Control Panel (Панель управления) > Network and Internet (Сеть и Интернет) > Network and Sharing Center (Центр управления сетями и общим доступом).

Сетевые подключения (Wi-Fi) нужно указывать в профилях Work (Рабочая сеть) или Home (Домашняя сеть) для того, чтобы была правильная настройка ограничений.

Запускаем cmd.exe и выбираем ping 8.8.8.8, чтобы проверить правильную настройку.

Доступ в сеть должен работать именно при соединении OpenVPN.

ПРАВИЛО ДЛЯ РАЗРЕШЕНИЯ DNS ЗАПРОСОВ

Обычно, правило для разрешения DNS запросов включено у всех сетевых профилей. Если у вас оно предъявляет угрозу анонимности, то можете его отключить.

Для этого зайдите в Outbound rules (Правила для исходящих подключений), выберите Core Networking (Основная сеть) – DNS (UDP-Out), вызовите контекстное меню, нажав правую кнопку мыши, и выберите Disable Rule (Отключить правило).

Также, у вас есть возможность сделать анализ правил брандмауэра и отключить ненужные, которые могут представить угрозу анонимности.

После того, как вы отключите правило Core Networking (Основная сеть) – DNS (UDP-Out) соединение с VPN-сервером по хостовому имени станет невозможным. Однако если конфигурационный файл предоставляет возможность подключения по IP-адресу, то соединение с VPN будет совершено после небольшой паузы в пару секунд.

Если у вас остались вопросы – смело задавайте их нашим специалистам и мы, в максимально короткий срок, постараемся вам помочь.

VidVPN – Включил и Доволен!

Настройка Брандмауэра Windows для подключений из сети за VPN-сервером Keenetic

Если вы настроили и установили VPN-туннель, но пинг проходит только до удаленного роутера и не проходит на компьютеры удаленной сети, то вероятнее всего на самих компьютерах блокирует трафик Брандмауэр Windows (Firewall).

В операционной системе Windows по умолчанию блокируются входящие подключения (в том числе и ICMP-запросы), если адрес источника этого подключения не принадлежит к назначенной на интерфейсе компьютера сети. При доступе к хосту в удаленную подсеть запрос будет приходить от адреса другой подсети, и соответственно будет заблокирован брандмауэром Windows.

TIP: Примечание: При использовании сторонней программы контроля сетевых подключений, например Kaspersky Internet Security или другой, настройка разрешающего правила доступа для трафика из удаленной сети будет аналогична, по нижеприведенному сценарию.

Далее рассмотрим настройку Брандмауэра Windows, разрешающую подключения из удаленной сети к компьютерам в локальной сети. Для этого достаточно создать политику сетевого экрана, регулирующую входящие подключения.

Приведенные в нашем примере скриншоты выполнены в ОС Windows 7.

1. В окне «Выполнить» (Win+R) введите wf.msc

Откроется окно конфигурации «Брандмауэр Windows в режиме повышенной безопасности». Это же окно можно открыть через меню «Панель управления > Система и безопасность > Брандмауэр Windows» по кнопке «Дополнительные параметры».

2. Выберите в в списке слева пункт «Правила для входящих подключений». Для добавления правила обработки трафика нужно нажать в правой панели «Создать правило. «

3. Откроется окно «Мастер создания правила для нового подключения». В нем нужно указать тип правила — «Настраиваемые» и перейти к следующему шагу по кнопке Далее.

4. В пунктах «Программа» и «Протокол и порты» не требуется менять установки по умолчанию.

В разделе «Область» следует установить переключатель «Укажите удаленные IP-адреса» в положение «Указанные IP-адреса» и нажать на кнопку Добавить.

5. В открывшемся окне нужно указать «IP-адрес удаленной подсети» и нажать OK.

В случае если правилом требуется разрешить доступ с компьютера в локальной сети VPN- сервера (правило создается на компьютере в локальной сети VPN-клиента), указывается подсеть на Домашнем интерфейсе VPN-сервера.
Если правило создается на компьютере в локальной сети VPN-сервера (требуется для разрешения входящих подключений из сети за VPN-клиентом), нужно указать подсеть, включающую адрес выданный клиенту от сервера. Для VPN-сервера PPTP, SSTP, L2TP/IPsec по умолчанию на интернет-центре это подсеть 172.16.1.0/24. Для сервера IPSec VPN нужно указать удаленную подсеть.
Можно указать несколько подсетей если к компьютеру требуется выполнять подключения из различных удаленных расположений. После ввода требуемых значений, нужно нажать Далее.

6. В разделе «Действие» оставьте предустановленное значение «Разрешить подключение» и нажмите Далее.

7. Раздел «Профиль» предоставляет возможность выбрать профиль, к которому будет относиться настроенное правило. Поскольку настройка выполняется для компьютера, подключенного в Домашней сети интернет-центра, достаточно оставить галочку напротив профиля «Частный» (Применяется при подключении компьютера к частной сети).

8. На завершающем шаге настройки нужно указать «Имя» правила и можно добавить поясняющее «Описание». Завершите работу мастера создания правила, нажав кнопку Готово.

9. Теперь в окне представления «Правила для входящих подключений» отображается созданное правило. В последних версиях ОС Windows для применения настройки дополнительных действий не требуется.

В случае если компьютер с ОС Windows подключен к локальной сети роутера, являющегося VPN-сервером и к нему требуется выполнять подключения из удаленной сети (за клиентом), в разрешающем правиле сетевого экрана следует указать подсеть, из которой выдаются адреса VPN-клиентам на сервере. По умолчанию на интернет-центрах Keenetic, при подключении к VPN-серверам PPTP, SSTP, L2TP/IPsec выдаются адреса клиентам из подсети частного диапазона 172.16.1.0/24.

Если компьютер, к которому требуется установить удаленное подключение, расположен в сети интернет-центра, являющегося VPN-клиентом, в разрешающем правиле Брандмауэра Windows потребуется указать подсеть, адрес из которой установлен на интерфейсе подключающегося из-за VPN-сервера компьютера. Согласно схеме в статье «Маршрутизация сетей через VPN», это подсеть 192.168.2.0/24.

Пользователи, считающие этот материал полезным: 35 из 51

Защитник Windows брандмауэра с расширенными мерами безопасности Windows Defender Firewall with Advanced Security design guide

Область применения Applies to

• Windows 10 Windows 10
• Windows Server 2016 Windows Server 2016

Защитник Windows брандмауэром с расширенными мерами безопасности является брандмауэр хост-системы, который обеспечивает безопасность устройства двумя способами. Windows Defender Firewall with Advanced Security is a host firewall that helps secure the device in two ways. Во-первых, он может фильтровать сетевой трафик, разрешенный для ввода устройства из сети, а также контролировать сетевой трафик, который устройство может отправлять в сеть. First, it can filter the network traffic permitted to enter the device from the network, and also control what network traffic the device is allowed to send to the network. Во-Защитник Windows брандмауэр поддерживает IPsec, что позволяет требовать проверку подлинности с любого устройства, которое пытается связаться с устройством. Second, Windows Defender Firewall supports IPsec, which enables you to require authentication from any device that is attempting to communicate with your device. Если требуется проверка подлинности, устройства, которые не могут проверить подлинность, не могут взаимодействовать с устройством. When authentication is required, devices that cannot authenticate cannot communicate with your device. С помощью IPsec можно также зашифровать определенный сетевой трафик, чтобы предотвратить его чтение или перехват во время перехода между устройствами. By using IPsec, you can also require that specific network traffic be encrypted to prevent it from being read or intercepted while in transit between devices.

Интерфейс для Защитник Windows брандмауэра гораздо более гибок и гибок, чем пользовательский интерфейс, Защитник Windows панели управления брандмауэром. The interface for Windows Defender Firewall is much more capable and flexible than the consumer-friendly interface found in the Windows Defender Firewall Control Panel. Они взаимодействуют с одними и теми же службами, но обеспечивают разные уровни контроля над этими службами. They both interact with the same underlying services, but provide different levels of control over those services. Хотя панель управления Защитник Windows брандмауэра отвечает требованиям для защиты одного устройства в домашней среде, она не предоставляет достаточных функций централизованного управления или безопасности для защиты более сложного сетевого трафика в типичной корпоративной среде. While the Windows Defender Firewall Control Panel meets the needs for protecting a single device in a home environment, it does not provide enough centralized management or security features to help secure more complex network traffic found in a typical business enterprise environment.

Об этом руководстве About this guide

В этом руководстве вы можете выбрать или создать проект для развертывания Защитник Windows брандмауэра в корпоративной среде. This guide provides recommendations to help you to choose or create a design for deploying Windows Defender Firewall in your enterprise environment. В руководстве описываются некоторые распространенные цели использования брандмауэра Защитник Windows, а затем описаны цели, применимые к вашему сценарию, с проектами, представленными в этом руководстве. The guide describes some of the common goals for using Windows Defender Firewall, and then helps you map the goals that apply to your scenario to the designs that are presented in this guide.

Это руководство предназначено для ИТ-специалистов, которым назначена задача развертывания технологий брандмауэра и IPsec в сети организации для достижения целей безопасности организации. This guide is intended for the IT professional who has been assigned the task of deploying firewall and IPsec technologies on an organization’s network to help meet the organization’s security goals.

Защитник Windows брандмауэр должен быть частью комплексного решения для обеспечения безопасности, которое реализует различные технологии безопасности, такие как брандмауэры периметра, системы обнаружения вторжений, виртуальная частная сеть (VPN), проверка подлинности IEEE 802.1X для беспроводных и проводных подключений, а также правила безопасности подключений IPsec. Windows Defender Firewall should be part of a comprehensive security solution that implements a variety of security technologies, such as perimeter firewalls, intrusion detection systems, virtual private networking (VPN), IEEE 802.1X authentication for wireless and wired connections, and IPsec connection security rules.

Для успешного использования этого руководства необходимо хорошо понимать как возможности брандмауэра Защитник Windows, так и то, как доставлять параметры конфигурации на управляемые устройства с помощью групповой политики в Active Directory. To successfully use this guide, you need a good understanding of both the capabilities provided by Windows Defender Firewall, and how to deliver configuration settings to your managed devices by using Group Policy in Active Directory.

Цели реализации можно использовать для формирования одной из этих Защитник Windows брандмауэра с расширенными макетами безопасности или настраиваемого дизайна, объединяющего элементы из представленных здесь элементов: You can use the implementation goals to form one of these Windows Defender Firewall with Advanced Security designs, or a custom design that combines elements from those presented here:

Проектирование базовой политики брандмауэра. Basic firewall policy design. Ограничивает сетевой трафик, в который и из ваших устройств, передается только необходимый и авторизованный трафик. Restricts network traffic in and out of your devices to only that which is needed and authorized.

Разработка политики изоляции домена. Domain isolation policy design. Предотвращает получение незапрошенного сетевого трафика с устройств, которые не являются членами домена, устройствам, которые являются членами домена. Prevents devices that are domain members from receiving unsolicited network traffic from devices that are not domain members. Можно установить дополнительные «зоны» для поддержки особых требований некоторых устройств, например: Additional «zones» can be established to support the special requirements of some devices, such as:

«Граница зоны» для устройств, которые должны иметь возможность получать запросы от не изолированных устройств. A «boundary zone» for devices that must be able to receive requests from non-isolated devices.

«Зона шифрования» для устройств, которые хранят конфиденциальные данные, которые должны быть защищены во время передачи по сети. An «encryption zone» for devices that store sensitive data that must be protected during network transmission.

Разработка политики изоляции сервера. Server isolation policy design. Ограничивает доступ к серверу только ограниченной группой авторизованных пользователей и устройств. Restricts access to a server to only a limited group of authorized users and devices. Обычно настраивается в качестве зоны в проекте изоляции домена, но также может быть настроен как изолированный дизайн, обеспечивая многие преимущества изоляции домена от небольшого набора устройств. Commonly configured as a zone in a domain isolation design, but can also be configured as a stand-alone design, providing many of the benefits of domain isolation to a small set of devices.

Проектирование политики изоляции на основе сертификатов. Certificate-based isolation policy design. Этот дизайн дополняет один из предыдущих двух макетов и поддерживает любую из их возможностей. This design is a complement to either of the previous two designs, and supports any of their capabilities. Вместо проверки подлинности Kerberos V5, используемой по умолчанию в Active Directory, используются криптографические сертификаты, развернутые на клиентах и серверах. It uses cryptographic certificates that are deployed to clients and servers for authentication, instead of the Kerberos V5 authentication used by default in Active Directory. Это позволяет устройствам, которые не являются частью домена Active Directory, например устройствам под управлением операционных систем, кроме Windows, участвовать в решении изоляции. This enables devices that are not part of an Active Directory domain, such as devices running operating systems other than Windows, to participate in your isolation solution.

В дополнение к описаниям и примерам для каждого проекта вы найдете рекомендации по сбору необходимых данных о вашей среде. In addition to descriptions and example for each design, you will find guidelines for gathering required data about your environment. Затем вы можете использовать эти рекомендации для планирования и разработки брандмауэра Защитник Windows с расширенным развертыванием безопасности. You can then use these guidelines to plan and design your Windows Defender Firewall with Advanced Security deployment. После прочтания этого руководства и завершения сбора, документирования и сопоставления требований организации у вас есть сведения, необходимые для начала развертывания брандмауэра Защитник Windows с помощью рекомендаций в руководстве по развертыванию брандмауэра Защитник Windows с расширенным развертыванием системы безопасности. After you read this guide, and finish gathering, documenting, and mapping your organization’s requirements, you have the information that you need to begin deploying Windows Defender Firewall using the guidance in the Windows Defender Firewall with Advanced Security Deployment Guide.

Вы можете найти Защитник Windows брандмауэра с помощью руководства по развертыванию advanced Security Deployment в указанных здесь расположениях. You can find the Windows Defender Firewall with Advanced Security Deployment Guide at these locations:

(Загружаемый документ Word) (Downloadable Word document)

В этом разделе In this section

Терминология, используемая в этом руководстве Terminology used in this guide

В следующей таблице указаны и определены термины, используемые в этом руководстве. The following table identifies and defines terms used throughout this guide.