Как заблокировать атакующий ip адрес

Защита от DoS/DDoS атак с помощью фильтрации по номеру автономной системы (ASN)

Но чем же данный технический экскурс поможет защититься от злоумышленников? Дело в том, что есть довольно широкий список провайдеров (как ISP, так и Дата Центров), которые мягко говоря не лучшим образом заботятся о безопасности своих сетей (не блокируют исходящие DDoS атаки, не реагируют на жалобы и проч.) и, как следствие, довольно часто являются источниками DDoS атак. Блокировка таких автономных систем (временная, разумеется) может сильно помочь при защите от атак. С подробной статистикой автономных систем, которые чаще всего являются источниками атак Вы можете ознакомиться на сайте: stopddos.ru/current (статистика почти в реальном времени)

Определение номера автономной системы, к которой принадлежит IP адрес

Как определить автономную систему, к которой принадлежит IP адрес/сеть? Это довольно просто. В случае, если IP адрес находится в Европе (а следовательно — в юрисдикции RIPE), то можно использовать команду: whois ip_адрес/сеть. Попробуем на Яндексе:

Обращаем внимание на поле ORIGIN, в нем как раз и указан номер автономной системы.

Если же IP адреса принадлежат другому RIR (AFRINIC, LACNIC и проч.), то для них нет понятия route объекта и тут самый универсальный совет, который я могу дать — это воспользоваться специальным сервисом, который позволяет преобразовать IP адрес в номер ASN: www.team-cymru.org/Services/ip-to-asn.html

Чем еще замечателен сервис от CymRu, так это возможностями по автоматизации и вызову из консоли данной операции, что будет очень к месту в случае использования (при защите от реальных атак без него не обойтись) автоматизированных анализаторов трафика, log файлов для поиска закономерностей и аномалий в контексте определенных ASN.

Хорошо, допустим, на данном этапе мы обнаружили ASN (обычно, конечно же, их от нескольких штук до нескольких десятков), из которой идет атака, следующим шагом требуется проверить, кому она принадлежит и для каких целей служит, чтобы случайно не отсечь своих же клиентов, это можно сделать через сервис от Hurricane Electric, bgp.he.net/ASXXXX, где вместо XXXX нужно поставить обнаруженный номер автономной системы.

Блокировка трафика из/в определенной ASN

Но как нам блокировать трафик, который идет к нам из определенной ASN? Данная функция есть у любого магистрального провайдера, дата центра либо оператора связи (и реализуется она посредством протокола BGP), но получить эту функцию для конечного пользователя почти невозможно. Поэтому мы будем использовать Debian Wheezy и пакетный фильтр iptables для отсечения трафика с паразитных ASN.

Разумеется, стандартного решения, которое позволит сделать что-то в стиле:

Пока не существует, поэтому нам придется импровизировать!

В голову сразу приходит два различных подхода — ipset и geoip (да, у Вас возникнет вопрос — какое отношение он имеет к вопросу, но об этом чуточку позже). ipset позволяет блокировать трафик принадлежащий набору IP адресов либо набору IP сетей, что в принципе нам подходит. Но это не особенно гибко и я не уверен, что ядро Linux будет довольно, если мы создадим, допустим, 120 хешей под нужные нам автономные системы да и управление таким набором хэшей будет очень и очень проблематично.

Совершенно случайно в процессе изучения модуля xtables GeoIP мне пришла в голову мысли, что там используется примерно такой же алгоритм определения принадлежности сети к определенной стране, который нам и нужен для определения принадлежности к определенной автономной системе. Кроме этого, есть ряд веских замечаний от автора xtables GeoIP, судя по которым подход используемый им является более оптимальным: xtables-addons.sourceforge.net/geoip.php

Итак, давайте сначала соберем и установим модуль xtables geoip и после этого займемся его унификацией для решения начальной задачи — блокировки по ASN.

Установка модуля xtables GeoIP

Таких инструкций было множество, они довольно краткие поэтому позволю себе привести здесь полную инструкцию.
Устанавливаем требуемые пакеты:

В Debian Wheezy была проделана очень большая работа с Xtables и теперь не нужно проводить никаких дополнительных телодвижений, чтобы получить рабочие модули из пакета Xtables. Также за счет использования фреймворка DKMS не потребуется пересобирать модули вручную при обновлении/замене ядра — система все это решит автоматически.

Теперь пару слов о том, как работает GeoIP. Там используется довольно умный (на мой взгляд) подход, когда списки IP сетей, принадлежащих определенной стране приводятся в бинарный формат, сохраняются в файловой системе сервера и при вызове команды iptables затрагивающей данную страну, загружаются в память. Это позволяет обеспечить высокую скорость работы и сэкономить память, так как полный набор IP адресов всех сетей в мире занимает почти 500 мегабайт в несжатом виде.

Для xtables GeoIP используются базы сопоставления сеть-страна взятые с сайта компании MaxMind, но загружать и конвертировать в формат, который примет модуль ядра xtables, geoip требуется вручную.
Поехали:

После данной операции в текущей папке будут найдены два файла с расширением CSV, в которых соответственно находятся списки IP сетей для протоколов IPv6 и IPv4 с указанием, к каким странам они принадлежат.
Теперь нам нужно конвертировать эти файлы в бинарный формат:

В процессе конвертации мы увидим много интересных информационных сообщений, например, число IP v4/v6 диапазонов для каждой из стран:

Все, мы готовы к работе, попробуем отсечь трафик, который идет, например, из Зимбабве:

В тот момент, когда мы дадим эту команду, из файловой системы будет взят и загружен в ядро файл /usr/share/xt_geoip/LE/ZW.iv4, в котором находится список IP стран.

Обращаю внимание, друзья! Ни в коем случае не используйте подобное в продакшене НИ-КОГД-ДА. Это лучшая практика, как нельзя делать в сети интернет. Такое допускается делать лишь временно, например, в случае активного противодействия DDoS/DoS атакам либо просто для подсчета — сколько трафика идет с каждой страны. Всегда держите в памяти, что актуальность баз GeoIP оставляет желать лучшего и в забаненой Вами Зимбабве могут оказаться Ваши ключевые клиенты из Нью-Йорка (разумеется, лишенные доступа к Вашему ресурсу).

Создание базы по сетям принадлежащим ASN в формате MaxMind.

Чтобы максимально упростит себе жизнь давайте попробуем создать базы сопоставления сеть-ASN в том же формате, что MaxMind хранит данные сопоставления сеть-страна. При таком подходе мы сможем использовать скрипт xt_geoip_build без каких-либо изменений.

Как же создать подобную базу? Во-первых, нам понадобится текущий отпечаток роутинг-таблицы Интернета, так как информация о принадлежности сетей определенной ASN меняется ежеминутной и поэтому нет возможности всегда иметь актуальную базу. Где же взять этот отпечаток? Он всегда имеется в актуальном виде в формате MRT TABLE DUMP V2 на сайте Routevievs.org: archive.routeviews.org/bgpdata.

Но есть небольшая проблема с данным форматом — он очень сложен для анализа и поэтому нам потребуется конвертер, который разрабатывается RIPE и называется BgpDump: bitbucket.org/ripencc/bgpdump/wiki/Home
К сожалению, в репозитории Debian данного конвертера нету и нам придется собрать его из исходного кода, это довольно тривиально, привожу инструкцию ниже:

Но и формат данных, которые генерирует BgpDump не совпадает с форматом MaxMind и нам потребуется еще один конвертер (к счастью, много более простой), который мы реализовали на Perl, взять его можно по адресу: raw.github.com/FastVPSEestiOu/xt_asn/master/bgp_table_to_text.pl, после этого положите его по адресу /opt/bgp_table_to_text.pl и поставьте exec флаг (chmod +x).

Теперь у нас имеется полный комплект ПО, для генерации базы ASN-сеть в формате MaxMind. Для реализации всей задачи требуется выполнить ряд bash команд:

После этого конвертируем по той же схеме как и данные Max Mind GeoIP:

В результате работы команды в папке /usr/share/xt_geoip/LE/ будет создано почти 100 тысяч файлов (по 2 для каждой ASN) и они будут использоваться для загрузки в модуль фильтрации ядра.

Модификация xtables geoip для использования его для определения принадлежности IP к определенной ASN

Если мы попробуем заменить название страны ZW в команде iptables на номер ASN, например, 11222, то мы получим ошибку:

Что же делать? Посмотреть во внутренности xt_geoip. Тут пару слов о том, как устроен GeoIP — он состоит из плагина для iptables (userspace), который загружает правила в ядро и модуля ядра (kernel space, соответственно). После беглого поиска по коду, мы обнаруживаем, что Country Code в формате ISO3166 хранится в формате беззнакового 16 битного числа, которое может хранить в себе числа вплоть до 65535.

Как мы уже упомянули ранее, формат ASN в данный момент принят 32х битный, поэтому чтобы отфильтровать трафик из/в 32 битную ASN (например, 190111) потребуется немного импровизации — потребуется найти свободный номер ASN в первых 65 тысячах (например, в данный момент свободна ASN 170) и перенести список сетей в бинарном формате в нее (mv /usr/share/xt_geoip/LE/190111.iv4 /usr/share/xt_geoip/LE/170.iv4), но при этом не забыв, что номер ASN используется «замененный».

Такой хак отлично сработает даже если Вам нужно оперировать со всеми ASN мира! Их суммарное число на сегодняшний день составляет

46000 и легко помешается с учетом перестановок в 16 битовое беззнаковое число. Если же на момент прочтения статьи ASN станет более 65 тысяч, то придется накладывать патч на ядерную составляющую модуля GeoIP, но он будет достаточно прост — потребуется заменить short int на полноценный int или даже long (а вдруг появятся 64 битные ASN?).

Чтобы добиться возможности использования номеров ASN вместо двухбуквенных кодов стран мы немного пропатчим код. А именно, закомментируем блок, в котором идет проверка, чтобы указанный аргумент iptables «страна» был именно двухбуквенным ISO кодом страны:

И после этого заменим код упаковки двух 8 битных символов в 16 битное число на код, который просто читает 16 битное число из строки и сохраняет его:

Также потребуется изменить код, который отображает код страны используя внутренне числовое представление страны (16 битовое число), теперь мы просто отображаем число без преобразований:

В данном случае я позволил себе заменить asn на xas, так как в ряде случаев (32 битные ASN) это не реальный номер ASN (а подстановочный) и это мне хотелось подчеркнуть.

Теперь дело за малым, нам нужно скомпилировать пакет xtables-addons-common (как раз в нем размещается модуль-расширение для iptables, работающий в пространстве пользователя) наложив на него данный патч:

Теперь устанавливаем пропатченный пакет:

И после этого можно использовать 16 битные номера ASN в правилах ipables:

Теперь Вы готовы отразить еще один тип атак! Кроме этого, аналогичные методы могут быть использованы для анализа легитимного трафика, который идет на Ваш сервер 🙂

Друзья! Успехов Вам в будущем году и поменьше DDoS атак, Ваш FastVPS!

MikroTik защита от брутфорса (Brute force)

В последнее время всё чаще встречаемся с брутфорсом (Brute force — метод взлома учетных записей посредствам подбора паролей к ним). Чаще всего атака идет на стандартные сервисы и, соответственно, стандартные порты. Например:

SSH — TCP 22 port
PPTP — TCP 1723 port, GRE (не имеет порт)
L2TP — UDP 1701, 4500, 500 ports
RDP — TCP 3389 port
VNC — TCP 5900 port

Если вы используете сложные пароли, то подобрать их будет нелегко. Поэтому основная проблема, которая возникает при брутфорсе, это падение скорости сети. Часто это именно «скорость интернета». На входящий интерфейс маршрутизатора поступает большое количество пакетов с высокой скоростью, канал забивается, и «полезные» пакеты проходят с меньшей скоростью, чем хотелось бы.
Также стоит отметить, что многие серверы и маршрутизаторы ведут логи попыток авторизации. Если этих попыток тысячи, то размер логов может достигать нескольких десятков гигабайт. Это приводит к повышенной нагрузке на дисковую подсистему и быстрому расходу места.

В данной статье расскажем о том, как обезопасить себя от брутфорс (Brute force) — атак, используя маршрутизатор MikroTik.

Описание тестового стенда

Маршрутизатор Mikrotik
RouteOS 6.48.2
На маршрутизаторе открыт ssh и vpn-сервер(PPTP)

План работ. Краткое описание действий

Действовать будем так, как нам говорит официальная документация, но с небольшими правками и дополнениями.

Для защиты от брутфорс-атаки на SSH — TCP 22 port и PPTP — TCP 1723 port (для примера взяты стандартные порты) будем блокировать ip-адреса всех, кто попытается установить четыре соединения подряд с интервалом меньше одной минуты.

Реализуем это следующим образом:

При первом подключении по SSH добавляем ip-адрес в список ssh_stage1, если менее чем через одну минуту приходит ещё один запрос на подключение, добавляем в список ssh_stage2 и т.д. После списка ssh_stage3 идет список blacklist.
Для подключений по PPTP такая же логика, только меняем название списков на pptp_stage1 — pptp_stage3
Для списка ip-адресов blacklist создадим правило блокировки в Firewall

Правила защиты от брутфорс — атак на SSH и PPTP

Как и говорилось выше, блокировать будем ip — адреса, с которых было четыре запроса на соединение с интервалом менее одной минуты.

Для этого создадим:

по 4 правила в IP-Firewall-Filter для SSH и для PPTP, которые будут добавлять ip-адреса для блокировки в список blacklist
правило блокировки в для всех ip-адресов из списка blacklist

Правила для SSH

Правила для PPTP

правило для блокировки ip-адресов из списка «blacklist«

Детальное описание правил

Для понимания детально рассмотрим каждую строку правил для SSH и правило блокировки ip-адерсов из списка «blacklist«.
Начнём с привил для SSH. Строки будем рассматривать с конца. Начнем с четвертой.

строка 4

Этой строкой «говорим» микротику добавить на одну минуту (address-list-timeout=1m) ip-адрес нового соединения (connection-state=new), поступившего на порт 22 TCP (protocol=tcp dst-port=22) в адрес-лист (address-list=ssh_stage1)

строка 3

Аналогично добавляем в список ssh_stage3 — строка 2

строка 1

Этой строкой «говорим» микротику добавить на десять дней (address-list-timeout=10d) ip-адрес нового соединения (connection-state=new), поступившего на порт 22 TCP (protocol=tcp dst-port=22) в адрес-лист (address-list=blacklist), если этот ip-адрес уже находится в списке ssh_stage3 (src-address-list=ssh_stage3)

Блокировка ip-адресов из списка «blacklist«

После того как мы создали правила заполнения списка «blacklist«, нужно добавить правило блокировки всех ip-адресов, входящих в него. Для этого нужно правильно выбрать цепочку, в которой будем осуществлять блокировку, и вид блокировки.

Цепочку предлагаю выбрать PREROUTING. Обратите внимание, что есть RAW PREROUTING и MANGLE PREROUTING. В нашем случае используется RAW PREROUTING, так как эта обработка идет первой. Это позволит снизить нагрузку на процессор.
В официальной документации предлагают делать правило в цепочке INPUT. Возможно, это сделано для того, чтобы было удобней управлять правилами в разделе «IP-Firewall-Filter Rules«.

Вид блокировки. Что выбрать DROP или REJECT?

Для того, чтобы выбрать, нужно понимать разницу между drop и reject.

reject — отбросить пакет и отправить ICMP сообщение об отклонении
drop — просто отбрасывает пакет

В сети давно идет холивар на тему что лучше. Выбор зависит от того, какие задачи нужно решить и от чего защититься.

В нашем примере будем использовать Drop, это позволит снизить нагрузку на процессор и уменьшить исходящий трафик, так как маршрутизатор не будет отправлять ответ (как при reject), а просто сбрасывать соединение.

Обратите внимание, что есть RAW PREROUTING и MANGLE PREROUTING. В нашем случае используется RAW PREROUTING, так как эта обработка идет первой.

Как заблокировать ip адрес в windows 10

Рассмотрим несколько способов, которые помогут вам запретить доступ к отдельным сайтам, URL и IP адресам в Windows без использования сторонних программ. Обычно блокировку сайтов наиболее эффективно настраивать на уровне сетевого шлюза (роутер, маршрутизатор, Wi-Fi точка доступа, через которую вы выходите в Интернет), или с помощью стороннего ПО (фильтры контента, DNS фильтры и т.д.). В нашем случае мы попробуем заблокировать определенный сайт с помощью встроенных средств Windows 10 и автоматизации PowerShell.

Блокировка сайтов в Windows с помощью файла hosts

Самый известный способ заблокировать определенный сайт в Windows – отредактировать файл hosts. Обычно файл находится в каталоге %windir%system32driversetc. Обратите внимание, что у файла hosts нет расширения.

Файл hosts используется для ручного назначения соответствий между IP адресами и DNS именами. При выполнении разрешении имен файл hosts имеет приоритет над DNS серверами, указанными в настройках сетевых подключений,

Чтобы заблокировать определенный сайт (например, ok.ru), откройте на редактирование файл hosts (с правами администратора) и добавьте в него строки вида:

127.0.0.1 ok.ru
127.0.0.1 www.ok.ru

Сохраните файл и перезагрузите компьютер (или очистите DNS кэш командой: ipconfig /flushdns ).

После этого при попытке открыть сайт ok.ru в любом браузере будет появляется сообщение “Страница не найдена” / “Страница не доступна”.

Вы можете добавлять новые строки с URL сайтов в файл hosts с помощью такого bat файла:

@echo off
set hostspath=%windir%System32driversetchosts
echo 127.0.0.1 www.facebook.com >> %hostspath%
echo 127.0.0.1 facebook.com >> %hostspath%
exit

Либо можно воспользоваться следующими PowerShell функциями для автоматизации блокировки (разблокировки) определенных сайтов в списке запрещенных доменов в файле hosts.

Function BlockSiteHosts ( [Parameter(Mandatory=$true)]$Url) <
$hosts = ‘C:WindowsSystem32driversetchosts’
$is_blocked = Get-Content -Path $hosts |
Select-String -Pattern ([regex]::Escape($Url))
If(-not $is_blocked) <
$hoststr="127.0.0.1 ” + $Url
Add-Content -Path $hosts -Value $hoststr
>
>

Function UnBlockSiteHosts ( [Parameter(Mandatory=$true)]$Url) <
$hosts = ‘C:WindowsSystem32driversetchosts’
$is_blocked = Get-Content -Path $hosts |
Select-String -Pattern ([regex]::Escape($Url))
If($is_blocked) <
$newhosts = Get-Content -Path $hosts |
Where-Object <
$_ -notmatch ([regex]::Escape($Url))
>
Set-Content -Path $hosts -Value $newhosts
>
>

Теперь чтобы добавить определенный сайт в заблокированные достаточно выполнить функцию:

Чтобы разблокировать сайт запустите:

Блокировка сайтов через DNS

Если ваши клиенты пользуются одним DNS сервером, вы можете аналогичным образом заблокировать определенный сайты с помощью создания DNS записи в этом DNS, указывающей на 127.0.0.1 (или что-то в таком роде). По такому принципу, кстати, работают большинство коммерческих контент фильтров DNS (OpenDNS, SkyDNS, Яндекс.DNS и т.д.).

Блокируем IP адрес сайта в брандмауэре Windows

Также вы можете заблокировать определенные сайты с помощью встроенного Windows Firewall. Главный недостаток такого метода – вы не сможете использовать имя домена или сайта в правиле блокировке. Брандмауэр Windows в качестве источника/назначения позволяет указать только IP адрес или подсеть.

Сначала нужно определить IP адрес сайта, который вы хотите заблокировать. Проше всего это сделать командой nslookup.

Как вы видите в результатах команды присутствует несколько IP адресов, которые назначены сайту. Вам нужно заблокировать их все.

Теперь нужно запустить панель настройки Windows Firewall (Панель управления Все элементы панели управленияБрандмауэр Защитника WindowsДополнительные параметры или firewall.cpl).

В секции “Правила для исходящих подключений” создайте новое правило со следующими параметрами:

Тип правила: Настраиваемые;
Программа: Все программы;
Тип протокола: Любой;
Область: в секции “Укажите удаленные IP адреса, к которым применяется данное правило” выберите пункт “Указанные IP адреса” -> Добавить. В открывшемся окне укажите IP адреса, IP подсети или диапазон IP адресов сайтов, которые нужно заблокировать.

Нажмите OK-> Далее -> Действие: “Блокировать подключение”.

В окне со списком профилей брандмауэра, к которым применяется это правило оставьте все опции. Осталось указать имя правила и сохранить его.

После этого Брандмауэр Защитника Windows будет блокировать все соединения с данным сайтом. В браузере при подключении к заблокированному сайту будет появляться ошибка:

Unable to connect

Доступ в Интернет закрыт
Возможно, подключение заблокирована брандмауэром или антивирусным ПО.
ERR_NETWORK_ACCESS_DENIED

В домене AD вы можете распространить на компьютеры пользователей политику блокирующую сайт с помощью GPO. Но еще раз скажем, это нецелесообразно. Фильтровать сайты правильнее на шлюзе доступа в Интернет.

PowerShell: правила блокировки сайтов по имени и IP адресу в брандмауэре Windows

Вы также можете с помощью PowerShell создать правило брандмауэра, блокирующее исходящие подключения к определенному сайту:

New-NetFirewallRule -DisplayName "Block Site" -Direction Outbound –LocalPort Any -Protocol Any -Action Block -RemoteAddress 217.20.147.1, 217.20.141.0/26

Строка “ The rule was parsed successfully from the store” говорит о том, что правило новое правило брандмауэра успешно применено. Вы можете найти его в графическом интерфейсе Windows Firewall.

Чтобы не резолвить имя сайта в IP адреса вручную можно использовать PowerShell командлет Resolve-DnsName для получения IP адресов сайтов.

Resolve-DnsName "ok.ru"| Select-Object -ExpandProperty IPAddress

Таким образом мы можем преобразовать имя домена в IP адреса и сразу добавить запрещающее правило для блокирования доступа к сайту:

$IPAddress = Resolve-DnsName "ok.ru"| Select-Object -ExpandProperty IPAddress
New-NetFirewallRule -DisplayName "Block Site" -Direction Outbound –LocalPort Any -Protocol Any -Action Block -RemoteAddress $IPAddress

Получается, что теперь вы можете добавить запрещающее правило в Windows Firewall сразу для нескольких сайтов:

$SitesToBlock = “lenta.ru”,”mail.ru”,”facebook.com”
$IPAddress = $SitesToBlock | Resolve-DnsName -NoHostsFile | Select-Object -ExpandProperty IPAddress
New-NetFirewallRule -DisplayName "Block Web Sites" -Direction Outbound –LocalPort Any -Protocol Any -Action Block -RemoteAddress $IPAddress

У командлета Resolve-DnsName я добавил параметр –NoHostsFile, чтобы не использовать при проверке файл hosts.

Проверим, что блокирующее правило для исходящего появилось в консоли.

Эта статья прежде всего разминка для ума. В корпоративной сети для ограничения доступа к сайтам нужно использовать фильтрацию на уровне шлюза доступа в интернет или прокси-сервере. Блокировка доступа на уровне хостов не столь эффективна.

В данной статье мы рассмотрим два метода общего блокирования веб-сайтов пользователям, кроме отдельно разрешенных. Для ограничения доступа и полной блокировки веб-сайтов мы будем использовать настройки прокси в приложении «Internet Explorer». А также, альтернативный метод: редактирование файла «hosts».

Введение

Помимо важных и интересных ресурсов, «Интернет» включает в себя значительную долю сайтов, которые содержат информацию, относящуюся к запрещенной или откровенной тематике, неуместные шутки или оскорбительные видеоматериалы. Поэтому пользователям может потребоваться выполнить определенное ограничение доступа к таким сетевым ресурсам. Причины блокировки нежелательных сайтов могут быть различны. Например, прекращение доступа важно для родителей, которые бы хотели ограничить отображение вредных материалов или оградить собственных детей от посещения определенных веб-сайтов (или в крайних случаях от большинства веб-сайтов), прежде чем они научатся различать вредную и полезную информацию.

В данной статье мы рассмотрим два метода общего блокирования веб-сайтов, кроме отдельно разрешенных пользователями, на персональном компьютере с установленной операционной системой «Windows 10». Это особо полезно родителям тех детей, которые задействуют компьютер для учебы, выполнения школьных заданий и внеклассных проектов, а также используют его для поиска и просмотра сайтов в познавательных целях или развлечений.

Для ограничения доступа и полной блокировки веб-сайтов мы будем использовать настройки прокси в приложении «Internet Explorer». Не стоит беспокоиться о том, что вам теперь придется использовать «Internet Explorer» в качестве браузера по умолчанию.

Хорошая особенность приложения «Internet Explorer» заключается в его способности применять установленные параметры прокси-сервера ко всей системе, включая сторонние приложения и браузеры. Таким образом, благодаря прокси-серверу, который действует как шлюз между компьютером пользователей и «Интернетом», достигается абсолютно безопасное блокирование всех веб-сайтов в операционной системе «Windows 10».

Далее мы рассмотрим, как это можно сделать.

1. Блокирование через интернет-прокси-сервер

Процедура ограничения доступа к веб-сайтам довольно проста и содержит несколько простых шагов, выполнив которые, пользователи смогут достигнуть поставленной цели.

Шаг 1. Откройте приложение для просмотра содержимого веб-сайтов «Internet Explorer». Если вы используете обозреватель впервые, то, скорее всего, для его запуска потребуется подождать несколько секунд. Сразу после открытия приложения нажмите на, расположенную в правом верхнем углу окна, кнопку «Сервис», представленную в виде шестеренки, и откройте вложенное меню управления настройками «Internet Explorer». Или используйте совместное сочетание клавиш «Alt + X» для вызова меню сервиса напрямую. Затем из списка доступных действий контекстного меню выберите раздел «Свойства браузера».

Шаг 2. В открывшемся окне свойств обозревателя «Internet Explorer» перейдите на вкладку «Подключения». Затем в нижней части окна найдите раздел «Настройка параметров локальной сети» и нажмите на кнопку «Настройка сети».

Шаг 3. В новом окне, отвечающем за управление параметрами сети, в разделе «Прокси-сервер» установите индикатор выбора (флажок) рядом с ячейкой «Использовать прокси-сервер для локальных подключений (не применяется для коммутируемых или VPN-подключений)», чтобы включить отображение текстового поля для адреса и номера порта. Теперь необходимо ввести в соответствующее поле, которое обычно не заполнено, следующий адрес:

Поле с указанием номера порта оставьте без изменений.

Шаг 4. Теперь нажмите на кнопку «Дополнительно» для уточнения настроек параметров прокси-сервера. В новом окне пользователи увидят, что адреса для типов протоколов соединений («HTTP», «Безопасное» и «FTP») уже будут заполнены автоматически. Перейдите в раздел «Исключения», и в поле «Не использовать прокси-сервер для адресов, начинающихся с» введите адреса сайтов, которые вы хотите добавить в разрешенный белый список. Обязательно введите полные адреса веб-сайтов, разделяя их между собой допустимым знаком препинания, точкой с запятой.

Когда закончите заполнять раздел исключений, нажмите кнопки «ОК» во ранее открытых окнах, чтобы внесенные изменения вступили в силу. Теперь все веб-сайты, кроме тех, которые вы включили в белый список, на вашем персональном компьютере с операционной системой «Windows 10» будут заблокированы, независимо от вида веб-браузера, используемого вами для подключения к информационной сети «Интернет».

При попытке запуска любых сайтов, которые не внесены в перечень разрешенных исключений, пользователи увидят системное сообщение «Нет подключения к Интернету», «Прокси-сервер отказывается принимать соединения» или «Прокси-сервер не отвечает».

Представленный нами метод должен использоваться в качестве крайней меры, когда уже исчерпаны все остальные средства по ограничению доступа к нежелательным веб-сайтам. Для домашнего компьютера, к которому имеют доступ несколько пользователей, такой метод, в долгосрочной перспективе, не удобен, и может вызывать определенные неудобства, связанные с необходимостью включать, каждый раз, разрешение на отображение всех сайтов для доверенных пользователей.

Ограничения такого метода

Единственный недостаток, с которым пользователи могут столкнуться, заключается в том, что этот метод не работает для подключений удаленного доступа или при использовании «VPN». Также, это ограничение довольно легко отключить. Однако такой метод удачно подходит в случае, когда ваш ребенок не слышал о блокирующей возможности, доступной в приложении «Internet Explorer».

Существует также несколько других альтернативных способов. Тем не менее, они не блокируют полностью все сайты, позволяя лишь указать отдельные исключения. Вместо этого пользователям, наоборот, потребуется указать сайты, которые необходимо заблокировать. Более того, этот метод может оказаться достаточно трудоемким и громоздким, если пользователь подготовил длинный список ограничений.

2. Альтернативный метод: редактирование файла «hosts»

Файл «hosts» представляет собой текстовый файл, в котором расположена база данных доменных имен, сопоставляемая с их сетевыми адресами. Файл позволяет переопределять доменные имена и перенаправлять передачу сетевых пакетов с вашего компьютера на определенный «IP-адрес».

Внесение изменений в «hosts» файл может быть опасным и привести к возникновению непредвиденных и нежелательных последствий, в результате которых некоторые приложения или веб-сайты перестанут загружаются, особенно в операционной системе «Windows 10». Именно поэтому «Windows 10» не позволяет пользователям напрямую редактировать файл «hosts». Первоначально, пользователи должны установить соответствующее разрешение. Давайте рассмотрим, как это сделать.

Шаг 1. В персональном компьютере с операционной системой «Windows 10» откройте проводник файлов «Этот компьютер» и перейдите по следующему пути, открывая пошагово каждый каталог, или скопируйте и вставьте в адресную строку проводника искомый адрес.

В указанном каталоге найдите файл «hosts» и щелкните его правой кнопкой мыши для вызова всплывающего меню, в котором из списка доступных действий выберите раздел «Свойства».

Шаг 2. В открывшемся окне свойств файла «hosts» перейдите на вкладку «Безопасность». Теперь в разделе «Группы или пользователи» выделите строку «Пользователи», щелкнув ее один раз левой кнопкой мыши, а затем нажмите на кнопку «Изменить», чтобы дополнительно задать отдельные разрешения.

Шаг 3. В новом окне, отвечающем за разрешения для группы «hosts», в разделе «Группы или пользователи» снова выделите строку «Пользователи». Теперь в разделе «Разрешения для группы «Пользователи»» установите индикатор выбора (флажок) в ячейке на пересечении строки «Изменение» и колонке «Разрешить». Затем нажмите кнопки «Применить» и «ОК» для сохранения внесенных разрешений.

Шаг 4. Теперь пользователи могут вносить изменения в файл «hosts». Для редактирования файла «hosts» можно воспользоваться любым вариантом текстового редактора, исходя из личных предпочтений каждого пользователя, например, применить стандартное приложение «Блокнот», предустановленное в операционной системе «Windows» по умолчанию, «Notepad++» или другой редактор по желанию. Откройте файл «hosts», перейдите в конец текста и нажмите клавишу «Ввод» на клавиатуре, чтобы добавить новую строку после фразы «localhost». Введите следующий адрес, затем пробел и адрес веб-сайта, который вы хотите заблокировать.

Файл «hosts» с заданным параметром блокировки доступа к сайту «YouTube» будет выглядеть следующим образом.

Если необходимо заблокировать другой сайт, например «Instagram», то строка будет иметь следующий вид без кавычек: «127.0.0.1 www.instagram.com». Для ограничения доступа к нескольким веб-сайтам, добавьте новую строку, а затем введите новый адрес, создав строки по количеству сайтов. По завершению редактирования файла, сохраните внесенные дополнения.

Теперь вернитесь в браузер по вашему выбору и попытайтесь подключиться к сайтам, которые только что были заблокированы. Как и в предыдущем случае, пользователи увидят системное сообщение «Сайт не доступен» в разных вариантах для каждого типа браузера. Это довольно надежный метод, когда пользователи, профили которых не обладают правами администратора, могут вносить изменения в системные настройки и блокировать доступ к отдельным веб-сайтам.

Полноценный контроль за деятельностью детей в «Интернете»

Отдельно стоит остановиться на методе «Microsoft Семья», который позволяет не только блокировать неподходящие веб-сайты, а дополнительно расширяет возможные варианты контроля и увеличивает количество устанавливаемых ограничений для профиля ребенка. По своему действию он напоминает второй, представленный нами, метод, который мы обсуждали выше, но «Семья» имеет лучший пользовательский интерфейс и обладает большим списком различных способов защиты.

Пользователи могут указать возраст ребенка, и будут отображаться, соответствующие его возрасту, игры и приложения. Помимо этого, можно выполнить настройку ограничений экранного времени, позволяющую использовать компьютер по определенному графику, предотвращать непредвиденные расходы, контролируя их по электронной почте и т.д. Вполне естественно, что важным условием для входа в систему «Microsoft Семья» является наличие учетной записи «Microsoft», на странице которой пользователи дополнительно смогут ознакомиться с полным набором доступных возможностей.

Заключение

Информационные ресурсы обладают высокой степенью доступности, во многом благодаря современным компьютерным устройствам и международной сети «Интернет», посредством которой большинство пользователей получают различную информацию.

Помимо важных и необходимых для ежедневной деятельности пользователей данных, в сети «Интернет» присутствует множество сайтов, к которым может потребоваться ограничить доступ, по различным причинам.

Применяя представленные методы, пользователи, всегда смогут заблокировать открытие нежелательных веб-сайтов, посредством общей блокировки доступа, и разрешить посещение дружественных веб-сайтов, путем внесения их в белый список. Или закрыть доступ к отдельным конкретным сайтам, по выбору пользователей, без полной блокировки всех остальных сайтов. А также воспользоваться личными настройками безопасности для членов своей семьи, при условии подключения их в единую семейную группу в учетной записи «Microsoft».

Я хочу блокировать входящие соединения из 13.54.Х. Х. Под "прицел" > "этот IP-адрес диапазона входного" поля ввода (от и до), Я пишу:

13.54.0.0 to 13.54.255.255

или нужно ли создавать отдельные правила:

4 ответов

сначала вычислите запись c >

есть три способа заблокировать диапазон IP-адресов.

С панелью управления брандмауэра:: Откройте Панель управления брандмауэром Windows с Win + R и типа WF.msc. Нажмите на правила для входящих подключений > новые правила > настройка > все программы > тип протокола: любой > добавить удаленный IP-адрес (см. ниже) > проверьте блок соединения > профиль: выбрать все > имя.

добавить удаленные IP-адреса:: нажмите на кнопку ‘IP-адрес’ переключатель в разделе удаленный IP. Type 13.54.0.0/16 ниже ‘этот IP адрес или подсеть’ и затем OK. Теперь ваше входящее правило готово.

С Командной Строкой Администратора:: введите команду netsh advfirewall firewall add rule name="New_Rule" Dir=In Action=Block RemoteIP=13.54.0.0/16

С Администратором Powershell:: введите команду New-NetFirewallRule -Direction Inbound -DisplayName "New_Rule" -Name "New_Rule" -RemoteAddress 13.54.0.0/16 -Action Block

создайте одно правило брандмауэра, используя маску подсети

вы можете создать одно правило брандмауэра, чтобы заблокировать диапазон IP 13.54.0.0 to 13.54.255.255 С помощью /16 маски такой:

часть после / — это маска подсети, который определяет, сколько битов указанного адреса должно быть проверено, чтобы определить, соответствует ли IP-адрес соединения правилу.

в вашем случае это легко выяснить. Вы хотите сопоставить адреса основываясь только на первых двух октетах (13.54.x.x) IP-адреса. Октет содержит 8 бит, поэтому два октета равны 16 битам или маске /16 .

узнать больше Википедии об использовании маски битов, чтобы указать, какие части IP совпадают.

PowerShell также поддерживает диапазоны и списки, если они не попадают в определенную маску подсети.

Блокирование IP-адресов с помощью брандмауэра Windows 7

Владельцы компьютеров под управлением Windows 7 нередко озадачиваются вопросом блокировки входящих и исходящих соединений для определенных IP-адресов, например, с целью отсечения трафика, генерируемого сомнительными серверами либо рекламными площадками. Как правило, многие пользователи для решения данной задачи прибегают к использованию сторонних брандмауэров и совсем не догадываются о том, что для разборок с нежелательными айпишниками вполне сгодятся штатные средства операционной системы Windows.

Рассмотрим на конкретном примере. Допустим, мы хотим пустить под нож надоедливые рекламные видеоблоки Smart Links, то и дело встречающиеся на многих популярных интернет-порталах. Банальной правкой файла hosts с этой всплывающей напастью справиться нельзя, и помогает только одно — занесение в «черный список» IP-адреса 93.191.11.124, с которого, собственно, и осуществляется трансляция флешовых роликов.