Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Microsoft Windows 7 (http://forum.oszone.net/forumdisplay.php?f=95)
-   -   Windows Firewall: создание правила, привязанному к сетевой карте (http://forum.oszone.net/showthread.php?t=305578)

Mike33 18-09-2015 00:49 2554583
Windows Firewall: создание правила, привязанному к сетевой карте
 
Возможно ли создать правило, которое бы «висело» на определенной сетевой карте??
В мастере создания нового правила и в свойствах существующих правил нигде нет опций выбора определенного сетевого интерфейса.

cameron 18-09-2015 09:24 2554644
свойства правила-дополнительно-настроить

Mike33 18-09-2015 10:16 2554668
Это про свойства самого фаирвола? Там, где выбираются интерфейсы, на которых активен фаирвол?

Мне нужно немного другое. Что-то типа --in-interface/--out-interface у iptables.

Т.е. как сделать так, чтобы на разных сетевых интерфейсах были разные наборы правил?

cameron 18-09-2015 10:23 2554670
Цитата:
Цитата Mike33
Мне нужно немного другое. »
тогда попытайтесь сформулировать вопрос ещё раз.

Цитата:
Цитата Mike33
Т.е. как сделать так, чтобы на разных сетевых интерфейсах были разные наборы правил? »
попробуйте сделать то, что я написала.

Dzirt2005 18-09-2015 11:01 2554683
cameron, он достаточно подробно описал. Представьте себе - в компьютере ДВА сетевых интерфейса (грубо и утрировано - две сетевые карты с разными IP-адресами), например от двух разных провайдеров или один интернет, а второй - локальная сеть района, где проживает ТС. Пусть будут Интерфейс1 и Интерфейс2. Есть некая программа NNN.EXE, для которой есть разрешающее правило для выхода во внешний относительно компьютера мир. Так вот сделать это правило так, чтобы программа могла выходить через интерфейс1, но не могла через интерфейс2. Это просто пример, поясняющий суть вопроса.

cameron 18-09-2015 11:03 2554685
Цитата:
Цитата Dzirt2005
cameron, он достаточно подробно описал. Представьте себе - в компьютере ДВА сетевых интерфейса (грубо и утрировано - две сетевые карты с разными IP-адресами), например от двух разных провайдеров или один интернет, а второй - локальная сеть района, где проживает ТС. Пусть будут Интерфейс1 и Интерфейс2. Есть некая программа NNN.EXE, для которой есть разрешающее правило для выхода во внешний относительно компьютера мир. Так вот сделать это правило так, чтобы программа могла выходить через интерфейс1, но не могла через интерфейс2. Это просто пример, поясняющий суть вопроса. »
нужно сделать так, как я написала.
там есть опция выбора интерфейса для правила.

Mike33 18-09-2015 11:18 2554689
Цитата:
Цитата cameron
нужно сделать так, как я написала.
там есть опция выбора интерфейса для правила. »
Там нет опции выбора интерфейса. Там есть опция выбора ТИПА интерфейса.
А у меня, например, есть два интерфейса одинакового типа.
И мне нужно сделать два разных набора правил для двух разных интерфейсов одинакового типа.

Если нажать на ссылку справки в том окне, то прочитаем это:
Цитата:
Типы интерфейсов
Правило применяется к связям через сетевые подключения только тех типов, которые выбраны в этом поле. Можно выбрать один тип или их сочетание.

Локальная сеть
Правило применяется только к связям через подключения локальной проводной сети, настроенные на данном компьютере.

Удаленный доступ
Правило применяется только к связям через настроенные на данном компьютере подключения удаленного доступа, например подключения виртуальной частной сети (VPN) или коммутируемые подключения.

Беспроводной адаптер
Правило применяется только к связи через беспроводные сетевые адаптеры, настроенные на данном компьютере.

cameron 18-09-2015 11:24 2554692
Цитата:
Цитата Mike33
Там нет опции выбора интерфейса. Там есть опция выбора ТИПА интерфейса.
А у меня, например, есть два интерфейса одинакового типа.
И мне нужно сделать два разных набора правил для двух разных интерфейсов одинакового типа. »
теперь ясно.
а профиль у интерфейсов тоже одинаковый?

Mike33 18-09-2015 11:56 2554706
Цитата:
Цитата cameron
теперь ясно.
а профиль у интерфейсов тоже одинаковый? »
фактически да.
проблема в том, что искусственный интеллект файрвола Windows NT 6.x может самолично переключать профили файрвола в зависимости от ряда внешних условий (доступности/недоступности неких внешних узлов - шлюзов сети).
В случае, если мне нужно однозначное, не зависимое от внешних факторов, срабатывание правил, то придется во все профили записать одинаковые правила и разруливать все в зависимости от интерфейса, а не от текущего местоположения компа (например какой смысл иметь различные профили на сервере? я не не буду таскать севрер в интернет-кафе, где мне активизируется публичный профиль).

cameron 18-09-2015 12:01 2554707
Mike33,
тогда я не представляю, как раскорячить WF в таком варианте.
скорее всего вам требуется сторонее решение.

Dzirt2005 18-09-2015 12:23 2554715
Mike33, почему бы не воспользоваться сторонним файерволом, например wipfw?

Mike33 18-09-2015 14:01 2554770
Цитата:
Цитата Dzirt2005
почему бы не воспользоваться сторонним файерволом, например wipfw? »
Я им и пользовался, но его нет под 64-разряда. И под 32-разряда он только в статусе beta.

Dzirt2005 18-09-2015 14:12 2554774
Цитата:
Цитата Mike33
но его нет под 64-разряда »
Правда? А как же вот это:
Цитата:
Experimental v0.5.5-beta release (2011-08-16)

Download it at Sourceforge.NET

Windows Server 2008, 2008R2, Vista, Windows7 support.
Traffic shaper feature.

WIPFW v0.2.8 released (2006-12-12)

Download it at Sourceforge.NET

Now with 64-bit support! Added option "sysctl" to change firewall parameters.
И девяти лет не прошло... ;)

Mike33 18-09-2015 14:50 2554800
Цитата:
Цитата Dzirt2005
Правда? А как же вот это: »
Правда.
Раздел закачки - http://sourceforge.net/projects/wipfw/files/stable/
Там файл: wipfw-0.2.8_W2K_XP_2003x64.zip
Для Windows 7 ничего нет.

Dzirt2005 18-09-2015 15:36 2554838
Mike33, то есть вы по названию файла судите о работоспособности программы? А, ну тогда оно конечно да, НЕ РАБОТАЕТ :) Фигею...

cameron 18-09-2015 15:46 2554847
Цитата:
Цитата Dzirt2005
А, ну тогда оно конечно да, НЕ РАБОТАЕТ Фигею... »
фигеть не надо - там внутри неподписанные драйверы kernel-mode.
впрочем, если вы почитате комменты (прямо на первой странице) или на местном форуме, вы убедитесь, что увы и ах.

Mike33,
Agnitum Outpost?

meZon 18-09-2015 20:04 2554950
Mike33,
Цитата:
я не не буду таскать севрер в интернет-кафе, где мне активизируется публичный профиль).
вообще в расширенном режиме настройки правил есть возможность явно указать "локальный IP адрес". Можно попробовать "поиграть" на этом.

По крайней мере в своей домашней сети (роутер) вы вольны сменить "типовой" 192.168.х.х/24 на менее распространённый 172.16.х.х - 172.31. х.х/24
Если выбрать выбрать "заковыристый" вариант, то шанс нарваться на такой же адрес сети в кафе стремится к нулю.

Mike33 18-09-2015 21:54 2554987
Цитата:
Цитата Dzirt2005
Mike33, то есть вы по названию файла судите о работоспособности программы? А, ну тогда оно конечно да, НЕ РАБОТАЕТ Фигею... »
Нееее..... Ну нафиг.... Пихать драйвера от Windows NT 5.x на Windows NT 6.x... Не хочу экспериментировать.

Цитата:
Цитата cameron
Agnitum Outpost? »
Что-то у меня к нему несколько предвзятое отношение после того, как несколько лет назад пытался безуспешно вычистить компы после него.
Да и хочется некий файерволл с возможностью управления через командную строку, чтобы можно было все правила едиообразным образом загружать через скрипт.

Цитата:
Цитата meZon
вообще в расширенном режиме настройки правил есть возможность явно указать "локальный IP адрес". Можно попробовать "поиграть" на этом. »
Да, я думал об этом, но это как-то похоже на костыли. Хотелось бы максимально правильного решения.
Пока рою тему, а там посмотрим...

meZon 18-09-2015 22:05 2554991
На юзерской винде
Цитата:
Цитата Mike33
правильного решения. »
Всё будет "костылями".
Не вижу препятствий в смене адресации в домашней сетке.
В своей вообще никогда не использовал 192.168.х.х
Родной виндовый WF.msc вполне годен. Просто надо к нему привыкнуть.
И не будет проблем ни со скоростью сети, ни с bsod'ами, как это вошло в моду у Outpost. После версии 6.хз я от него отказался в пользу виндового.

Mike33 18-09-2015 22:14 2554998
И, кажется, что-то удалось нарыть.

Идем сюда:

Windows Firewall with Advanced Security

Потом сюда:
Windows Firewall with Advanced Security Reference
Windows Firewall with Advanced Security Interfaces
INetFwRule interface

И видим, что у COM-интерфейса INetFwRule, наряду с обсуждаемым выше свойством:
Цитата:
InterfaceTypes - Accesses the InterfaceTypes property for this rule.
Acceptable values for this property are "RemoteAccess", "Wireless", "Lan", and "All". If more than one interface type is specified, the strings must be separated by a comma.
Есть свойство:
Цитата:
Interfaces - Accesses the Interfaces property for this rule.
This property is optional. The interfaces in the list are represented by their friendly name.
И есть пример, как это использовать:
Adding a Per Interface Rule

Код:
...
variant_t      vtInterfaceName("Local Area Connection"), vtInterface;
...
    // Retrieve Local Interface
    pSa = SafeArrayCreateVector(VT_VARIANT, 0, 1);
    if (!pSa)
        _com_issue_error(E_OUTOFMEMORY);
    else
    {
        hr = SafeArrayPutElement(pSa, &index, &vtInterfaceName);
        if FAILED(hr)
            _com_issue_error(hr);
        vtInterface.vt = VT_ARRAY | VT_VARIANT;
        vtInterface.parray = pSa;
    }
...
pFwRule->put_Interfaces(vtInterface);
...
Вроде бы прям то, что нужно.....

Но почему эта настройка вообще нигде не доступна в оснастке управления firewall-ом??????
Может она криво работает??

Цитата:
Цитата meZon
Всё будет "костылями". »
Это блин похоже на какой-то онанизм... :(
Microsoft не поленилась реализовать искусственный интеллект типа этого: Network Location Awareness (NLA) and how it relates to Windows Firewall Profiles, но поленилась сделать адекватную поддержку сетевых интерфейсов...
Бред какой-то.... Не пойму почему так.
Мне бы адекватно работающий под Windows NT 6.x x64 iptables или ipfw. И я бы был счастлив.

cameron 18-09-2015 23:09 2555012
Цитата:
Цитата Mike33
Бред какой-то.... Не пойму почему так. »
причины есть.
например замена сетевой карты в конфигурации с WF не приведёт к проблемам - профиль то доменный.
а вот ваш вариант с биндингом на GUID/MAC оборудования выйдет чем? правильно, всё что явно не разрешено - запрещено.
ну, и если уж окровенно говорить - вы хотите странного, поэтому и занимаетесь онанизмом ;)

Mike33 19-09-2015 04:00 2555035
Цитата:
Цитата cameron
причины есть.
например замена сетевой карты в конфигурации с WF не приведёт к проблемам - профиль то доменный.
а вот ваш вариант с биндингом на GUID/MAC оборудования выйдет чем? правильно, всё что явно не разрешено - запрещено.
»
Т.е. заменяя сетевую карту, для чего я должен ножками подойти к компу и должен ручками в компе неплохо так пошевелить, у меня, якобы, совершенно не будет возможности/желания/кармы еще и маленько шевельнуть ручкой, чтобы активировать на сетевом интерфейсе нужный профиль???
Или меня, находящегося в непосредственной близи у компа (или уже кто-то разобрался как можно удаленно, по сети, заменить сетевую карту?), испугает факт того, что нужно сделать небольшую подстройку файрвола?
Какие тут могут быть проблемы???

А вот когда в сети по каким-то причинам "ляжет" сетевой шлюз, вследствие чего сервер (железный ящик в 20 кило весом) решит, что он оказался вдруг в какой-то ему незнакомой враждебной сети (в интернет-кафе, например, я его притащил кофе попить), и применит публичный профиль, тем самым фактически закрыв себя от окружающего мира, тем самым фактически превратившись из сервера (софт/железо, предоставляющий сервис) в бесполезный софтово-железный хлам (потому как он перестал предоставлять сервис своим клиентам).

Цитата:
Цитата cameron
причины есть.
ну, и если уж окровенно говорить - вы хотите странного, поэтому и занимаетесь онанизмом »
Вы ни разу не видели комп, у которого две/три/много сетевых карт?

Все эти телодвижения с профилями файервола имеют смысл только в одной ситуации - мобильное устройство.
Когда комп реально постоянно оказывается в разных сетях (работа, дом, интернет-кафе).
В случае с сервером/рабочей станцией/домашним стационарным компом нужен один единственный профиль и не более.

Dzirt2005 19-09-2015 09:21 2555067
Цитата:
Цитата cameron
ну, и если уж окровенно говорить - вы хотите странного »
Откровенно говоря, вы далеко не первая кто в принципе не понимает как это может быть несколько одновременно активных сетевых интерфейсов. Это сейчас даже в МС уже похоже не понимают или тупо делают вид, что такое никому в принципе не может понадобится. Metro-плитки головного мозга, не иначе (это про МС, не про вас).

meZon 19-09-2015 11:44 2555096
На 7-ке 2-3 интерфейса со своими шлюзами? .....

Хотелки ТС проще всего решаются "профилями".
О чём и в этой теме поминали, и давным-давно писано на рутрекере (может и с отсылкой на oszone)
Или с конкретными локальными IPадресами/сетями. При минимальном опыте проблем нет. Аккуратность - и всё.

Оба варианта без ломания функционала с нормальной скоростью без "синьки" и без приблудного софта.
Ну а уж кто знает про iptables и остальное, у тех не только 7-ка на ноутбуке.
У меня, положим, давно есть, но 7-ка объективно больше подходит для ноутбука и носимого терминала, "пингвин" запрягается только по мере надобности.

Mike33 20-09-2015 06:15 2555349
Цитата:
Цитата meZon
На 7-ке 2-3 интерфейса со своими шлюзами? ..... »
NLA принимает в расчет не только шлюзы.
Тем более каким образом какой-то тупой комп может лучше меня знать к какой я его подключаю сети?
Зачем безусловно пытаться за меня решать к какой сети я подключаю комп? Почему нет опции отключения NLA и выбора профиля файервола вручную, жестко привязывая его к сетевому интерфейсу?
Почему вообще только три профиля? Логично было бы иметь возможность создавать произвольный профиль и иметь возможность на интерфейсе отключать NLA и жестко привязывать профиль.
Ничего этого нет. И неумный искусственный интеллект пытается за меня решить как мне жить.

Цитата:
Цитата meZon
Хотелки ТС проще всего решаются "профилями". »
Каким образом с помощью профилей возможно сделать два абсолютно различных набора правил, которые бы применялись каждый к своему сетевому интерфейсу?

Цитата:
Цитата meZon
О чём и в этой теме поминали, и давным-давно писано на рутрекере (может и с отсылкой на oszone) »
Не могли бы вы скинуть ссылки?

Цитата:
Цитата meZon
Ну а уж кто знает про iptables и остальное, у тех не только 7-ка на ноутбуке.
У меня, положим, давно есть, но 7-ка объективно больше подходит для ноутбука и носимого терминала, "пингвин" запрягается только по мере надобности. »
К сожалению приходится подстраиваться под требования бизнес-софта. В этом вопросе у меня нет выбора.
Хотя на данный момент основное решение - linux-box, висящий в разрыв между компом и остальными сетями, а файервол Windows тупо отключен через политики, как не справившийся со своими обязанностями.
Если у меня все получится как я написал здесь, то возможно, после тестов, обойдемся без linux-box-ов.


Время: 21:46.

Время: 21:46.
© OSzone.net 2001-