Настройки брандмауэра windows xp где находится

Решение проблем при работе с Брандмауэром Windows в ОС Microsoft Windows XP Service Pack 2. Часть I

Брандмауэр (сетевой экран) – это защитный барьер между компьютером или сетью и внешним миром. Брандмауэр Windows (Windows Firewall), включённый в ОС Windows XP Service Pack 2 (SP2) представляет собой узловой брандмауэр, регистрирующий состояние связи. Он блокирует входящий трафик, поступающий на компьютер без запроса и не определённый в качестве допустимого (исключённого из фильтрации). Таким образом, Windows Firewall обеспечивает необходимый уровень защиты от злонамеренных пользователей и программ, использующих для атак незапрашиваемый трафик. При этом, за исключением некоторых сообщений Протокола межсетевых управляющих сообщений (ICMP), Брандмауэр Windows не блокирует исходящий трафик.

В отличие от Брандмауэра подключения к Интернету (Internet Connection Firewall (ICF)), входящего в состав ОС Windows XP Service Pack 1 (SP1) или Windows XP без пакетов обновлений, Брандмауэр Windows предназначен для использования с любыми сетевыми подключениями, включая общедоступные из Интернета, подключения к локальным офисным и домашним сетям, а также к частным сетям организаций.

Во многих корпоративных сетях, использующих Windows XP SP1 или Windows XP без пакетов обновлений, на внутренних подключениях ICF не задействуется, так как компьютеры в таких сетях не доступны из Интернета напрямую. Брандмауэр, прокси и другие системы безопасности корпоративных сетей обеспечивают некоторый уровень защиты от внешних угроз для компьютеров, входящих в интрасеть. Однако отсутствие узловых брандмауэров, подобных Брандмауэру Windows, на подключениях к интрасети делает компьютеры уязвимыми для вредоносных программ, заносимых в закрытую сеть через мобильные компьютеры.

Допустим, сотрудник компании подключает служебный ноутбук к домашней сети, не имеющей достаточного уровня защиты. Поскольку сетевое подключение ноутбука не защищено брандмауэром, ноутбук оказывается заражён вредоносной программой (вирусом или червём), использующей для своего распространения незапрашиваемый трафик. Сотрудник приносит ноутбук обратно в офис и подключает его к интрасети предприятия, эффективно обходя, таким образом, системы безопасности, находящиеся на границе интрасети с Интернетом. Получив доступ к интрасети, вредоносная программа начинает заражать другие компьютеры. Если бы Брандмауэр Windows был активирован по умолчанию, ноутбук бы не был инфицирован через домашнюю сеть. Однако даже при подключении заражённого вирусом компьютера к интрасети, входящие в неё компьютеры могли бы отразить атаку вредоносного кода с помощью Брандмауэра Windows.

При работе клиентских программ на компьютерах под управлением ОС Windows XP SP2 использование Брандмауэра Windows не мешает передаче данных. Доступ к сети, электронная почта, групповая политика, агенты управления, запрашивающие обновления с управляющего сервера – примеры клиентских программ. При их выполнении соединение всегда инициируется клиентским компьютером, и весь трафик, отправляемый с сервера в ответ на запрос, разрешается брандмауэром в качестве запрашиваемого входящего трафика.

В ОС Windows XP SP1 или Windows XP без пакетов обновлений брандмауэр ICF по умолчанию отключен для любых соединений, его активация на подключении к Интернету осуществляется с помощью Мастера настройки сети (Network Setup Wizard) или Мастера подключения к Интернету (Internet Connection Wizard) . Возможно включение ICF вручную, путём установки единственного флажка на вкладке Дополнительно в свойствах соединения, где Вы также можете задать исключаемый трафик, определив порты TCP или UDP.

В ОС Windows XP SP2 Брандмауэр Windows активирован по умолчанию для всех соединений; исключения для него могут быть заданы с помощью компонента Панели управления (Control Panel) Брандмауэр Windows , доступного из нового Центра обеспечения безопасности Windows (Security Center). Для получения дополнительной информации, смотрите Ручная настройка Брандмауэра Windows в ОС Windows XP Service Pack 2 Manually Configuring Windows Firewall in Windows XP Service Pack 2 (EN).

При активации Брандмауэра Windows для сетевого подключения, в папке Сетевые подключения (Network Connections) на соответствующем значке появляется изображение замка. Если выбрать такое соединение, в его описании отобразится статус Подключено (Enabled), Защищено брандмауэром (Firewalled) . На рисунке ниже приводится пример, в котором Брандмауэром Windows защищены все подключения компьютера.

Описание работы Брандмауэра Windows

Брандмауэр Windows — это брандмауэр для входящего трафика, регистрирующий состояние связи. В отличие от сетевых экранов на основе маршрутизаторов, устанавливаемых между закрытыми сетями и Интернетом, Брандмауэр Windows работает в качестве узлового брандмауэра, т. е. обрабатывает только трафик, направленный на IP-адрес данного компьютера.

Работа Брандмауэра основана на выполнении следующей операции:

• Входящий пакет проверяется и сопоставляется со списком разрешённого трафика. Если пакет соответствует одному из пунктов в списке, Брандмауэр Windows разрешает прохождение этого пакета для дальнейшей обработки по протоколу TCP/IP. В случае несоответствия пакета записям в перечне разрешений, Брандмауэр Windows без уведомления пользователя отбрасывает данный пакет, и, если включена регистрация данного типа событий, создаёт запись в файле журнала Брандмауэра Windows.

Трафик в списке исключений определяется с помощью указания IP-адресов, TCP и UDP портов. Нельзя задать правила для трафика на основании поля протокола IP в заголовке IP.

Список разрешённого трафика наполняется двумя путями:

• При прохождении исходящего пакета через подключение, защищённое Брандмауэром Windows, создаётся запись, разрешающая ответ на данный пакет. Ответный трафик является запрашиваемым входящим трафиком.

Например, если на DNS-сервер посылается запрос на сопоставление имени (Name Query Request), Брандмауэр Windows создаёт запись о том, что соответствующее сообщение-ответ (Name Query Response), отправленное сервером DNS, может быть передано для дальнейшей обработки по протоколу TCP/IP. Такое функционирование позволяет отнести Брандмауэр Windows к брандмауэрам, регистрирующим состояние связи: сохраняется информация о трафике, инициированном компьютером, так что соответствующий ответный входящий трафик разрешается.

• Исключения для трафика, задаваемые Брандмауэру Windows, заносятся в список. Наличие этой возможности позволяет компьютеру, работающему в качестве сервера, приёмника или равноправного узла сети и использующему Брандмауэр Windows, принимать незапрашиваемый трафик.

Например, если компьютер выступает в роли веб-сервера, Вам следует настроить Брандмауэр Windows на исключение из фильтрации веб-трафика, чтобы компьютер мог отвечать на запросы веб-клиентов. Исключения могут быть заданы как для программ (в этом случае порты, открываемые указанной программой, автоматически будут добавляться в список исключений), так и для TCP и UDP портов (которые будут открыты независимо от того, работают использующие их приложения и службы или нет).

Наиболее распространённые проблемы с Брандмауэром Windows

• При использовании Брандмауэра Windows наиболее часто встречаются следующие проблемы:
• Невозможно настроить Брандмауэр Windows
• При выполнении команды ping отсутствует отклик с компьютера
• Игровой, веб- или иной сервер не доступен из Интернета
• Нет доступа к общим папкам и принтерам
• В папке Сетевое окружение не отображаются компьютеры сети.
• Не работает Удалённый помощник

Невозможно настроить Брандмауэр Windows

Если все настройки на вкладках Общие (General) , Исключения (Exceptions) и Дополнительно (Advanced) в свойствах Брандмауэра оказываются недоступны (отображаются серыми), значит, Вы не являетесь членом локальной группы Администраторы (далее в данной статье – администратором компьютера). Настраивать Брандмауэр Windows можно, только имея права администратора.

Если недоступными являются некоторые из настроек на вкладках Общие , Исключения и Дополнительно в свойствах Брандмауэра, то Ваш компьютер либо:

• Входит в сеть, администратор которой применил групповую политику Брандмауэра Windows для активации и настройки функций Брандмауэра Windows. Групповая политика Брандмауэра Windows влияет на настройки, задаваемые администратором компьютера. В этом случае в верхней части диалогового окна Брандмауэра Windows появляется сообщение «Для Вашей безопасности некоторые настройки определяются групповой политикой» (For your security, some settings are controlled by Group Policy).

Обратитесь за дополнительной информацией к сетевому администратору.

• Не входит в домен и работает под управлением ОС Windows XP Professional, но функционирование Брандмауэра определяется локальной групповой политикой.

Для сброса настроек локальной групповой политики, регулирующих работу Брандмауэра Windows, откройте оснастку Политика «Локальный компьютер» (Local Computer Policy) и установите все значения в ветке Конфигурация компьютера\Административные шаблоны\Сеть\Сетевые подключения\Брандмауэр Windows (Computer Configuration\Administrative Templates\Network\Network Connections\Windows Firewall) в папках Профиль домена (Domain Profile) и Стандартный профиль (Standard Profile) как Не задана (Not Configured) .

Отсутствие отклика с компьютера при выполнении команды ping

Обычным средством при устранении проблем с соединениями является использование процедуры ping для проверки канала связи до IP-адреса компьютера, с которым Вы устанавливаете соединение. Используя команду ping, Вы посылаете эхо-запрос ICMP и получаете эхо-ответ ICMP. По умолчанию Брандмауэр Windows не принимает входящие эхо-запросы ICMP, и компьютер не может отправить эхо-ответ ICMP. Чтобы локально настроить Брандмауэр Windows на приём эхо-запросов ICMP, Вам следует активировать настройку Разрешать запрос входящего эха (Allow incoming echo request) в диалоговом окне Параметры ICMP (ICMP) , доступном из настроек ICMP на вкладке Дополнительно (Advanced) диалогового окна Брандмауэр Windows . Пример показан на рисунке.

Вы также можете разрешить приём эхо-запросов ICMP для конкретного подключения, перейдя с вкладки Дополнительно (Advanced) в Свойствах (Properties) выбранного подключения в диалоговое окно Брандмауэр Windows (Windows Firewall) (нажав кнопку Параметры (Settings) в разделе Брандмауэр Windows (Windows Firewall) ), а оттуда – на вкладку Дополнительно (Advanced) и в диалоговое окно Параметры ICMP (ICMP) , нажав кнопку Параметры (Settings) в разделе Протокол ICMP (ICMP) .

Если Ваш компьютер входит в домен, Вы также можете задать исключения для ICMP через настройку Групповой политики Брандмауэра Windows. Для получения дополнительной информации, смотрите Применение настроек Брандмауэра Windows в ОС Windows XP Service Pack 2 Deploying Windows Firewall Settings for Microsoft Windows XP with Service Pack 2 (EN).

Примечание . Параметры Брандмауэра Windows могут изменять только администраторы компьютера, если это не противоречит настройкам групповой политики для Брандмауэра Windows.

Если приём эхо-запросов ICMP разрешен, с Вашего компьютера можно будет получить отклик с помощью команды ping. Однако при этом он станет уязвимым для атак, основанных на использовании эхо-запросов ICMP. Поэтому рекомендуется активировать настройку Разрешать запрос входящего эха (Allow incoming echo request) , только когда в этом есть необходимость, и выключать её, если она не нужна.

Игровой, веб- или иной сервер не доступен из Интернета

Если приложение или служба находится в состоянии ожидания незапрашиваемого входящего трафика (например, на сервере, приёмнике или равноправном узле сети), Брандмауэр Windows с настройками по умолчанию будет отклонять такой трафик, пока не будут заданы соответствующие исключения. Исключения для приложений, ожидающих незапрашиваемый трафик, задаются следующими способами:

• Активацией предустановленных исключений на вкладке Исключения (Exceptions) диалогового окна Брандмауэр Windows (Windows Firewall) . К предустановленным исключениям относятся Общий доступ к файлам и принтерам, Удалённый помощник, Дистанционное управление рабочим столом и UpnP-инфраструктура.
• Вручную из вкладки Исключения (Exceptions) диалогового окна Брандмауэр Windows (Windows Firewall) .
• При запросах на создание исключений от приложений, использующих вызовы функций API (application programming interface, интерфейса программирования приложений) Брандмауэра Windows. Чтобы исключения были созданы, необходимо, чтобы приложение запускал администратор компьютера.

Если приложение не использует вызовы API Брандмауэра Windows и при работе пытается прослушивать TCP или UDP порты, Брандмауэр Windows с помощью диалогового окна Оповещение системы безопасности Windows (Windows Security Alert) запрашивает администратора компьютера, следует ли добавить приложение в список исключений на вкладке Исключения (Exceptions) диалогового окна Брандмауэр Windows (Windows Firewall), при этом заблокировав трафик для всех пользователей (опция Блокировать (Keep blocking) ), или добавить приложение в список исключений и разрешить его трафик для всех пользователей (опция Разблокировать (Unblock) ), или заблокировать незапрашиваемый трафик в этот раз и повторить запрос при следующем запуске приложения (опция Отложить (Ask Me Later) ).

Чтобы узнать путь к приложению, отображаемому в диалоговом окне Оповещение системы безопасности Windows (Windows Security Alert) , наведите курсор мыши на название или описание приложения. Путь будет показан в появившейся подсказке.

Если пользователь не имеет прав администратора компьютера, в диалоговом окне Оповещение системы безопасности Windows (Windows Security Alert) отобразится сообщение о том, что трафик блокируется, и будет предложено обратиться за дальнейшей информацией к сетевому администратору.

Работа Брандмауэра Windows со службами не настраивается через диалоговое окно Оповещение системы безопасности Windows (Windows Security Alert) . Поэтому Вам следует задать исключения для служб вручную:

• С помощью команд контекста netsh firewall .
• Через установки групповой политики для Брандмауэра Windows.

Задать исключения вручную можно либо с помощью имён приложений, что позволяет Брандмауэру Windows автоматически открывать и закрывать все порты, требуемые службе или программе, либо путём определения TCP и UDP портов, которые будут открыты независимо от того, работают использующие их приложения или нет. С точки зрения безопасности и простоты настройки, установка исключений по именам программ является более предпочтительным методом по сравнению с указанием открытых портов.

Чтобы вручную задать исключения для программ, сделайте следующее:

1. Нажмите кнопку Пуск (Start) , перейдите в Панель управления (Control Center) , затем в Центр обеспечения безопасности (Security Center) и выберите Брандмауэр Windows (Windows Firewall) .
2. Перейдите на вкладку Исключения (Exceptions) .
3. Нажмите Добавить программу (Add Program) и выберите программу (приложение или службу) из списка или с помощью кнопки Обзор (Browse) . Если нужно, задайте область значений. Для получения дополнительной информации по указанию области, смотрите Ручная настройка Брандмауэра Windows в ОС Windows XP Service Pack 2 Manually Configuring Windows Firewall in Windows XP Service Pack 2 (EN).
4. Нажмите ОК для подтверждения заданных исключений.

Чтобы вручную задать исключения для портов, сделайте следующее:

1. Нажмите кнопку Пуск (Start) , перейдите в Панель Управления (Control Panel) , затем в Центр обеспечения безопасности (Security Center) и выберите Брандмауэр Windows (Windows Firewall) .
2. Перейдите на вкладку Исключения (Exceptions) .
3. Нажмите Добавить порт (Add Port) , задайте имя и номер TCP или UDP портов и, если потребуется, область значений.
4. Нажмите ОК для подтверждения заданных исключений.

Примечание . Задавать исключения на основе IP-протокола нельзя.

Чтобы определить, для каких портов необходимо задавать исключения, обратитесь к документации программы или на сайт её производителя за информацией о настройке брандмауэров для разрешения необходимого трафика. Если Вам не удаётся определить трафик, используемый программой, или программа не работает после задания исключений, смотрите раздел « Общие методы определения и настройки исключений » в данной статье.

Применение исключений для TCP и UDP портов эффективно только при работе с программами, использующими статические порты. Такие программы работают с постоянными, не изменяющимися наборами портов. Однако некоторые программы используют динамические порты, меняющиеся при каждом запуске программы или в процессе её работы. Приложение, принимающее трафик через динамические порты, следует вносить в список исключений для программ, а не портов.

Нет доступа к общим папкам и принтерам

Если на компьютере с работающим Брандмауэром Windows нет доступа к общим файлам или принтерам, Вам следует активировать предустановленное исключение для Общего доступа к файлам и принтерам (File and Printer Sharing) на вкладке Исключения (Exceptions) диалогового окна Брандмауэр Windows (Windows Firewall) .

Примечание . На компьютерах, имеющих прямое соединение с Интернетом (на управляемых компьютерах в Стандартном профиле), активация исключения для Общего доступа к файлам и принтерам (File and Printer Sharing) категорически не рекомендуется, так как в этом случае злонамеренные пользователи могут попытаться получить доступ к общим файлам и угрожать безопасности Ваших данных. В малых домашних и офисных (SOHO) сетях с единственной подсетью применяйте исключение для Общего доступа к файлам и принтерам только для прямых подключений к подсети SOHO и для области локальной подсети (опция Только локальная сеть (подсеть) (My network (subnet) only) в диалоговом окне Изменение области (Change Scope) ).

Не удаётся управлять удалённым компьютером, на котором работает Брандмауэр Windows

Если Вам не удаётся осуществлять удалённое управление компьютером, на котором работает Брандмауэр Windows, Вам следует активировать предустановленное исключение для Удалённого Помощника (Remote Assistance) на вкладке Исключения (Exceptions) диалогового окна Брандмауэр Windows (Windows Firewall) .

Примечание . Активация исключения для Удалённого Помощника (Remote Assistance) на компьютерах, напрямую подключенных к Интернету (на управляемых компьютерах в Стандартном профиле), крайне нежелательна, так как в этом случае злонамеренные пользователи могут попытаться удалённо контролировать Ваш компьютер. В малых домашних и офисных (SOHO) сетях с единственной подсетью применяйте исключение для Удалённого помощника (Remote Assistance) только для прямых подключений к подсети SOHO и для области локальной подсети (опция Только локальная сеть (подсеть) (My network (subnet) only) ) в диалоговом окне Изменение области (Change Scope) ).

В папке Сетевое окружение не отображаются компьютеры сети

Причина проблемы здесь та же, что и при отсутствии доступа к общим папкам и принтерам. Если в окне Сетевое окружение после включения Брандмауэра Windows не видны компьютеры Вашей частной сети, Вам следует активировать предустановленное исключение для Общего доступа к файлам и принтерам (File and Printer Sharing) на вкладке Исключения (Exceptions) в свойствах Брандмауэра Windows.

Примечание . Активация исключения для Общего доступа к файлам и принтерам (File and Printer Sharing) на компьютерах, имеющих прямое соединение с Интернетом, категорически не рекомендуется, так как в этом случае злонамеренные пользователи могут попытаться получить доступ к общим файлам и угрожать безопасности Ваших данных. В малых домашних и офисных (SOHO) сетях с единственной подсетью применяйте исключение для Общего доступа к файлам и принтерам только для прямых подключений к подсети SOHO и для области локальной подсети (опция Только локальная сеть (подсеть) (My network (subnet) only) ) в диалоговом окне Изменение области (Change Scope) ).

Удалённый помощник не работает

Для получения информации о настройке Брандмауэра для использования Удалённого помощника, обратитесь к Приложению D в Применение настроек Брандмауэра Windows в ОС Windows XP Service Pack 2 Deploying Windows Firewall Settings for Microsoft Windows XP with Service Pack 2 (EN).

Как определить, настроен ли Брандмауэр Windows с помощью групповой политики

Для компьютеров, принадлежащих домену, конфигурация Брандмауэра Windows складывается из локальных настроек, сохраняемых в реестре, и установок групповой политики. При решении проблем часто бывает полезно знать, действуют ли в отношении Брандмауэра только локальные настройки или также и установки групповой политики, и, в последнем случае, какой из профилей Брандмауэра Windows задействован (Профиль домена или Стандартный профиль). Для определения профиля, который необходимо применить, ОС Windows XP SP2 выполняет проверку параметров сети. Для получения дополнительной информации, смотрите Определение конфигурации сети для применения сетевых настроек групповой политики Network Determination Behavior for Network-Related Group Policy Settings (EN).

Чтобы определить сетевые параметры, выполните команду netsh firewall show state verbose=enable в командной строке. Вот пример первой секции экрана :

——————————————————————-

Профиль = Обычный

Рабочий режим = Enable

Режим исключения = Enable

Режим многоадр./широковещ. ответов = Enable

Режим уведомления = Enable

Версия групповой политики = Нет

Режим удаленного администрирования = Disable

Область: *

В разделе «Состояние брандмауэра» (“Firewall status”) посмотрите на значения параметров «Профиль» (“Profile”) и «Версия групповой политики» (“Group Policy Version”). В приведённой таблице перечисляются варианты значений этих параметров и их смысл.

Значение параметра «Профиль»	Значение параметра «Версия групповой политики»	Описание
Обычный	Нет	Групповая политика Брандмауэра не определена. На компьютере действуют только локальные настройки Брандмауэра.
Обычный	Брандмауэр Windows	На компьютере действуют настройки групповой политики Брандмауэра.
Domain	Нет	Компьютер подключен к сети, содержащей Ваш домен, но групповая политика Брандмауэра не определена.
Domain	Legacy Firewall (ICF)	Применена установка групповой политики Запретить использование общего доступа к подключению Интернета в сети DNS-домена (Prohibit use of Internet Connection Firewall on your DNS domain network) , и групповая политика Брандмауэра Windows не определена.
Domain	Брандмауэр Windows	Компьютер подключен к сети, содержащей Ваш домен, и на нём действуют настройки групповой политики Брандмауэра Windows.

Примечание . Активация настройки групповой политики Запретить использование общего доступа к подключению Интернета в сети DNS-домена (Prohibit use of Internet Connection Firewall on your DNS domain network) может отключить Брандмауэр Windows (в этом случае параметр «Рабочий режим» (“Operational Mode”) на экране, отображающемся после выполнения команды netsh , принимает значение «Disable»), если при этом не включена настройка групповой политики Брандмауэра Windows Защитить все сетевые подключения (Windows Firewall: Protect All Network Connections) .

Чтобы определить, было ли исключение для приложения или порта задано в локальных настройках или через групповую политику, просмотрите разделы «Исключения для программ» («Program exceptions») и «Исключения для порта» («Port exceptions») в содержании экрана, выводимого командой netsh firewall show state verbose=enable . Эти разделы отображаются в виде таблиц, содержащих списки исключений. В каждой таблице имеется столбец «Локальная политика» (“Local Policy”). Если выбранному исключению в этом столбце сопоставлено значение «Да», значит, данное исключение было задано через настройки локальной политики. Если это значение «Нет», то исключение было установлено через настройки групповой политики.

Ниже приведён пример фрагмента раздела экрана «Исключения для порта», выводимого командой netsh firewall show state verbose=enable

Примечание. Некоторые строки кода перенесены для удобства чтения.

Исключения для порта:

Порт Протокол Лок. политика Режим Имя / Тип службы

137 UDP Да Enable Служба имени NetBIOS / Общий доступ к файлам и принтерам

138 UDP Да Enable Служба датаграмм NetBIOS / Общий доступ к файлам и принтерам

139 TCP Да Enable Служба сеанса NetBIOS / Общий доступ к файлам и принтерам

445 TCP Да Enable SMB поверх TCP / Общий доступ к файлам и принтерам

3389 TCP Нет Enable Дистанционное управление рабочим столом / Дистанционное управление рабочим столом

В этом примере все исключения для портов, кроме заданного для Дистанционного управления рабочим столом, определены через настройки локальной политики.

Для получения полного списка настроек Брандмауэра Windows, определённых через групповую политику, используйте оснастку Результирующая политика (Resultant Set of Policy (RSOP)). Дополнительная информация содержится в Справке и поддержке Windows XP.

Общие методы определения и настройки исключений

Если работа приложения или службы нарушается из-за блокирования Брандмауэром Windows незапрашиваемого входящего трафика, то вместо того, чтобы отключать сам Брандмауэр Windows, следует задать ему исключения таким образом, чтобы блокируемый трафик был разрешён. Отключение Брандмауэра Windows не рекомендуется, так как это сделает Ваш компьютер уязвимым для злоумышленников и вредоносных программ, если Вы при этом не используете сетевой экран от стороннего производителя.

Как описывается в разделе данной статьи « Игровой, веб- или иной сервер не доступен из Интернета », Брандмауэр Windows уведомляет пользователя, когда приложения пытаются прослушивать порты. В зависимости от выбранного пользователем варианта ответа в диалоговом окне Оповещение системы безопасности Windows (Windows Security Alert) , приложение либо добавляется в список исключений на вкладке Исключения (Exceptions) , при этом трафик блокируется (опция Блокировать (Keep blocking) ), либо добавляется в список исключений с разрешением трафика (опция Разблокировать (Unblock) ), либо не добавляется в список и блокируется (опция Отложить (Ask Me Later) ). Если Вы выбираете вариант Блокировать (Keep Blocking) , разрешить трафик для этого приложения в случае необходимости Вы сможете из вкладки Исключения (Exceptions) диалогового окна Брандмауэр Windows (Windows Firewall) . Исключения могут задаваться как приложениями при использовании API Брандмауэра Windows, так и вручную.

Службы Windows, в отличие от приложений, не задействуют оповещения Брандмауэра Windows для автоматического создания и активации исключений. Исключения для служб Windows задаются либо службой, использующей API Брандмауэра Windows, либо ручной настройкой путём указания исключаемых программ или портов. Если служба запускается исполняемым файлом (таким, как *.exe), Вы можете задать исключение для программы. Если служба запускается другой службой, подобной Svchost.exe, Вам следует указать исключаемые порты.

Если требуется задать исключения для портов или сообщений ICMP, используемых какой-либо службой, то для определения нужных TCP или UDP портов, а также сообщений ICMP, обращайтесь к документации данной службы Windows или на соответствующий веб-сайт. Основываясь на документации, укажите необходимые исключения для портов и сообщений ICMP. Если же указания на используемые службой порты и ICMP сообщения в документации отсутствуют, выполните следующую последовательность действий:

1. На вкладке Дополнительно (Advanced) диалогового окна Брандмауэр Windows (Windows Firewall) нажмите Параметры (Settings) в разделе Ведение журнала безопасности (Security Logging) и включите опцию Записывать пропущенные пакеты (Log dropped packets) . Нажмите ОК для сохранения параметров ведения журнала и ОК для закрытия диалогового окна Брандмауэр Windows (Windows Firewall) .
2. Запишите IP-адрес другого клиентского компьютера, а затем попытайтесь, запустив на нём клиентское или равнозначное приложение, подключиться к компьютеру, на котором работает Брандмауэр Windows и ведётся журнал регистрации событий брандмауэра. Например, если на сервере работает почтовый сервер, запустите соответствующую почтовую программу на клиентском компьютере.
3. После того, как попытки программы-клиента связаться с сервером закончатся неудачей, вернитесь к серверу и просмотрите с помощью Проводника Windows (Windows Explorer) содержимое файла Pfirewall.log, хранящегося в корневой папке Windows.
4. Среди последних записей в файле журнала Pfirewall.log отыщите те, в которых отмечены отвергнутые пакеты с IP-адреса, совпадающего с IP-адресом клиентского компьютера. В этих записях найдите части, обозначенные «dst-port». Это и есть TCP или UDP порты, для которых нужно задать исключения. Для трафика ICMP следует найти фрагменты «icmptype» и «icmpcode» и проверить их на ICMP Parameters Web page , чтобы узнать название ICMP сообщения.

Определить номера портов, используемых службой, можно также с помощью аудита, выполнив следующие шаги:

1. Включите ведение журналов аудита, как описано в разделе « с Брандмауэром Windows » данной статьи.
2. Перезагрузите компьютер. Многие службы настроены на запуск при старте системы, и после перезагрузки события запуска служб будут зарегистрированы.
3. Используйте оснастку Службы (Services) , как описано в разделе « с Брандмауэром Windows » данной статьи, чтобы убедиться, что служба запущена.
4. Воспользуйтесь оснасткой Просмотр событий (Event Viewer) , как описано в разделе « Инструменты для решения проблем с Брандмауэром Windows » данной статьи, чтобы найти события Аудита отказов (Failure Audit), обозначенные в журнале безопасности кодом 861. Эти события относятся к приложениям или службам, прослушивающим TCP или UDP порты, чей трафик не был разрешён Брандмауэром Windows. В тексте сообщения об ошибке содержатся имя и путь к запросчику, код процесса, его тип — приложение или служба, и номера TCP или UDP портов.

Если можно отследить программу или службу по записям событий Аудита отказов (Failure Audit), используйте содержащуюся в них информацию о TCP или UDP портах для задания исключений. В качестве исключаемых необходимо указать все порты, запрашиваемые программой или службой.

Иногда службы запускаются в составе более ёмких процессов, одновременно задействующих несколько служб, подобных, например, процессу Svchost.exe. В таких случаях используйте команду netstat –abn , чтобы выявить все порты, через которые ведётся прослушивание сети. По списку компонентов, перечисляемых по именам файлов, Вы можете определить порты, запрашиваемые конкретной службой.

Ниже приводится пример использования команды netstat –abn

F:\>netstat -abn

Активные подключения

Имя Локальный адрес Внешний адрес Состояние PID

TCP 0.0.0.0:135 0.0.0.0:0 LISTENING 892

f:\xp_pro\system32\WS2_32.dll

F:\XP_PRO\system32\RPCRT4.dll

f:\xp_pro\system32\rpcss.dll

F:\XP_PRO\system32\svchost.exe

— неизвестные компоненты —

[svchost.exe]

TCP 0.0.0.0:445 0.0.0.0:0 LISTENING 4

[Система]

TCP 127.0.0.1:1029 0.0.0.0:0 LISTENING 1888

[alg.exe]

TCP 131.107.81.167:139 0.0.0.0:0 LISTENING 4

[System]

UDP 0.0.0.0:500 *:* 688

[lsass.exe]

UDP 0.0.0.0:445 *:* 4

[Система]

UDP 0.0.0.0:4500 *:* 688

[lsass.exe]

UDP 127.0.0.1:1900 *:* 1144

f:\xp_pro\system32\WS2_32.dll

f:\xp_pro\system32\ssdpsrv.dll

F:\XP_PRO\system32\ADVAPI32.dll

F:\XP_PRO\system32\kernel32.dll

[svchost.exe]

UDP 127.0.0.1:1025 *:* 980

f:\xp_pro\system32\WS2_32.dll

F:\XP_PRO\system32\WLDAP32.dll

F:\XP_PRO\System32\winrnr.dll

f:\xp_pro\system32\WS2_32.dll

f:\xp_pro\system32\w32time.dll

[svchost.exe]

UDP 131.107.81.167:137 *:* 4

[Система]

UDP 131.107.81.167:1900 *:* 1144

f:\xp_pro\system32\WS2_32.dll

f:\xp_pro\system32\ssdpsrv.dll

F:\XP_PRO\system32\ADVAPI32.dll

F:\XP_PRO\system32\kernel32.dll

[svchost.exe]

UDP 131.107.81.167:138 *:* 4

[Система]

Инструменты для решения проблем с Брандмауэром Windows

В ОС Windows XP SP2 содержатся следующие инструменты для устранения неполадок при работе с Брандмауэром Windows:

• Команды netsh firewall show
• Ведение журналов аудита
• Файл журнала Брандмауэра Windows
• Оснастка Службы
• Оснастка Просмотр событий
• Утилита командной строки Netstat

Команды Netsh Firewall Show

Для получения информации, необходимой при решении проблем с Брандмауэром Windows, применяйте следующие команды netsh :

• netsh firewall show state verbose=enable

Эта команда выводит на экран информацию о текущем состоянии Брандмауэра Windows и его действующих настройках, включая как параметры, определённые через локальные установки Брандмауэра Windows, так и заданные при помощи групповой политики; а также сведения об открытых на данный момент портах.

• netsh firewall show config verbose=enable

Команда отражает только локальные настройки Брандмауэра Windows. Обратите внимание, что, в отличие от команды netsh firewall show state verbose=enable , эта команда выводит лишь установки, заданные локально, а не текущее состояние Брандмауэра Windows. Применяйте эту команду, когда Вам необходимо сравнить локальные настройки с действующим состоянием Брандмауэра Windows, и выявить изменения, внесённые в установки Брандмауэра Windows через групповую политику. Продолжение статьи.

Как настроить встроенный брандмауэр в Windows XP

Начиная с Windows XP, компания Microsoft начала встраивать в свои операционные системы брандмауэр (файрвол). Он призван защищать компьютер, подключенный к сети, от заражения различными видами вредоносного ПО, а также от несанкционированного доступа. Разумеется, эта защита не всегда соответствует требованиям пользователя, поэтому для ее корректной работы необходимо разобраться, как правильно настроить брандмауэр в Windows XP. В частности, можно давать доступ в сеть определенным программ, минуя запреты файрвола. По умолчанию, в Windows XP брандмауэр защищает все сетевые соединения, однако, для определенных соединений его можно отключить.

Настройки файрвола

Если вы попали на эту страницу, введя в поисковике “не могу настроить брандмауэр”, то рекомендуем вам ознакомиться с инструкцией, приведенной ниже. Чтобы получить доступ к настройкам брандмауэра, необходимо нажать Пуск и выбрать брандмауэр Windows в окне Панель управления.

В появившемся окне вы можете выключить или включить брандмауэр Windows XP для всех соединений. Пункт “Не разрешать исключения” позволяет активизировать режим работы, при котором на экран не будут выводиться оповещения о блокировке. Также произойдет отключение всего списка исключений.

На вкладке “Исключения” пользователь может включить для приложений входящие подключения. Для этого их необходимо отметить флажком. Также можно открыть входящие подключения для какого-то конкретного локального порта.

Во вкладке “Дополнительные настройки” представлены опции, позволяющие выключать брандмауэр для какого-либо подключения. Настроить параметры фильтрации для подключений можно с помощью кнопки Параметры. Также в этом окне можно настроить журнал работы и задать параметры фильтрации протокола ICMP.

Автоматическое создание исключений

Когда на компьютере запускается какое-либо приложение, работающее через определенный порт и ожидающее сетевого подключения, Windows XP покажет окно с запросом, в котором пользователю предоставлен выбор:

Блокировать приложение, которое пытается получить доступ к порту. После нажатия на “Блокировать” оно не сможет подключиться к сети. В список исключений брандмауэра будет добавлено соответствующее правило.

Если пользователь нажмет на кнопку “Разблокировать”, то приложение сможет использовать порт и установить сетевое подключение. В список исключений также будет добавлено соответствующее правило.

Кнопка “Отложить” закрывает программе выход в сеть, однако, исключение не создает. Когда приложение снова попытается использовать порт, запрос будет показан снова. Этот вариант подходит для тех случаев, когда пользователь не уверен, какое именно приложение хочет открыть порт, и не вызовет ли отключение сетевого доступа сбои в работе Windows XP.

Ручная настройка исключений для программ

Если вы заранее знаете, что приложение будет принимать из Интернета входящие подключения и оно не является вредоносным, то вы можете создать для него исключение вручную. Чтобы сделать это, необходимо в окне настройки брандмауэра выбрать “Исключения”. Далее нужно нажать “Добавить программу”. В появившемся окне перечислены установленные в Windows XP программы. Если в данном списке нет программы, которой вы ходите предоставить доступ, то можно указать путь к ней с помощью кнопки “Обзор”. Когда все это будет сделано, нажмите “OK”. Если впоследствии вы захотите закрыть программе доступ в сеть, то можно снять с нее флажок в списке.

Брандмауэр Windows XP

Брандмауэр Windows является составным элементом центра безопасности Windows. Чтобы открыть окно настройки брандмауэра, выберите команду Пуск>Панель управления и щелкните на значке Брандмауэр Windows.

В Windows XP начиная с пакета обновлений Service Pack 2 брандмауэр Windows включен по умолчанию. Однако если вы установили отдельный брандмауэр, такой как Agnitum Outpost, встроенный брандмауэр Windows желательно отключить. Сделать это можно, выбрав переключатель Выключить на вкладке Общие брандмауэра.

Рассмотрим принцип его действия. Когда к компьютеру пытается подключиться кто-то из Интернета или локальной сети, эти попытки называют непредусмотренными запросами. Если на компьютер поступает непредусмотренный запрос, брандмауэр Windows блокирует данный сетевой запрос. В случае использования на компьютере таких программ, как ICQ или сетевых игр, которым требуется принимать информацию из Интернета или локальной сети, брандмауэр выводит запрос: следует блокировать или разрешить подключение? Если пользователь разрешает подключение, брандмауэр Windows создает специальное исключение, чтобы в будущем не тревожить пользователя запросами по поводу поступления информации для этой программы.

Если идет обмен мгновенными сообщениями (например, по ICQ) с собеседником, который собирается прислать файл (например, фотографию), брандмауэр Windows запросит подтверждение о снятии блокировки подключения и разрешении передачи фотографии на компьютер. В свою очередь, чтобы насладиться сетевой игрой через Интернет с друзьями, пользователь может добавить эту игру как исключение.

Для настройки исключений перейдите на вкладку Исключения. В ней в окне Программы и службы представлен список приложений и служб. Для того чтобы брандмауэр пропускал данные из Интернета, установите флажок напротив нужной программы, а для того, чтобы запретить передачу данных программе из Интернета, снимите флажок.

Для открытия доступа к компьютеру из Интернета через определенный порт щелкните на кнопке Добавить порт.

На вкладке Дополнительно можно указать, для каких именно подключений будет активирован брандмауэр Windows.

Вообще, мой вам совет – установите нормальный брандмауэр, если вас действительно интересует защита Windows. Встроенный брандмауэр Windows XP обеспечивает лишь самую базовую защиту. Лучше, конечно, такая, чем вообще никакой, но в наше время выходить в Интернет без приличной защиты – нонсенс и не кошерно воопче.

Брандмауэр (Firewall) Windows

Одним из усовершенствований новой ОС от Microsoft является встроенный брандмауэр. Персональный брандмауэр, впервые появившийся в составе Windows XP (исходное название Internet Connection Firewall было впоследствии изменено на Windows Firewall), вызывал немало нареканий. Несмотря на возможности настройки с помощью Group Policy Object (GPO) и командной строки, его реализация контроля сетевого трафика была явно недостаточной для обеспечения приемлемого уровня безопасности. Сам же факт применения инструмента, не обеспечивающего адекватной защиты, мог вызвать у пользователя ложное чувство отсутствия угроз. Одним из самых серьезных недостатков брандмауэра являлись контроль только входящего трафика и невозможность создания гибких правил фильтрации. Посмотрим, что изменилось в брандмауэре.

Начать необходимо с того, что брандмауэр теперь имеет два интерфейса, с помощью которых его можно настраивать – обычный и расширенный.

Традиционный интерфейс брандмауэра

Обычный метод конфигурирования брандмауэра в Vista выглядит практически так же, как и в XP. Для входа в этот режим нажимаем кнопку Пуск, идем в Панель управления, далее – Безопасность, Брандмауэр Windows.

В этом окне отображаются основные сведения – состояние брандмауэра, способ оповещений, используемое текущее сетевое размещение (напомним, что Vista делит сети на три категории – домашняя, рабочая и публичная; в соответствии с ними устанавливаются режимы безопасности). Для изменения настроек брандмауэра, необходимо щелкнуть ссылку Изменить параметры. Откроется окно диалога, ничем не отличающееся от аналогичного в Windows XP.

Переключатели позволяют включать или отключать брандмауэр, а флажок Блокировать все входящие подключения позволяет сделать компьютер полностью «невидимым» в небезопасной – например, публичной – сети. При установке этого флажка будут заблокированы также все разрешенные правилами подключения.

Для конфигурирования брандмауэра в обычном режиме необходимо перейти на вкладку Исключения. Она содержит типичный список служб, для которых можно задействовать или отменить правила исключений. Для того, чтобы сетевой трафик какой-либо программы или службы не блокировался брандмауэром, необходимо установить соответствующий флажок. Кнопка Свойства позволяет посмотреть описание выбранной службы или порта. Вы можете включить или выключить режим оповещений о блокировании трафика, установив флажок Уведомлять, когда брандмауэр блокирует новую программу.

Если программа или порт, для которых необходимо настроить исключение, отсутствует в стандартном списке, их можно добавить вручную, нажав соответствующую кнопку внизу окна. Если ранее добавленная пользователем программа более не нужна, ее можно выделить, и удалить из списка при помощи одноименной кнопки. При добавлении программы необходимо будет указать ее расположение, нажав кнопку Обзор.

При добавлении в список исключений порта укажите его описательное имя (чтобы потом проще было вспомнить, для чего он был открыт), введите его номер и укажите тип протокола – TCP или UDP.

При добавлении как программ, так и портов, дополнительно можно более детально указать область, для которой будет действовать исключение. Для этого нажмите кнопку Изменить область, расположенную внизу окна. В открывшемся диалоге выберите необходимый параметр.

Если необходимо, чтобы программа или служба могла использоваться всеми, включая компьютеры, находящиеся в Интернете, выберите переключатель Любой компьютер. Если трафик к службе надо сделать доступным лишь компьютерам своей сети, выберите Только локальная сеть. Третий параметр – самый гибкий и позволяет указывать произвольный диапазон IP-адресов или подсетей в виде списка, причем как в версии IPv4, так и IPv6. Элементы списка разделяются запятыми.

Последняя вкладка – Дополнительно – позволяет указать, на каких сетевых интерфейсах, доступных системе, будут действовать заданные правила фильтрации сетевого трафика.

Нажатие кнопки По умолчанию производит сброс всех настроек к первоначальному состоянию. При ее нажатии система предупредит, что это может привести к неработоспособности тех программ, для которых пользователем устанавливались особые параметры.

Если вы ранее конфигурировали брандмауэр в Windows XP, то, вероятно уже заметили, что все вышеописанные настройки не являются новыми. Так в чем же заключается усовершенствование брандмауэра из состава Vista? Почему разработчики из Microsoft называют его улучшенным? Чтобы ознакомится с нововведениями, необходимо запустить

Брандмауэр Windows в режиме повышенной безопасности

Для входа в этот режим необходимо запустить интерфейс брандмауэра как оснастку консоли MMC (заметим, что использование оснастки позволяет управлять настройкой брандмауэра на удаленной станции). Сделать это можно через панель управления – нажав Пуск, выбрать Панель управления, переключиться в режим отображения Классический вид, перейти в раздел Администрирование и щелкнуть ссылку Брандмауэр Windows в режиме повышенной безопасности.

Также можно воспользоваться самой консолью MMC. Для этого нажмите Пуск, выберите Все программы, затем Стандартные и выберите команду Выполнить. Наберите mmc и нажмите Ввод. В окне Консоль управления Microsoft выберите команду Файл — Добавить или удалить оснастку. В окне диалога Добавление или удаление оснастки укажите Брандмауэр Windows в режиме повышенной безопасности и нажмите кнопку Добавить.

Далее укажите Локальный компьютер, нажмите ОК, затем кнопку Готово. Откроется консоль с оснасткой Брандмауэр Windows в режиме повышенной безопасности.

Вот теперь действительно можно увидеть много нового! Слева расположена древовидная структура наподобие папок в Проводнике, в которой сгруппированы элементы консоли. Это собственно брандмауэр, разделы, позволяющие настраивать правила для входящих и исходящих подключений, правила настройки IPSec, и элементы, позволяющие наблюдать за работой брандмауэра. В центральном окне детально выводятся элементы выбранного раздела. Справа находится панель Действия, позволяющая производить настройку выбранного параметра. Для начала знакомства с консолью щелкнем первую строку в правом окне — Брандмауэр Windows в режиме повышенной безопасности. Окно консоли должно стать таким:

Для общего конфигурирования брандмауэра щелкните в панели действий ссылку Свойства. Откроется одноименное окно, на котором отображаются 3 вкладки с общими параметрами брандмауэра для разных профилей сетевого окружения (Общий, Частный, Домен) и вкладка общих настроек IPSec.

Вкладки, отвечающие за профили, настройки которых абсолютно идентичны друг другу. В них можно включить или полностью отключить брандмауэр, выбрав параметр Состояние брандмауэра. Отдельно настраиваются фильтры для входящих и исходящих подключений. Переключатель для входящего трафика имеет три положения – Блокировать (значение по умолчанию, брандмауэр блокирует входящие подключения, явно не разрешенные заданными правилами), Блокировать все подключения (весь входящий трафик будет запрещен, независимо от правил) и Разрешить (разрешены любые входящие подключения, кроме явно запрещенных заданными правилами). Для переключателя исходящих подключений предусмотрено лишь два положения – либо Разрешить (значение по умолчанию, разрешены все входящие подключения, кроме явно запрещенных правилами), либо Блокировать (блокируются все исходящие подключения, для которых нет явно разрешающих заданных правил). Как видите, изначально брандмауэр пропускает исходящие подключения, которые явно не запрещены.

Кнопка Настроить в разделе Параметры позволяет указать дополнительные возможности брандмауэра. К ним отнесены уведомления о блокировании, разрешение на получение ответа от других компьютеров при рассылке широковещательных (или многоадресных) пакетов, и параметры объединения правил.

Объединение локальных правил означает, что помимо правил, заданных действующей групповой политикой, локальные администраторы этого компьютера смогут создавать и применять собственные (локальные) правила брандмауэра и IPSec. Если эти параметры отключить, локальные администраторы все равно смогут создавать правила, однако применяться они не будут.

Для изменения настроек ведения журналов брандмауэра нажмите кнопку Настроить в разделе Ведение журнала.

Вы можете указать расположение файла, в котором будет вестись журнал, задать его максимальный размер, и указать типы событий, которые будут в нем фиксироваться. Стандартные настройки не ведут записи пропущенных пакетов и успешных подключений во избежание «разбухания» файла журнала.

Теперь заглянем на вкладку IPSec.

На этой вкладке можно указать не требовать соответствия правилам IPSec для пакетов протокола ICMP (Internet Control Message Protocol). Протокол ICMP используется для передачи сообщений об ошибках, возникших во время передачи данных и выполнения некоторых сервисных функций для диагностики состояния сети (например, утилиты ping и traceroute используют ICMP-сообщения). Собственно настройки IPSec «скрываются» за кнопкой Настроить.

Здесь можно подробно задать способы обмена ключами, защиты данных и методы проверки подлинности, переведя соответствующие переключатели в положение Дополнительно и нажав кнопку Настроить. Параметры, установленные по умолчанию можно посмотреть во встроенной справочной системе, нажав ссылку внизу окна.

Рассмотрение способов использования IPSec для защиты трафика мы здесь не будем ввиду обширности этой темы, и, пожалуй, ограничимся лишь показом возможностей настроек для этого протокола.

Давайте перейдем к собственно правилам брандмауэра – как их можно создавать, редактировать и применять. Вернемся в главное окно консоли и выберем раздел Правила для входящих подключений.

Окно, находящееся в центре, содержит список правил. Те правила, которые применяются брандмауэром, отмечены зеленым значком. Определенные, но неактивные – серым. Для включения или отключения определенного правила необходимо щелкнуть на нем правой кнопкой мыши и выбрать соответствующую команду из открывшегося меню.

Список предопределенных правил довольно внушителен. Это может облегчить использование стандартных правил простым их включением или отключением. Стоит учесть, что некоторые свойства предопределенных правил изменить невозможно – они «жестко» прописаны. Так как каждое предопределенное правило отвечает за довольно узкий диапазон (порт, адрес или программу, версию транспортного протокола), а например, для конфигурирования одной службы может потребоваться достаточное количество правил, они объединены в группы. Процесс создания нового правила реализован в виде мастера, выполняемого в несколько шагов. Рассмотрим создание нового правила для входящих подключений. На панели действий щелкните ссылку Новое правило. На первом шаге предлагается определить тип правила.

В зависимости от типа правила будет меняться и количество шагов мастера, необходимых мастеру для создания правила. Список этих шагов отображается слева. Правила для программ позволяют управлять подключениями конкретных программ. Необходимо будет указать лишь исполняемый файл программы. Это полезно, когда заранее неизвестны тип порта или протокола для разрешения доступа. Правило для порта позволяет управлять доступом через конкретный порт. Потребуется указать номер порта (возможно задание нескольких портов в одном правиле) и тип протокола – TCP или UDP. Тип Предопределенные правила содержит список распространенных служб и программ, работающих под управлением Windows. Выглядеть он может примерно так:

Последний тип правил – Настраиваемые. Используется обычно тогда, когда необходимо настроить все параметры вручную или для фильтрации подключений, не подпадающих под другие типы правил. Поскольку этот тип имеет наиболее широкие настройки, на нем и остановимся поподробнее. Итак, устанавливаем переключатель на тип Настраиваемые и нажимаем кнопку Далее. На первом шаге потребуется указать, будет применяться правило ко всем программам, или только к определенному приложению.

Если создаем правило для программы, указываем расположение исполняемого файла, нажав кнопку Обзор. Дополнительно можно указать службы, к которым будет запрашиваться подключение. Для этого нажмите кнопку Настроить.

Можно указать все системные службы или указать одну из них. При написании краткого имени будьте внимательны – если система не обнаружит службу с таким именем, правило будет проигнорировано. Также следует учесть, что указать можно одновременно и конкретную программу, и службу. В этом случае правило будет выполняться лишь при соблюдении обоих условий.

На следующем шаге необходимо задать порты и тип протокола.

Для начала указываем тип протокола, выбрав его из списка. Список этот довольно большой, но вы можете обратиться к встроенной справочной системе, в которой приведены краткие описания и номера протоколов. Для этого достаточно щелкнуть по ссылке Подробнее о протоколах и портах.

При выборе типа протокола TCP или UDP становятся доступными поля, позволяющие указать номера портов на локальной и удаленной системе. Можно указать список портов, разделив их запятыми. При выборе типа протокола ICMPv4 или ICMPv6 становится доступной кнопка Настроить, открывающая окно с настройками параметров для ICMP-сообщений.

На следующем шаге задается область локальных и удаленных IP-адресов, к которым будет применяться правило. Также здесь можно указать сетевые интерфейсы, на которых это правило будет действовать.

Для добавления области IP-адресов установите переключатель в положение Указанные IP-адреса и нажмите кнопку Добавить.

Доступны следующие варианты:

• один IP-адрес или подсеть (в формате IPv4 или IPv6)
• сквозной диапазон адресов (то есть все адреса, начиная с первого заданного и заканчивая последним заданным адресом; формат — IPv4 или IPv6, но должен быть одинаков для начального и конечного значения)
• компьютеры с определенной ролью (основной шлюз, серверы WINS, DHCP, DNS, или компьютеры локальной подсети)

Далее предстоит определить действие, которое будет выполнять брандмауэр в случае совпадения условий правила. Типы действий задаются переключателями.

Подключение можно разрешить, запретить или разрешить его лишь в том случае, если оно защищено с использованием параметров безопасности IPSec. При выборе Разрешить безопасное подключение добавится еще один шаг, на котором необходимо будет указать компьютеры и пользователей, которым будут разрешены такие подключения.

Предпоследний шаг – указание сетевого профиля, в котором будет применяться данное правило. Установите или снимите соответствующие флажки напротив названий профилей.

На последнем шаге мастер предложит ввести имя для правила и дать его краткое описание. После нажатия кнопки Готово созданное правило появится в списке. Параметры созданного правила можно редактировать. Для этого щелкните его название в списке правой кнопкой мыши и выберите команду Свойства. Откроется окно свойств, в котором параметры сгруппированы на нескольких вкладках.

Настройка правил для исходящих подключений аналогична вышеописанному процессу.

Еще одним нововведением в брандмауэре является его тесная интеграция с технологией IPSec, позволяющей устанавливать защищенные безопасные соединения между узлами. Вы можете добавить правила для таких соединений, щелкнув в правой панели консоли строку Правила безопасности подключения. В отличие от правил брандмауэра, «отслеживающих» подключения на локальной системе, они позволяют проверить подлинность обоих компьютеров до начала их взаимодействия и обеспечить защиту передаваемых данных.

Для контроля работы брандмауэра, просмотра применяемых правил и сопоставлений безопасности перейдите в раздел Наблюдение.

Наборы правил (политики) можно экспортировать и импортировать. Для этого в левой панели выберите раздел Брандмауэр Windows и выберите соответствующую ссылку в панели действий.

Как видите, функциональность брандмауэра в Vista действительно стала значительно шире предыдущих версий. И все было бы замечательно, если бы не было нескольких «но». Самое главное из них – ярко контрастирующие интерфейсы брандмауэра. Или предельно просто — на уровне включить/выключить, или огромный список настроек и правил, грамотно настроить которые под силу лишь тем, кто точно знает, что именно требуется от конкретной настройки. Отсюда же вытекает следующая проблема – контроль исходящих подключений. Вроде бы он есть, и его можно настроить, но… Рядовой пользователь вряд ли сможет запустить брандмауэр в режиме повышенной безопасности, попросту не найдя способов это сделать, да и, собственно, даже не подозревая о существовании такого режима. При этом разработчик заявляет о том, что в новой версии брандмауэра контроль за исходящими подключениями есть! Но, как мы указывали выше, изначально брандмауэр разрешает все незапрещенные исходящие подключения.

Для иллюстрации такой ситуации давайте проведем простой эксперимент. Зайдем на Yandex, скачаем предлагаемую там свежую версию браузера FireFox и установим его в системе. Для чистоты эксперимента (на всякий случай) скидываем все установки брандмауэра в исходные.

Убедимся, перейдя на вкладку Исключения свойств брандмауэра, что правил, разрешающих FireFox’у исходящие подключения в списке нет. Все, что нам осталось сделать – это запустить Firefox.

Вот такой вот фокус! Несмотря на все заявления о контроле исходящего трафика, только что установленная в системе программа свободно послала запрос веб-серверу и получила от него необходимые данные.

То есть для обычных, рядовых пользователей опять получается – вроде бы защита и есть, а на самом деле — нет.