» Настройка персональных файерволов (firewall rules)

Цитата:

по поводу службы DNS-клиент: если её отключить, то все запросы будут посылаться самими приложениями. Поэтому при подключении vpn у вас и вышел запрос от эксплорера. Если включить службу, тогда запросы пойдут от лица svchost.exe. И так можно разрешить какой-то DNS-запрос программе, которой как бы незачем его делать, а вы и не поймёте, кто это на самом деле его производил.

Да так ясней, если позволите хотел бы в ПМ уточнить нюансы.

sanni00015

Цитата:

если позволите хотел бы в ПМ уточнить нюансы.

а давайте не в ПМ, давайте здесь

так и не определился - стоит отключать DNS-клиент и разрешить DNS-запросы конкретным приложениям или же оставить как есть по-умолчанию, понаставить запретов..

Skif_off

Цитата:

стоит отключать DNS-клиент и разрешить DNS-запросы конкретным приложениям или же оставить как есть по-умолчанию

DNS-клиент отключать, конечно, можно, но не нужно. Дело в том, что клиент хранит в памяти все IP-адреса, посещенные в текущем сеансе работы. Другие приложения этого могут не делать. Надеюсь, помните проблему с подключением к ru-board, когда было отказано в DNS-обслуживании за несвоевременную оплату — тогда подключиться могли только те, у кого работал DNS-клиент, уж потом, внеся соответствующие адреса в hosts, можно было подключаться в любое время…

Skif_off, ничего секретного в личке не было. Если sanni00015 выложит эту инфу, то я не против, хотя там ничего особенного нет (по большому счёту, вопрос был индивидуального характера).

Особого смысла, чтобы отключать DNS-клиент, нет: памяти вы особо не сэкономите, проблемы могут быть (Zeesh написал), а вот запретить исходящие DNS-запросы на любые адреса, кроме DNS провайдера (или других используемых) не так и сложно. Для этого в глобальных правилах сначала разрешаем исходящие UDP на порт 53 серверов DNS, а следующим правилом запрещаем все прочие исходящие UDP на порт 53. Если фаер поддерживает создание групп адресов, тогда можно создать группу "DNS-серверы" и включить туда все используемые DNS-серверы. И уже эту группу подставлять в правилах для приложений как получателя в исходящих UDP на порт 53. Так организовать контроль исходящих DNS-запросов можно и при включенном, и при выключенном DNS-клиенте.

P.S. Я всю жизнь с ним сидел в виндосе и ничего страшного. Включив эту службу и разрешив исходящие DNS для svchost мы ведь не разрешаем все остальные исходящие, пусть даже DNS-запрос через svchost сделал вредонос.

Дополнительно о системе DNS-серверов и как все это работает, можно узнать здесь…

Zeesh
WIGF
спасибо, что разжевали
просто вспомнил свои метания, внятной инфы не было, в итоге разрешил svchost.exe только исходящие к конкретным DNS-адресам прова, запретив все остальное, но сомнения - а не было бы удобнее сделать так, чтобы прога сама делала DNS-запрос? - все равно иногда всплывали..

Вот выложил.
ПМ переписочка "Настройки DNS". WIGF, sanni00015.

Как не настраивай Защиту, Skype прорвётся... "Skype: скрытая угроза. (08.06.2007 )" В который раз верна русская поговорка "Бесплатный сыр, в мышеловке" 10:36 10-08-2009

Добрый день!
В таблице настроек персональных фаерволов нет настроек для Skype. Может кто то подскажет? Или это не реально? Постоянно в Comodo вижу десятки соединений Skype с разными IP. Ни одна программа так себя не ведет. Но т.к. пользуюсь сносить не хочется-хочется ограничить, если можно.

Это нормальное поведение Скайп. Так он добивается надёжности связи при всех условиях.
Можно почитать про Скайп и файерволлы.
Там есть ссылки и про настройки для разных типов файерволлов.

Sympathy

Спасибо. Вот бы еще на русском...

Переведи страницу средствами Google
http://www.google.ru/language_tools
Вкинь адрес страницы в раздел Перевести эту страницу и вуаля!

bobvis
В общем - по скайпу - ссылка от Sympathy
1.В идеале - для приложения открыть TCP порты 1-65535
2. Для стабильной работы необходимы порты TCP 443 и 80
3. В случае проблем рекомендуют отправить отчет в деталях.

Добрый день всем.
Поставил фаер, настроил, все вроде работает. Но остались мною непонятыми несколько дилетантских вопросов. Прошу разъяснить.
1.При создании правил на исходящие запросы рекомендуется направление Internet zone, а не Any. У меня выставлено Any. Чем это может грозить? И если все-таки лучше прописать зону, то подскажите как это сделать. Выход в сеть из под локалки. Имеется маска подсети, основной шлюз, внешний айпишник. Не разбираюсь я в этих вопросах.
2.Loopback zone. У меня фаер сам прописал ее как 127.0.0.1/255.0.0.0 Это нормально или нет? Или она все-таки должна быть 127.0.0.1/127.0.0.1 ?
3.svchost.exe Он у меня в сеть лезет только один раз при соединении с сетью. В логе:
UDP 0.0.0.0 68 255.255.255.255 67 , в правиле для него направления указаны как Any. Есть ли смысл прописать ему жестко эти 0.0.0.0 и 255.255.255.255 или пусть будет Any?
Заранее спасибо. Сорри за тупые вопросы.

Herder1
1. По большому счёту, это избыточная вещь. Можно Any ставить.
2. Loopback - это 127.0.0.1/255.0.0.0, а 127.0.0.1/127.0.0.1 - это непонятно что. Вы главное не путайте само понятие после дроби: это не конечный адрес диапазона, а маска подсети. Если пишут диапазоны, тогда через тире их пишут, а не через дробь.
3. Пусть будет Any. Подробнее о DHCP...

Herder1
2
Цитата:

2.Loopback zone. У меня фаер сам прописал ее как 127.0.0.1/255.0.0.0 Это нормально или нет? Или она все-таки должна быть 127.0.0.1/127.0.0.1 ?

Цона 127.0.0.1/127.0.0.1 существовать не может, каждый фаер по своему понимает Loopback.
3 Конечно можно отправить тебя почитать доки, но мне кажется что тебе важнее иметь рабочий фаер, поэтому без статей и БЫСТРО.
DHCP - UDP BOTH Local PORT 67-68 - REMOTE PORT 67-68
Пока можно без адресов.

1. По первому пункту - см шапку - выделенное красным цветом.

WIGF

Спасибо за развернутый ответ. Насчет Loopback меня ввел в заблуждение документ из шапки темы по фаеру Comodo. Типовые настройки. Там указано следующее: Allow TCP OR UDP Out From 127.0.0.1 To 127.0.0.1 Просто криво прочитал. А у меня получается: Allow TCP OR UDP Out From Any To Loopback zone, а зона прописана как 127.0.0.1/255.0.0.0

подскажите есть какое-либо ПО или Firewall с такой возможностью. Я вижу лог, в нем вижу протокол, порт, который не документирован, любой после 1024 до 64000, как выявить сервис, службу, приложение, которое вызвало это соединение по этому порту.

gstmes
Например TCPView Там все покажет
Таких утилит бесплатных очень много, просто эта первая, которая вспомнилась.
А так еще существует системный журнал виндовс - если его правильно настроить, то там тоже это можно посмотреть.
зы
Но мне больше нравится типа TCPView - просто лень лезть в системный журнал, только в крайних случаях.

KUSA
спасибо это мой любимый набор утилит, только до этой я еще не дошел, уже скачал, буду юзать.

Народ, я пользуюсь только коммерческими сетевыми экранами, чтобы иметь официальную техподдержку для профессионального общения.
Сейчас юзаю VipNet Personal Firewall Инфотекс.
Проблема, есть тут такой DNStester в шапке ссылка в разделе лучший фаэрвол, если нужно дам ссылку, так вот в третьем режиме firewall этот leak test - естественно пропускает, т.к разрешены все исходящие, какой фильтр нужно создать, чтобы закрыть эту возможность. Во втором режиме, когда "запрещено все, кроме разрешенных", стенка держит, но прописывать фильтры для каждого разрешенного приложения у меня нет желания, лучше я напишу один фильтр, чтобы запретить в режиме "разрешены все исходящие".

By default on NT OSs since windows 2000, a Windows service 'DNS client' is running and handles
all DNS requests. Thus, all DNS requests coming from various applications you can have will be transmitted
to the DNS client (SVCHOST.EXE under XP) which will, itself, do the DNS request.
This behaviour can be used to transmit data to a remote computer by crafting a special DNS request
without the firewalls notice it. Indeed, the DNS client windows service must be allowed to acces the Internet.
DNStester uses this kind of DNS recursive request to bypass your firewall.
Служба DNS – клиент управляет всеми DNS запросами. Таким образом, все DNS запросы, поступающие от различных приложений могут быть переданы DNS client (SVCHOST.exe under XP) чтобы сделать DNS запрос. Это может быть использовано для передачи данных удаленному компьютеру путем специального DNS запроса, незамеченного сетевым экраном. DNS client windows сервис должен быть разрешен для доступа в Интернет.
DNStester использует этот вид DNS рекурсивного (рекуррентный – повторяющийся) запроса минуя ваш сетевой экран.

Служба DNS-клиента (dnscache) кэширует имена DNS (Domain Name System) и регистрирует полное имя данного компьютера.
Если служба остановлена, разрешение имен DNS будет продолжаться. Однако результаты очередей имен DNS не будут кэшироваться, и имя компьютера не будет зарегистрировано.

Your computer has just made a successful recursive DNS query for www.microsoft.com using DNS services. This means that it's possible to transfer information from your computer past personal and network firewalls.

Ваш компьютер успешно выполнил рекурсивный DNS запрос для www.microsoft.com используя DNS службу. Это означает, что возможна передача информации от Вашего компьютера через сетевой экран.

gstmes
1. Если не изменяет память - DNStester скорее для приложений.
2. Знаю точно два места, где на серверах стоит VisNetic и ничего плохого.
3. Iptables (где-то читал уже давно) тоже не проходит DNStester, но до сих пор считается одним из лучших фаерволов.

KUSA
поставлю Outpost Agnitum - посмотрю как он этот тест пройдет.

gstmes
Он првильно его отработает - Outpost -заточен на прохождение почти всех тестов.

подскажите из программных стенок обязательно с технической поддержкой в России, что рекомендуете, в идеале желательно с сертификацией ФСТЭК и ФСБ, но не обязательно, желательно, если есть достойный претендент, можно и без сертификации, для тех задач в которых он будет работать запрета нет.

Добавлено:
Мне нравится Agnitum, но может что-то посоветуете лучшее?

gstmes
В вашем случае лучше нет. OF самонастраивается, следовательно не нужно в нём копаться.

подскажите для firewall для MACOS плиз.

для винду пользуюсь оутпостом

Спроси лучше тут
http://forum.ru-board.com/topic.cgi?forum=5&topic=15135&start=0

просканерис сам себя LanSpy открыт TCP 139 порт стоит Outpost Firewall Pro 6.7
Как узнать что его использует ?
И нужно его закрывать или нет?

AdapterLp
Порт 139 TCP обычно слушается процессом System. Если не используется локальная сеть, порты 137-139 можно закрыть.

139 NetBios вроде, не на всех сетевых карточках его можно отключать, на некоторых пропадает интернет/сеть после отключения.