Что такое брандмауэр, зачем он нужен, как его включить и настроить – пошаговое руководство

О брандмауэре многие узнают при попытке установить приложение или при появлении окошка, оповещающего об опасности. И тут начинают возникать вопросы: что это, для чего нужно, как выключить/включить, настроить. Мы расскажем все про брандмауэр — что это такое в компьютере, где найти, как и зачем использовать. Даже новички научатся решать проблемы и эффективно защитят операционку от вирусов.

Что такое брандмауэр и какие функции выполняет

С немецкого брандмауэр (brandmauer) переводится как “противопожарная стена”. Определение перекочевало из сферы строительства в информатику, где означает программу, главная функция которой — защита операционной системы от сетевых, хакерских атак. Назначение брандмауэра — выслеживать и блокировать все вредоносные подключения, обеспечивать защиту персональной пользовательской информации. То есть он постоянно прослушивает порты компьютера, чтобы выявить момент подключения к ним нехороших прог, вирусов, червей.

Каковы функции такой защиты:

• следит за сомнительными соединениями, например, если они пытаются отправить информацию в Интернет;
• блокирует порты, которые не участвуют в работе, и изучает трафик с открытых портов;
• наблюдает за работающими приложениями и предупреждает пользователя, если изменяется важная информация запущенных прежде программ.

Синонимы — файрвол (firewall с английского — “противопожарная стена”), сетевой или межсетевой экран. Но файрволом часто именуют приложения сторонних производителей, а брандмауэром стандартную прогу для ОС Windows. Некоторые пользователи дают неверное название: фаервол, брандмауер, брандмаузер, браундмер. Так говорить неправильно, но смысл не меняется, и все друг друга понимают.

Файрвол не является антивирусом. Он не дает вредоносным файлам проникнуть в операционку, тогда как главной задачей антивируса является борьба с опасными программами и вирусами, которые все же попали в нее. Гарантировать безопасность помогает обоюдное использование брандмауэра и сочетаемого с ним антивируса. Первый был внедрен разработчиком в ОС, начиная с версии XP.

Как включить брандмауэр в windows и правильно настроить

Как найти брандмауэр? В панели управления. Во всех версиях операционки Виндовс, кроме 8 и 8.1, его легко находить через “Пуск”.

• на начальном экране нажать правой кнопкой мыши, выйдет “Все приложения”;
• после нажатия на экране появится список приложений, где нужно найти “Панель управления”.

В Windows 8.1. для отображения меню кликнуть на кружок со стрелкой внизу начального экрана. Есть две программы: “Панель управления HD-графикой Intel@” и просто “Панель управления”. Нужен второй вариант.

Еще один метод включить брандмауэр — вставить команду firewall.cpl в окошко “Выполнить”, которое открывается комбинацией «Win» и «R» (нажать одновременно).

После открытия файрвола нужно проверить, в каком он состоянии. Зеленый щиток говорит о том, что защита включена, красный — отключена.

• перейти во вкладку “Включение и отключение” (меню слева);
• поставить указатель на “Включить”;
• нажать “Ок” (внизу экрана).

После этого файрвол будет автоматически запускаться при старте системе, то есть постоянно включать его не требуется.

В этом же окне отображаются основные настройки брандмауэра для двух видов сети: общественной и частной.

Что можно сделать:

• заблокировать все входящие подключения.
• установить уведомление файрвола, когда он блокирует новую прогу.

Межсетевой экран Windows от Microsoft есть в каждой современной операционке, но можно скачать и запустить брандмауэр от других производителей.

Если на компьютере стоит пиратская версия Windows, скорее всего, файрвол отключен или неправильно настроен.

Как работает брандмауэр — реальные примеры

Сетевой экран функционирует как пограничный блокпост, который пропускает трафик и в соответствии со списком правил не дает проникнуть в систему запрещенной информации. Если в систему пытается попасть вирус или вредоносная прога, пользователь увидит окно с оповещением об опасности, например: “Обнаружены программы, которые могут нарушить конфиденциальность или причинить вред”.

Это значит, что файрвол заподозрил опасность. В окошке будет ее описание, название программы. Это может быть троян, например, Trojan:WIN32/Vundo.MF. В случае подобной опасности нужно удалить вирус и очистить систему, выбрав соответствующие действия в окошке.

Брандмауэр может оповестить и о попытке доступа к сети. Всплывает окошко с надписью “Брандмауэр обнаружил попытку доступа к сети”. Если это не действие системной службы или известной неопасной программы (можно прогуглить ее), нужно заблокировать и проверить систему антивирусом.

Если какая-то прога хочет получить доступ к Интернету, межсетевой экран может оповестить о том, что заблокировал ее некоторые возможности. Если это было запланировано пользователем, в окошке нажать “Разрешить доступ”. Так ни одна программа не сможет подключиться к сети без ведома владельца.

Дополнительные настройки

Как зайти в дополнительные настройки правил и зон брандмауэра? Открыть то же меню, где включение.

Там можно изменить и проверить разные настройки прокси-сервера и брандмауэра:

• настроить доменный профиль;
• просматривать и настраивать правила подключения;
• создать правило для отдельных приложений и безопасного подключения.

Не разбирающемуся в тонкостях пользователю не стоит копаться в этом, дополнительные настройки брандмауэра предназначены для ИТ-специалистов.

При нажатии на “Дополнительные параметры” и другие элементы меню может выйти окошко с надписью “Вы хотите разрешить следующему приложению внести изменения на этот компьютер?” Для просмотра параметров нужно нажать “Да”.

Какой брандмауэр лучше

Стандартный файрвол обладает широким функционалом и позволяет создавать дополнительные правила. Для обычного пользователя этого достаточно. Файрволы сторонних производителей отличаются более глубокой и тонкой настройкой, простым интерфейсом, тогда как у стандартной проги полезные функции скрыты за сложным оформлением. Можно скачать Windows Firewall Control, который позволяет управлять возможностями встроенного файрвола Виндовс. Обеспечивает быстрый доступ к его самым востребованным функциям.

Большинству владельцев компьютеров сторонний брандмауэр создает ненужные сложности. Опытным пользователям, которые используют устройство профессионально и в режиме многозадачности, сторонние файрволы позволяют легко управлять доступом приложений к интернету. Можно контролировать, какие программы будут подключены к интернету. Обычным пользователя это создаст проблемы, так как можно случайно запретить доступ к процессам обновлений и сделать систему уязвимой.

Для специалистов полезны следующие сторонние брандмауэры, которые можно сравнить с целыми антихакерскими комплексами:

• Comodo Firewall — бесплатная прога с контент-фильтром, мгновенно оповещающая пользователя о возможной атаке. Делает компьютерные порты невидимыми для атак хакеров. Есть автоматическое обновление, подсказки для новичков;
• Avast! Internet Security — бесплатное антивирусное программное обеспечение с файрволом. Имеет мощный сетевой экран. Выявляет фишинговые сообщения: с подозрительными формулировками и от недостоверных пользователей. Помогает избегать поддельных сайтов;
• AVG Internet Security с бесплатным пробным периодом. Обеспечивает комплексную защиту, имеет сканер электронной почты и анти-спам. Автоматическое обновление, анализ в реальном времени, технологии искусственного интеллекта. Программа использует облачную технологию, что экономит компьютерные ресурсы;
• Outpost Firewall Pro с бесплатной пробной версией. Эффективно защищает от неведомых угроз, контролирует содержимое на посещаемых страницах в Интернете. Настраивается вручную: можно выбрать уровень сетевой защиты, заблокировать доступ в сеть для конкретных программ и т.п;
• Zonealarm Free Firewall — простая бесплатная прога, защищающая компьютер в режиме реального времени. Скрывает систему от нежелательного сетевого трафика, каждый день проверяет кредитную карту, обеспечивает сервис возврата ущерба по ней. Отличается интуитивно понятным интерфейсом;
• Kerio Winroute Firewall позиционируется как разработка для малого бизнеса, защищает компьютеры в больших локальных сетях и офисных зданиях. Позволяет ограничить доступ пользователей к ряду сайтов на основе анализа их содержимого. Встроены URL-фильтры, VPN-сервис и IP-роутер;
• ESET NOD32 Smart Security сочетает функции антивируса, антишпиона, родительского контроля, брандмауэра, антивора, антиспама, антифишинга и USB-контроль. Быстро и точно обнаруживает вредоносные проги, имеет 5 режимов работы;
• Kaspersky Internet Security. Есть пробная версия. Эта прога в Касперском обеспечивает комплексную защиту от вредоносного ПО, слежки через веб-камеру, мошенников и других угроз из Интернета. Защищает онлайн-платежи шифрованием.

Среди перечисленных программ самым мощным брандмауэром является Comodo Firewall.

Добавление приложений в исключения

Родной файрвол иногда видит опасность там, где ее нет, блокируя прогу, в которой пользователь уверен на 100%. Ее нужно включить в перечень исключений.

Для этого в Windows 7,8 и 10:

• открыть брандмауэр;
• выбрать “Разрешение взаимодействия с приложением”;
• поставить напротив нужной проги галочки, сохранив изменения кнопкой “Ок”. Если ее в списке, перейти к следующим этапам.
• если активна строка “Изменить параметры”, кликнуть на нее. В противном случае сразу следующий пункт;
• кликнуть “Разрешить другое приложение”;
• если в перечне нет нужного названия, нажать на “Обзор” и указать путь к файлу запуска приложения;
• прога добавится к разрешенным компонентам. Напротив ее нужно установить галочки;
• кликнуть “Ок”.

Чтобы убрать приложение из исключений, нужно очистить все галочки напротив его названия.

Второй метод разрешения запуска проги через брандмауэр для более продвинутых юзеров:

• выбрать “Дополнительные параметры”;
• открыть “Правила для входящих подключений”;
• выбирая нужные параметры, создать правило (меню справа), обозначив путь приложения;
• сделать то же самое для исходящих подключений.

Кроме блокировки приложений файрвол иногда мешает пользоваться Интернетом.

Почему брандмауэр иногда блокирует интернет

Файервол иногда полностью блокирует или ограничивает доступ к сайтам из-за неправильных настроек.

• с компьютера идет много исходящего трафика, похожего на спам. Это может произойти при заражении шпионскими программами, использующими ресурсы ПК для совершения внешних действий без ведома владельца;
• серьезный сбой ПО, из-за чего автономные программы, в том числе брандмауэр, работают неадекватно;
• установка антивируса, алгоритм работы которого похож на вирусную активность;
• загрузка обновлений, изменяющих защитные настройки.

Что можно сделать:

• выполнить проверку сетевого экрана, действительно ли он запрещает доступ. Отключить его. Если доступ восстановлен, значит, дело в файрволе;
• посмотреть, нет ли указателя в пункте ”Блокировать подключения”. Для просмотра нужно открыть файрвол и выбрать элемент в левом меню;
• если установлен антивирус, проверить его совместимость с файрволом. Выключить антивирусную программу и проверить, восстановлен ли доступ к сайтам;
• сбросить настройки межсетевого экрана. После открытия файрвола в меню слева выбрать “Восстановить значения по умолчанию”, нажать и следовать подсказкам системы;
• перезагрузить компьютер.

Как его отключить или полностью удалить

Если брандмауэр мешает работе и создает сложности, его можно отключить. Но следует позаботиться о другой защите компьютера.

Для отключения нужно:

• выбрать “Включение и отключение”;
• поставить галочки на “Отключить”;
• нажать “Ок”;
• перезагрузить компьютер.

Но в работе еще остается служба брандмауэра, отвечающая за сетевую фильтрацию, поэтому процесс останется запущенным, занимая ресурсы оперативки и вызывая конфликты с посторонними защитными приложениями.

Как остановить службу:

• в панели управления выбрать “Администрирование”;
• нажать на ”Службы”;
• два раза нажать на “Брандмауэр”, вызвав меню управления;
• остановить службу, выбрать статус “Отключена”;
• нажать “Ок”

Удалить стандартный брандмауэр невозможно. Можно удалить только службу, чтобы навсегда завершить работу файрвола.

• открыть консоль “Командная строка”. Для этого можно в системе открыть c:\windows\system32\cmd;
• ввести команду sc delete mpssvc;
• нажать Enter;
• перезагрузить компьютер.

Восстановить службу непросто, а уничтожение защитного механизма вредит безопасности системы, поэтому нужно позаботиться о другом файрволе или хотя бы поставить хороший антивирус.

Выводы

Файрвол — нужная прога для защиты компьютерной системы от вредоносных атак. Правильная настройка помогает избежать трудностей при использовании Интернета и приложений. Следует убедиться в том, что компьютер и пользовательские данные надежно защищены.

Для продвинутых пользователей есть брандмауэры сторонних производителей, которые отличаются высокой мощностью и расширенными настройками. Лучше поставить комплексную защиту — файрвол вместе с антивирусом. Такие программы как Kaspersky Internet Security и Avast! Internet Security обеспечивают полную безопасность. Даже самые сильные сетевые атаки не смогут нанести ущерб!

Изучая брандмауэр Windows

Если вы работаете в операционной системе Windows XP или уже перешли на Windows Vista, брандмауэр Windows доступен всем вашим клиентам и обеспечит защиту, которая необходима для улучшения безопасности в пределах организации — даже если ваши мобильные сотрудники находятся за тысячи километров от офиса.

В давние времена, в палеокомпьютерную эру никто не задумывался об установке брандмауэра на каждый отдельный компьютер. Да и зачем? Тогда вряд ли кто-либо слышал об Интернете, никто не знал про TCP/IP, а маршруты протоколов локальный сетей не выходили за пределы здания или за территорию предприятия. Важные данные хранились на мэйнфрейме или файловых серверах — информация, которую люди держали на своих настольных компьютерах, была не особо важной, а собственный вес компьютера обеспечивал немалую степень физической безопасности. Если имелось подключение к Интернету, использовалось несколько преобразователей протоколов и маршрутизатор с фильтрацией пакетов (я имею в виду “брандмауэр”) на границе сети, который, скорее всего, требовал настройки огромного числа правил и исключений.

Современные компьютерные среды значительно отличаются от таких древних. Всё вокруг подключено к Интернету (и использует протокол TCP/IP), а мобильные устройства — просто обыденность. Работодатель обеспечивает вас переносным компьютером не потому, что заботится о вас — он заботится о том, чтобы получить от вас больше пользы. Он хочет, чтобы вы работали всегда, когда у вас появится пять свободных минут и подключение по Wi-Fi. Переносные компьютеры стоят дороже, чем настольные, но это полностью окупается производительностью. Как вы понимаете, именно мобильность делает их столь привлекательными для вас и ваших конкурентов.

Зададимся таким вопросом: какой процент от общего количества времени, в течение которого ваш компьютер включен и подсоединен к какой-либо сети, составляет время подключения к вашей корпоративной сети? Если вы работаете в режиме, похожем на мой, то не больше 20 процентов. Это означает, что только 20 процентов времени мой переносной компьютер находится в безопасности в пределах корпоративной сети корпорации Майкрософт, защищенный от внешних атак механизмами демилитаризованной зоны.Но как же быть с теми 80 процентами времени, когда мой переносной компьютер с различными целями подключается напрямую к Интернету? (А я очень часто подключаюсь к самым опасным сетям в мире: к ЛВС отеля во время конференции по компьютерной безопасности!) Да и при подключении к корпоративной сети — как насчет угроз, исходящих от других компьютеров в этой среде?

Средства безопасности разрабатываются после, а иногда значительно позже, появления угроз. Вирусы были клиентской проблемой, потому что люди широко использовали дискеты, и поэтому первая антивирусная программа появилась на клиентском компьютере. Позже, когда с ростом популярности электронной почты вредоносные программы превратились в сетевых червей, которые распространялись по ней, программы защиты от вредоносного ПО также эволюционировали, и появились шлюзы электронной почты. С развитием Интернета к вредоносным программам добавились трояны, и вслед за этим антивирусное программное обеспечение переместилось на прокси-серверы доступа в Интернет. Это широко известный эволюционный путь, который никто не ставит под сомнение.

А теперь давайте применим ту же логику к брандмауэрам. Для защиты от компьютерных угроз вчерашнего дня брандмауэра на границе сети хватало. Теперь его недостаточно, потому что угрозы многочисленнее, сложнее и все быстрее распространяются. При этом мы еще не касаемся того, что оборудование и способы работы значительно отличаются от используемых в прошлом. Многие компьютеры содержат секретную информацию, хранимую локально, и они могут длительное время находиться далеко от корпоративной сети (то есть за границей сети). Поэтому брандмауэру суждено стать защитным механизмом каждого отдельного клиента. Для клиентов брандмауэры больше не являются необязательными. Не делайте этой ошибки: не пренебрегайте ими. Для защиты компьютера от вашей собственной корпоративной сети и от Интернета клиентские брандмауэры жизненно важны.

Клиентские брандмауэры и “театр безопасности”

Многие люди не знали о том, что первый выпуск Windows® XP содержал клиентский брандмауэр. Это и не удивительно, так как по умолчанию брандмауэр был выключен, а включить его можно было, сделав довольно много щелчков мышью. Брандмауэр просто появился, причем достаточно скрытно, при этом не настаивая на своем использовании и не давая руководств по применению. Но он действительно работал. Если бы вы включили этот брандмауэр, то он защитил бы вас от вирусов Nimda, Slammer, Blaster, Sasser, Zotob и любых других попыток передать непрошенный трафик через порт вашей сети. Понимания важность защиты клиента, разработчики пакета обновления 2 (SP2) для Windows XP включили брандмауэр по умолчанию, создали два профиля (Интернет и корпоративная сеть) и интегрировали его с групповыми политиками.

К сожалению, два фактора замедлили восприятие брандмауэра Windows XP SP2: проблемы с приложениями и “театр безопасности”. Многие боялись, что брандмауэр помешает правильной работе их приложений. Такое, однако, случалось нечасто, что объясняется принципом работы брандмауэра. Он позволял любому исходящему трафику покинуть компьютер, но при этом блокировал весь входящий трафик, который не являлся ответом на некоторый предыдущий исходящий запрос. Единственный случай, когда такая схема нарушала работу клиентского приложения, — если оно создавало прослушивающий сокет и ожидало получения входящих запросов. Брандмауэр Windows XP обеспечивал простые настройки исключений для программ или портов (но, к сожалению, не с помощью групповой политики).

Большим препятствием являлся “театр безопасности”, устраиваемый производителями других клиентских брандмауэров. Некоторые люди полагали, что принципа работы брандмауэра Windows XP, а именно разрешения исходящему трафику беспрепятственно покидать компьютер, для полнофункциональной работы клиентского брандмауэра недостаточно. Аргументом было то, что клиентский брандмауэр должен задерживать весь трафик, входящий и исходящий, до тех пор, пока пользователь не даст явного разрешения.

Давайте разберемся. Здесь возникают два сценария.

• Если вы работаете с правами локального администратора, и ваш компьютер заражен вредоносной программой, то она просто отключит брандмауэр. Вы проиграли.
• Если вы не работаете как локальный администратор, и ваш компьютер заразился вредоносной программой, то эта программа заставит брандмауэр стороннего производителя открыть диалоговое окно, которое содержит иностранный текст (там что-то про порты и IP-адреса) и задает очень серьезный вопрос: “Вы разрешаете это сделать?”. Единственным ответом, конечно, будет “Да, да, да, тупой компьютер, и прекрати меня доставать!” И как только этот диалог исчезнет с экрана, исчезнет и ваша безопасность. Или, что еще чаще случается, вредоносная программа просто внедрится в существующий сеанс программы, действия которой уже одобрены, и вы даже не увидите диалогового окна. Вы опять проиграли.

Существует важный постулат безопасности, который необходимо усвоить: защита относится к ресурсу, который вы хотите защитить, а не к тому, от чего вы защищаетесь. Правильный подход — это запустить простой, но эффективный брандмауэр Windows на каждом компьютере вашей организации для защиты каждого компьютера от других компьютеров по всему миру. Если вы пытаетесь заблокировать исходящие подключения от компьютера, безопасность которого уже нарушена, то как вы можете быть уверены, что компьютер делает то, что вы просите? Ответ прост: никак. Исходящая защита — это “театр безопасности”, это уловка, которая только создает впечатление улучшения безопасности, при этом не делая ничего для действительного ее улучшения. Вот почему исходящей защиты не было в брандмауэре Windows XP и вот почему ее нет и в брандмауэре Windows Vista™. (Далее я еще остановлюсь на управлении исходящим трафиком в Windows Vista.)

Что нового в Windows Vista?

Основой для брандмауэра Windows Vista является платформа фильтрации Windows, часть нового сетевого стека. Как и Windows XP, Windows Vista по умолчанию блокирует входящий трафик. В зависимости от того, какой профиль используется на компьютере, применяется несколько стандартных исключений для сетевых служб (о профилях я расскажу далее). При желании можно написать правила, разрешающие входящие подключения. Так же, как и Windows XP, Windows Vista по умолчанию пропускает весь исходящий трафик интерактивных процессов, но ограничивает исходящий трафик служб, который определен в ограничениях служб. И, опять же, можно написать правила для блокировки дополнительных исходящих подключений.

Серьезным отличием Windows Vista от Windows XP является новый интерфейс повышенной безопасности и полная поддержка групповых политик в области настроек и правил (см. рис. 1). Старая панель управления в интерфейсе пользователя осталась практически без изменений, только настройки журнала и протокола ICMP переместились в новый интерфейс. Этот новый интерфейс пользователя, оснастка MMC “Повышенная безопасность”, обеспечивает новые возможности и гибкость. Имеется также новый контекст netsh advfirewall в команде netsh, с помощью которого можно запускать сценарии добавления и удаления правил, настраивать и показывать глобальные и профильные политики и просматривать состояние активности брандмауэра. Для вас, разработчики: файлы FirewallAPI.dll и Netfw.h обеспечивают программное управление всеми параметрами брандмауэра.

Рис. 1 Брандмауэр Windows в режиме повышенной безопасности (Щелкните изображение, чтобы уменьшить его)

Управление в оснастке MMC “Повышенная безопасность” осуществляется с помощью мастера. При создании правила вы можете выбрать один из четырех типов: для программы, для порта, предопределенное или пользовательское. Пояснения см. на рис2.

При написании правил можно использовать множество элементов — все они доступны для локальных правил и правил, применяемых с помощью групповой политики. В их число входят: учетные записи и группы пользователей и компьютеров службы Active Directory ® , исходные и конечные IP-адреса, исходные и конечные порты TCP и UDP, номера протоколов IP, программы и службы, типы интерфейсов (проводной, беспроводной или удаленный доступ) и типы и коды ICMP.

Будучи настроенным, брандмауэр обрабатывает правила в следующем порядке.

Ограничения служб Некоторые службы в Windows Vista ограничивают себя для снижения вероятности новой атаки типа Blaster. Одно из ограничений — это список портов, которые необходимы данной службе. Брандмауэр следит за этим и запрещает использование (или указание использовать) данной службой другого порта.

Правила безопасности подключения Оснастка MMC “Повышенная безопасность” наряду с поддержкой брандмауэра отвечает и за работу протокола IPsec. Любые правила, которые включают политики IPsec, выполняются во вторую очередь.

Обход проверки подлинности Это позволяет определенным компьютерам, прошедшим проверку подлинности, обойти другие правила.

Блокирующие правила Эти правила явно блокируют определенный входящий и исходящий трафик.

Разрешающие правила Эти правила явно разрешают определенный входящий и исходящий трафик.

Правила брандмауэра хранятся в реестре, но где именно, я не скажу. Ну. ладно, вы найдете их здесь:

• HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\SharedAccess\Defaults\FirewallPolicy\FirewallRule
• HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules
• HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\RestrictedServices\Static\System

Но только не редактируйте эти правила прямо в реестре. Иначе мы найдем вас, выкрадем вашего домашнего любимца и продадим на eBay! Ну, может, до этого и не дойдет, но единственный поддерживаемый способ редактировать правила — это использовать MMC режима повышенной безопасности.

Сетевые профили

В Windows Vista определено три сетевых профиля: доменный, частный и общий. Если компьютер принадлежит домену, и вход в домен успешно выполнен, автоматически применяется профиль домена — самостоятельно сделать этот выбор вы не можете. Когда компьютер подключен к внутренней сети, в которой нет домена (например к домашней сети или сети в небольшом офисе), вы (или администратор) должны применить частный профиль. Наконец, когда компьютер подключен непосредственно к Интернету, следует применить общий профиль.

Как Windows Vista определяет, куда поместить ваш компьютер? Если происходит изменение сети (получен новый IP-адрес, обнаружен новый шлюз, применяемый по умолчанию, или получен новый интерфейс), служба сетевого расположения (NLA) выявляет это изменение. Она создает сетевой профиль, который включает информацию о существующих интерфейсах, о том, прошел ли компьютер проверку подлинности при подключении к контроллеру домена, MAC-адрес шлюза и т.д., и присваивает этому профилю GUID. Затем NLA уведомляет брандмауэр, и тот применяет соответствующую политику (для каждого из трех существующих профилей определена своя политика).

Если интерфейс новый и компьютер ранее с ним не сталкивался, а служба NLA не выбрала профиль домена, вы увидите диалоговое окно, в котором вас попросят указать тип сети, к которой вы подключаетесь. Как ни странно, вариантов три: домашняя, рабочая и публичная. Вы можете подумать, что “рабочая” означает профиль домена, но на самом деле это не одно и то же. Помните, что профиль домена вы не увидите, так как при подключении компьютера к домену служба NLA выбирает его автоматически. На самом деле оба варианта — “домашняя” и “рабочая” — относятся к частному профилю. Функционально они одинаковы — отличаются только значки. (Примечание. Чтобы выбрать частный профиль, вы должны быть локальным администратором или иметь возможность повысить права до локального администратора.) Как и следовало ожидать, “публичная” относится к общему профилю.

В Windows Vista сетевой профиль применяется ко всем интерфейсам компьютера. Вот краткое описание алгоритма дерева решений службы NLA.

1. Исследовать все подключенные сети.
2. Имеется ли интерфейс, подключенный к сети, определенной как публичная? Если да, настроить профиль компьютера как общий и выйти.
3. Имеется ли интерфейс, подключенный к сети, определенной как частная? Если да, настроить профиль компьютера как частный и выйти.
4. Все ли интерфейсы видят контроллер домена и выполнил ли компьютер успешный вход в него? Если да, настроить профиль компьютера как доменный и выйти.
5. Иначе настроить профиль компьютера как общий.

Целью является выбор как можно более ограничивающего профиля. Однако здесь есть два очевидных побочных эффекта. Во-первых, если порт Ethernet вашего компьютера подключен к вашей корпоративной сети, а его адаптер беспроводной связи подключен к сети кафе Starbucks этажом ниже, компьютер выберет общий профиль, а не профиль домена. Во-вторых, если ваш компьютер подключен прямо к Интернету (в общем профиле) или подключен к вашей домашней ЛВС (в частном профиле), и вы устанавливаете VPN-подключение к корпоративной сети, ваш компьютер остается в общем или частном профиле.

Что это может означать? Политика брандмауэра для профиля домена включает правила для удаленной поддержки, удаленного администрирования, общего доступа к файлам и принтеру и т.д. Если вы используете эти правила, чтобы удаленно подключиться к клиенту, у вас ничего не получится, если клиент выбрал какой-либо другой профиль. Но не расстраивайтесь — можно написать правила брандмауэра, которые разрешают необходимые вам входящие подключения, а затем применить их только к VPN-подключениям.Теперь можно выполнять администрирование ваших клиентов с помощью VPN, даже если они не используют профиль домена.

Управление исходящими подключениями

Ранее я упоминал, что исходящая защита в клиентских брандмауэрах — не более чем “театр безопасности”. Однако один из видов управления исходящей защитой очень полезен: это административное управление определенными типами трафика, которые вы определенно не хотите разрешать. Брандмауэр Windows Vista уже делает это для ограничений служб. Он позволяет службе использовать необходимые ей порты и блокирует любые другие ее действия. Можно создать дополнительные правила, которые будут разрешать или блокировать определенный трафик в соответствии политикой безопасности вашей организации (см. рис. 3 ).

Рис. 3 Мастер создания правила для нового входящего подключения (Щелкните изображение, чтобы увеличить его)

Скажем, вы вдруг захотели запретить пользователям работать с определенным клиентом мгновенной передачи сообщений. Вы можете создать правило (конечно, в групповой политике) для блокировки подключений этого клиента к регистрационным серверам.

Но на пути применения такого подхода есть практические ограничения. Например, Windows Live™ Messenger (который вы, возможно, все еще знаете как MSN ® Messenger) имеет множество различных серверов, которые могут использоваться для входа, и их список постоянно меняется. Кроме того, если используемый по умолчанию порт 1863/tcp заблокирован, он переключится на порт 80/tcp. Правило для блокировки подключения Windows Live Messenger к регистрационным серверам будет слишком сложным и подверженным постоянным корректировкам. Я привел этот пример, чтобы проиллюстрировать, что административное управление исходящим трафиком может быть полезным, но оно не заменяет политик ограниченного использования программ, если необходимо соблюдать строгий контроль программного обеспечения, которое пользователям разрешено устанавливать и запускать.

Защитите свой компьютер

Демилитаризованной зоны больше нет. Теперь каждый компьютер должен следить за собственной безопасностью. Как программы защиты от вредоносного программного обеспечения были перенесены с клиентского компьютера на границу, так и брандмауэры должны быть перемещены с границы на клиентов. Вы можете сделать это мгновенно, включив брандмауэр, который у вас уже установлен.

Если вы работаете в операционной системе Windows XP или уже перешли на Windows Vista, брандмауэр Windows доступен всем вашим клиентам и обеспечит защиту, которая необходима для улучшения безопасности в пределах организации — даже если ваши мобильные сотрудники находятся за тысячи километров от офиса.