» Настройка персональных файерволов (firewall rules)

Пожалуйста подскажите что нужно добавить (установить, или еще чего) в фаерволе чтобы удаленные локальные пользователи могли пользоваться расшаренныем интерернетом.

Вообщем есть ПК на котором есть vpn интернет



через это сетевое раздается



вот один из ПК получающий доступ к интернету



ESET фаервол блокирует раздачу, как разрешить, какие правила добавить. Уже замучался.

Уважаемые спецы, подскажите, пожалуйста, как фаерволом NIS 2008 запретить соединения по протоколу IGMP (например). Как создать необходимое запрещающее правило, если в перечне протоколов только TCP, UDP, ICMP и ICMPv6? Во многих фаерволах картина та же, но есть возможность (почти всегда) запретить IP (и все порты) по нужному мне протоколу. Естественно, протокол IGMP запрещается полностью. В NIS2008 ничего придумать не могу...

Уважаемые спецы!

Посмотрел логи Комода и с удивлением обнаружил, что svchost лезет на 213.199.162.202:3544. По ИПу - хост мелкософта. Система - ХР СП3. Что за гадостная служба вызывает эту напасть?

gjf

Цитата:

Your computer has the advanced networking pack and an IPv6 stack installed.
Traffic to port 3544/udp is called "Teredo," a specification for tunneling
IPv6 traffic inside IPv4. Your computer is only checking to make sure a public
6-to-4 gateway is available, one we run.

Источник...

gjf

Цитата:

Следствием интеграции IPv4 с IPv6 в единый сетевой стек, стало появление туннельных протоколов Teredo, ISATAP, 6to4 и 6over4, причем Teredo уже успел попасть в RFC и осесть под номером 4380 (http://www.rfc-editor.org/rfc/rfc4380.txt). Разжеванное описание на понятным даже для неспециалистов языке можно найти в статье "Teredo Overview", опубликованной на Microsoft Tech Net: http://www.microsoft.com/technet/prodtechnol/winxppro/maintain/teredo.mspx.

Говоря на пальцах (ну, типа сурдоперевод для глухонемых), Teredo инкапсулирует (упаковывает) IPv6 трафик внутрь IPv4 пакетов (см. рис. 3), используя протокол UDP, слабости и недостатки которого хорошо известны. Если два IPv6 узла разделены IPv4 сегментом сети (наиболее типичная на сегодняшний день конфигурация), Виста задействует Teredo, направляя запрос одному из публичных Teredo-серверов, который в свою очередь передает его получателю, фактически выполняя роль proxy-сервера.

Самое интересное, что Teredo позволяет обходить трансляторы сетевых адресов (они же NAT'ы) и брандмауэры, причем это не баг, а фича. Рассмотрим два узла, защищенные NAT'ом, прямое взаимодействие между которыми невозможно. Но это оно по IPv4 невозможно, а если использовать Teredo-туннель, то истинный адрес и порт назначения окажется скрыт в Teredo-заголовке, а в IPv4 попадает адрес узла, "смотрящего" в Интернет и UDP-порт самого Teredo (3544), который, конечно, можно и закрыть, но как же тогда с остальными Виста-клиентами общаться?! Поскольку NAT не может установить ни реального целевого адреса, ни реального целевого порта протокола IPv6, он беспрепятственно пропускает IPv4 пакет. Это же самое относится и к другим защитным механизмам, не поддерживающим протокола Teredo.

l1720
XenoZ
У меня нет локалки, только интернет. Интернет за НАТом. И плевать я хотел на клиентов Висты. Убиваю порт наглухо...

Какие порты надо открыть для VPN клиента? Протокол PPTP.

Добавлено:
Забыл сказать PC Tools Firewall Plus

SAVage22
У тебя vpn-сервер, или просто нужен доступ vpn over ethernet? Если второе, то смотри тут.
(вопрос по конкретному фаеру лучше задавать в соответствующем топике)

XenoZ

Vpn client к VPN серверу. Инет нормальный PPPoE.

Народ, вот ищу такой файерволл, в котором можно было бы вообще отключить фильтр пакетов и защиту от атак, но при этом работал бы контроль приложений, т.е. приложения из черного списка он в интернет не пускал. Пробовал Comodo, он так не может

palamars

Цитата:

контроль приложений

BlackICE Defender. Используется компонента "Application Protection", движок отключается.

Спасибо, попробую. А бесплатного нет?

Цитата:

Народ, вот ищу такой файерволл, в котором можно было бы вообще отключить фильтр пакетов и защиту от атак, но при этом работал бы контроль приложений, т.е. приложения из черного списка он в интернет не пускал. Пробовал Comodo, он так не может

palamars, можно и в COMODO это настроить:

1. В третьей версии:
• В General Rules поставить одно правило (или же его в начало поставить и остальные правила перестанут работать):
Allow IP In/Out From IP Any To IP Any Where IP Protocol Is Any
• Также снять все галочки в Attack Detection Settings, а в графах по флуду поставить дурацкие цифры (предел срабатывания побольше за период времени поменьше).

2. А во второй версии можно отключить Сетевой монитор и снять все галочки по атакам в настройкам и цифры глупые поставить по флуду.

Цитата:

за период времени поменьше

Спасибо! (Я думал время тоже надо ставить большое)

Цитата:

осле KB951748 с локальных портов 49152-65535 лезет только svchost и только на DNS.

Есть такая проблема:
почему-то локальный порт для DNSа стал в диапазоне 27000-42000

Цитата:

Есть такая проблема:
почему-то локальный порт для DNSа стал в диапазоне 27000-42000

такая ж фигня, теперь на днс порт (53) локальные берет из диапазона выше 30 000. Хотя по правилам надо 1024-4999. Как это побороть?

solstice
acro

Цитата:

KB951748-решение проблемы для DNS:разрешаем локальные порты 1024:5000 и 49152:65535

Вроде в шапке понятно написано и на предыдущих страницах обсуждалось.

acro
Если в системе есть антивирус (антиспай с мониторингом) c Web проверкой трафика - то после KB951748 возможен сдвиг всех прописанных настроек. Вариант - или увеличиваем ширину с 1024:65535 или не ставим этот KB951748.
Но вот если KB951748 нету, а запросы DNS идут выше порта 10000 - внимательно проверяем систему, желательно разными антивирусами

Система W7b1, Firefox теперь работает через диапазон портов в районе 49500.
Теперь установка 1024-5000 не катит. Как узнать какой диапазон выставить, а то поставил 49000-65535 - дюже широко. Спасибо!

VikLabel

Цитата:

49000-65535 - дюже широко

Можно оставить, портов петли это не широко.

В шапке темы указаны порты для браузеров, диапазон портов заканчивается на 5000. Посмотрел в списке исходящих подключений в Comodo IS у большинства подключений порты в районе 50000-55000, в том числе и у брайзера. Вопрос - если я ограничу диапазон портов до 5000 не будет ли блокироваться вся моя сетевая активность или браузер сам переключится в предложенный диапазон портов?
Если такой вопрос был не ругайте, просмотреть 45 страниц дело не малое.

Seregik_AS, если речь о локальных (Закладка "Source Port" в CIS), то достаточно Exclude A Set of Ports : Privileged Ports (любые, кроме Privileged Ports). А если без загогулин, то разрешить Non-Privileged Ports (1024-65535) - тогда галка "Exclude" конечно не нужна.

Цитата:

...или браузер сам переключится в предложенный диапазон портов?

Я думаю, что это предположение верно. Но смысла в такой маниакальности (1024-5000) нет никакого. В CIS хватает других более важных ньюансов (правил), так что не зацикливайся на данной мелочи.

На сколько опасен системный порт 443? Стоит ли его закрывать а постоянной основе?

Sympathy
443? Вы не путаете с 445?
Если не путаете - вы SSL пользуетесь?

Sympathy
Цитата:

На сколько опасен системный порт 443? Стоит ли его закрывать а постоянной основе?

Конечно, опасен. Это https, если он у тебя открыт, значит у тебя сервер висит, твой, или вражеский, с шифрованием трафика. Спамерством не увлекаешься?

TeXpert
Чего вы девушку пугаете? Вряд ли троян будет держать оригинальный 443-й порт.

А вообще рекомендую разрешить все исходящие на порт 443 и запретить все входящие, если, конечно, у вас нет на машине сервера с SSL-шифрованием.

И сильно подозреваю, что речь шла о печально известном кидошном 445-м....

gjf
Цитата:

Чего вы девушку пугаете?

Вряд ли её напугаешь -- у неё Макафья
Цитата:

Вряд ли троян будет держать оригинальный 443-й порт

Это ещё почему? А что, бывает и поддельный 443-й?
Цитата:

А вообще рекомендую разрешить все исходящие на порт 443 и запретить все входящие

А я о чём говорю? Я про открытый у неё порт, а исходящий на этот порт нормальный человек не станет блокировать

TeXpert
Потому что это легко вскрывается. Легче открыть порт 23456, чем пастись на 443.
И уйдём от фантазий: вам известен хоть один вирус, использующий 443-й порт?

Цитата:

Вряд ли её напугаешь -- у неё Макафья

И что дальше? Каспер до сих пор до конца не поборол кидо - и что? На данный момент лучшим и самым надёжным антивирусом официально признана кнопка Power off.

gjf
Цитата:

Потому что это легко вскрывается

Ты думаешь, вирусописатели такие лохи?
Цитата:

Легче открыть порт 23456, чем пастись на 443

Как раз это легче обнаружить
Цитата:

И уйдём от фантазий: вам известен хоть один вирус, использующий 443-й порт?

То что мне неизвестно -- не означает, что таких нет, это раз. Второе -- при наличии у неё легального сервера, использующего порт 443, и следовательно, разрешённого, такой троян просто внедрится в адресное пространство сервера, и никакой firewall уже ему не страшен. И не говори, что это опять фантазии -- несмотря на бесконечные заплатки, дыры почему-то не уменьшаются. Кстати, Wzor-то упал как-то по-детски -- а ведь его хозяева вовсе не новички
Цитата:

И что дальше?

Это был намёк на то, что барышня кое-что умеет
Цитата:

Каспер до сих пор до конца не поборол кидо - и что?

Начхать мне на этого чудовищного тормоза
Цитата:

На данный момент лучшим и самым надёжным антивирусом официально признана кнопка Power off

Мне жаль придерживающихся этой точки зрения -- при грамотной политике (прямых руках) девушке нечего особо опасаться, а при твоих страхах -- вообще-то достаточно лишь отрубиться от сети (не питания) -- уж Power off-то зачем?)