, приходите на бесплатный вводный урок в Skysmart Pro. Там мы поможем поставить цель и подберём курс программирования, который в будущем даст старт вашей IT-профессии. До встречи на занятии!
Брандмауэр Windows впервые был представлен в 2001 году вместе с выходом SP2 для Windows XP, а современный облик приобрел вместе с выходом Windows Vista, но не смотря на столь преклонный возраст для многих он до сих пор остается чем-то непонятным. Такую ситуацию нельзя считать нормальной, как и полное отключение брандмауэра. Поэтому сегодня мы рассмотрим, как устроен и работает брандмауэр Windows, как он взаимодействует с пользователем и как следует составлять и читать его правила.
Онлайн-курс по устройству компьютерных сетей
На углубленном курсе «Архитектура современных компьютерных сетей» вы с нуля научитесь работать с Wireshark и «под микроскопом» изучите работу сетевых протоколов. На протяжении курса надо будет выполнить более пятидесяти лабораторных работ в Wireshark.
Мы уже не раз и не два говорили, что Microsoft имеет талант давать своим продуктам неудачные названия, которые очень часто становятся еще хуже при переводе на другие языки. Так и в этом случае, основной рабочий интерфейс брандмауэра называется Монитор брандмауэра Защитника Windows в режиме повышенной безопасности.
Длинно, мудрено и еще повышенную безопасность зачем-то приплели, но другого графического интерфейса для управления брандмауэром в Windows нет. Попасть в него можно классическим путем через Панель управления — Брандмауэр Защитника Windows — Дополнительные параметры.
Таже туда ведут несколько разных путей, например, через свойства сетевых подключений, но в разных версиях Windows эти пути могут быть различны и нами не рассматриваются.
Самый же надежный способ попасть в оснастку брандмауэра — это нажать Win + R и выполнить команду:
wf.mscНа главной странице оснастки мы видим общее состояние брандмауэра по профилям и правила, применяемые по умолчанию.
Остановимся на них подробнее. Все правила брандмауэра распределяются по трем профилям: профиль домена, частный и общий профили. Профиль домена включается при входе компьютера в Active Directory и присоединении к доменной сети, частный и общий профили соответствуют частной и общедоступной сетям.
Тип доменной сети всегда выбирается автоматически и не может быть изменен, изменить тип сети с частной на общедоступную и наоборот может сам пользователь. При изменении типа сети будет активирован соответствующий профиль брандмауэра, напротив которого появится надпись — активен.
В зависимости от профиля применяются соответствующие ему правила по умолчанию и предустановленные наборы правил. Например, частный профиль отличается от общедоступного тем, что в нем включено сетевое обнаружение и разрешен общий доступ к файлам и принтерам.
Здесь же мы можем увидеть политики по умолчанию, из коробки для входящих подключений используется схема нормально закрытого брандмауэра, где все входящие подключения, не разрешенные ни одним правилом запрещены, для исходящих подключений используется нормально открытый брандмауэр — все соединения по умолчанию разрешены.
Нажав на Свойства брандмауэра Защитника Windows, мы можем изменить эти значения:
Во-первых, мы можем включить или выключить брандмауэр для каждого из профилей, а также выбрать действие по умолчанию, их ровно три:
- Блокировать — все подключения, не соответствующие ни одному правилу запрещены
- Разрешить — все подключения, не соответствующие ни одному правилу разрешены
- Блокировать все подключения — все подключения запрещены, все разрешающие правила игнорируются
Последнее действие может применяться только к входящим подключениям.
По кнопке Настроить рядом с надписью Защищенные сетевые подключения можно выбрать сетевые интерфейсы, которые будут фильтроваться брандмауэром с выбранным профилем.
Также здесь можно настроить некоторые общие параметры и ведение журналов. И снова мы встречаем неудачную формулировку. Журналы брандмауэра нужны далеко не только для устранения неполадок.
Теперь перейдем к принципам составления правил, сразу запоминаем — порядок правил в брандмауэре Windows не имеет никакого значения, но используются следующие соглашения:
- Явно заданное разрешающее правило имеет приоритет над запретом по умолчанию
- Явно заданное запрещающее правило имеет приоритет над любыми разрешающими
- При пересечении правил приоритет имеет более узкое правило (с более точно заданными критериями)
На первый взгляд все достаточно просто и ясно, но отдельного пояснения требуют запрещающие правила. Они имеют абсолютный приоритет в рамках указанных критериев и даже пересекаясь с более узкими разрешающими все равно блокируют их.
Например, вы создали запрещающее правило для сети-источника 192.168.1.0/24, теперь даже если вы создадите отдельное разрешающее правило для узла 192.168.1.100/32 — оно работать не будет, так как будет перекрываться явно заданным запрещающим.
Разработчики рекомендуют создавать собственные правила с достаточно точным описанием критериев, но при этом, по возможности, объединять адреса и порты в диапазоны, чтобы избежать снижения производительности из-за большого числа правил.
Теперь перейдем в раздел Правила для входящих подключений, и мы увидим тут большое количество разрешающих правил, часть из них — правила по умолчанию, другая — создана автоматически.
В целом — картина привычная. Но мы еще раз обратим внимание, что данный раздел отвечает за входящие подключения, т.е. всем перечисленным здесь приложениям мы разрешаем принимать входящие подключения, хотя части из них — это явно не нужно.
Почему так? Здесь мы еще раз сталкиваемся с плохим пользовательским интерфейсом. При первом запуске приложения, для которого нет ни одного правила в брандмауэре система показывает пользователю следующее диалоговое окно:
Давайте несколько раз внимательно прочитаем его содержимое, из которого очень трудно понять, что именно мы разрешаем. А так как там написано, что брандмауэр заблокировал некоторые функции, то большая часть пользователей поймет это как ограничение функционала приложения и нажмет Разрешить.
Поздравляем, вы только что разрешили указанному приложению принимать входящие подключения, т.е. выставили его в сеть в обход брандмауэра. Если же мы нажмем Отменить, то будут созданы правила запрещающие входящие подключения данному приложению, хотя они и так по умолчанию запрещены.
По рекомендациям Microsoft данные правила должны создаваться в трех экземплярах, по одному для каждого профиля, однако не все приложения их соблюдают, например, AnyDesk создает правила согласно рекомендациям, в то время как другие приложения ограничиваются только текущим профилем.
В любом случае рекомендуем проверить список правил для входящих подключений и убрать оттуда лишнее. При этом не стоит удалять сами правила, иначе указанное выше диалоговое окно будет показано вновь. Поэтому либо отключите его, либо измените разрешающее действие на запрещающее.
Если мы заглянем в Правила для исходящих подключений, то увидим там целый ряд разрешающих правил, по больше части предопределенных, хотя, казалось бы, смысл в них отсутствует, зачем разрешать то, что уже разрешено?
Но есть рекомендации разработчиков, которые советуют задавать явные правила исходящих подключений для одного или нескольких профилей для работы при переключении политики по умолчанию с Разрешить на Блокировать. В этом случае работу с сетью продолжат только приложения, для которых есть явно заданные правила.
Кстати, такой режим можно использовать для сетей с лимитированным трафиком, разрешив работу с сетью только отдельным приложениям и отдельным сетевым размещениям. И все это сугубо стандартными средствами.
Теперь перейдем к самому созданию правил, на выбор предлагается несколько шаблонов: Для программы, Для порта, Предопределенные. Если ничего из этого не устраивает — то выбираем Настраиваемые и задаем все критерии самостоятельно.
Достаточно необычным для брандмауэров тут является возможность выбрать программу или службу, к которой будут применяться наши правила, надо сказать — это достаточно удобно, особенно если приложение работает с динамическими портами или использует несколько разных портов и протоколов, что позволяет избежать создания множества правил и ограничиться одним.
Следующий шаг — Протокол и порты, тут все уже более-менее привычно, выбираем требуемый протокол из списка или указываем его номер, ниже задаем локальные и удаленные порты (если это применимо к выбранному протоколу). И снова сталкиваемся с собственной «терминологией» Microsoft, помним, что для входящих подключений локальный порт — это порт назначения, а удаленный порт — порт источника, для исходящих, соответственно, наоборот.
После чего следует задать область действия правила, здесь все аналогично, помним, что локальные адреса — это адреса назначения, удаленные — адреса источника.
Далее следует задать действие, разрешить или заблокировать и выбрать один или несколько профилей в которых будет действовать правило. А также задать имя и описание. Рекомендуется задавать понятные имена, чтобы по ним быстро можно было определить назначение правила. При необходимости добавляем подробности в описании.
Как видим, в общем и целом, брандмауэр Windows достаточно стандартный продукт своего класса с неплохими возможностями, позволяющий обеспечить как базовые основы сетевой безопасности, так и выполнять достаточно тонкую настройку без привлечения сторонних продуктов.
Онлайн-курс по устройству компьютерных сетей
На углубленном курсе «Архитектура современных компьютерных сетей» вы с нуля научитесь работать с Wireshark и «под микроскопом» изучите работу сетевых протоколов. На протяжении курса надо будет выполнить более пятидесяти лабораторных работ в Wireshark.
Не все знают, что встроенный фаервол или брандмауэр Windows позволяет создавать расширенные правила сетевых подключений для достаточно мощной защиты. Вы можете создавать правила доступа к Интернету для программ, белые списки, ограничивать трафик для определенных портов и IP адресов, не устанавливая сторонних программ-фаерволов для этого.
Стандартный интерфейс брандмауэра позволяет настроить основные правила для публичных и частных сетей. Дополнительно к этому, вы можете настроить расширенные варианты правил, включив интерфейс брандмауэра в режиме повышенной безопасности — эта функция доступна в Windows 10, 8 (8.1) и Windows 7. См. также: Как запретить программе доступ в Интернет.
Есть несколько способов перейти к расширенному варианту. Самый простой из них — зайти в Панель управления, выбрать пункт «Брандмауэр Windows», а затем, в меню слева кликнуть по пункту «Дополнительные параметры».
Настройка сетевых профилей в брандмауэре
Брандмауэр Windows использует три различных сетевых профиля:
- Профиль домена — для компьютера, подключенного к домену.
- Частный профиль — используется для подключений к частной сети, например, рабочей или домашней.
- Общий профиль — используется для сетевых подключений к публичной сети (Интернет, публичная точка доступа Wi-Fi).
При первом подключении к сети, Windows предлагает вам выбор: общественная сеть или частная. Для различных сетей может использоваться разный профиль: то есть, при подключении вашего ноутбука к Wi-Fi в кафе может использоваться общий профиль, а на работе — частный или профиль домена.
Для настройки профилей, нажмите «Свойства брандмауэра Windows». В открывшемся диалоговом окне вы можете настроить базовые правила для каждого из профилей, а также задать сетевые подключения, для которых будет использован тот или иной из них. Отмечу, что если вы заблокируете исходящие подключения, то при блокировке вы не увидите каких-либо уведомлений брандмауэра.
Создание правил для входящих и исходящих подключений
Для того, чтобы создать новое правило входящего или исходящего сетевого подключения в брандмауэре, выберите соответствующий пункт в списке слева и кликните по нему правой кнопкой мыши, после чего выберите пункт «Создать правило».
Откроется мастер создания новых правил, которые делятся на следующие типы:
- Для программы — позволяет запретить или разрешить доступ к сети конкретной программе.
- Для порта — запрет или разрешение для порта, диапазона портов или протокола.
- Предопределенные — использование предопределенного правила, включенного в Windows.
- Настраиваемые — гибкая настройка комбинации блокировки или разрешений по программе, порту или IP-адресу.
В качестве примера попробуем создать правило для программы, например, для браузера Google Chrome. После выбора пункта «Для программы» в мастере потребуется указать путь к браузеру (имеется также возможность создать правило для всех программ без исключения).
Следующим шагом требуется указать, следует ли разрешить подключение, разрешить только безопасное подключение или блокировать его.
Предпоследний пункт — указать для каких из трех сетевых профилей будет применено данное правило. После этого также следует задать имя правила и его описание при необходимости, и нажать «Готово». Правила вступают в силу немедленно после создания и появляются в списке. При желании, вы можете в любой момент удалить, изменить или временно отключить созданное правило.
Для более тонкой настройки доступа, вы можете выбрать настраиваемые правила, которые можно применить в следующих случаях (просто несколько примеров):
- Нужно запретить всем программам подключаться к определенному IP или порту, использовать конкретный протокол.
- Требуется задать список адресов, к которым разрешено подключаться, запретив все остальные.
- Настроить правила для служб Windows.
Настройка конкретных правил происходит практически тем же образом, что был описан выше и, в целом, не представляет особой сложности, хотя и требует некоторого понимания того, что именно делается.
Брандмауэр Windows в режиме повышенной безопасности позволяет также настраивать правила безопасности подключения, связанные с проверкой подлинности, однако рядовому пользователю эти возможности не потребуются.