Что значит брандмауэр отключен. Что такое брандмауэр в компьютере

Брандмауэры (фаерволы) - это важная часть защитного программного обеспечения, и пользователям всегда пытаются предложить что-то новое из этого. Однако Windows комплектовалась своим собственным хорошим брандмауэром, начиная с Windows XP SP2, и в большинстве случаев этого более чем достаточно.

Как считает Крис Хоффман, автор статьи "Почему (и когда) вам не стоит устанавливать фаервол стороннего производителя" на вам не обязательно нужен полный пакет безопасности типа Internet Security . Все, что вам действительно нужно установить на Windows 7, это антивирус, а Windows 8 и 8.1 теперь комплектуются собственным антивирусом. Рассмотрим подробнее данную точку зрения.

Первичная функция брандмауэра - блокировать не запрошенные входящие соединения. Брандмауэры могут с умом блокировать различные типы соединений, например, они могут разрешать доступ к сетевым файловым ресурсам и другим услугам, когда ваш ноутбук соединен с вашей домашней сетью, но не разрешать это, когда он связан с общественной сетью Wi-Fi в кафе.

Брандмауэр помогает блокировать соединения с потенциально уязвимыми сервисами и контролирует доступ к сетевым сервисам, особенно файловым ресурсам, но также и к другим видам сервисов, которые доступны только в доверенных сетях.

До появления Windows XP SP2, в которой Брандмауэр Windows был модернизирован и работал по умолчанию, системы Windows XP, подключенные непосредственно к Интернету, заражались в среднем за четыре минуты. Черви, такие как Blaster, могли напрямую подключаться ко всем подряд. Поскольку в Windows не было брандмауэра, она впускала червя Blaster.

Брандмауэр защитил бы от этой угрозы, даже при том, что базовое программное обеспечение Windows было уязвимое. Даже если современная версия Windows будет уязвима для такого червя, будет чрезвычайно трудно заразить компьютер, потому что брандмауэр заблокирует весь его входящий трафик.

Брандмауэр Windows делает ту же самую работу по блокированию входящих подключений, что и брандмауэр стороннего производителя. Сторонние брандмауэры, например, которые используются в комплексных антивирусах, в ручном режиме могут давать о себе знать чаще, сообщая всплывающими окнами, что они работают, и запрашивая у вас разрешение на входящее подключение, но Брандмауэр Windows постоянно делает свою работу в фоновом режиме.

Он включен по умолчанию и будет оставаться включенным, если вы не отключите его вручную или не установите брандмауэр стороннего производителя. Вы можете найти его интерфейс в разделе «Брандмауэр Windows» на Панели управления.

Когда программе нужны входящие подключения, она должна создать правило в брандмауэре или показать всплывающее диалоговое окно и запросить разрешение.

По умолчанию Брандмауэр Windows делает только самое необходимое: блокирует входящие соединения. У него есть еще некоторые дополнительные функции, но они находятся в скрытой, менее удобной для использования части интерфейса.

Например, большинство сторонних брандмауэров дают возможность легко управлять тем, какие приложения на компьютере могут подключаться к Интернету. Когда приложение впервые производит исходящее соединение, такой брандмауэр показывает всплывающий диалог. Это дает возможность управлять тем, какие приложения на компьютере могут получать доступ к Интернету, блокируя соединения определенных приложений.

Опытным пользователям может нравиться эта функция, но она скорее всего не подойдет обычным пользователям. Им придется определить приложения, которым нужно разрешить подключаться, и могут заблокировать соединения фоновых процессов обновления, воспрепятствовав тому, чтобы связанное с ними программное обеспечение получало обновления, и поставив их под угрозу. Это также очень серьезная проблема, поскольку вы должны будете подтверждать запросы каждый раз, когда еще одно приложение будет пытаться подключиться. Если вы действительно не доверяете программе, которая пытается попасть в Интернет, возможно, в первую очередь, вам не следует запускать эту программу на своем компьютере.

Тем не менее, если вам нужен контроль над исходящими соединениями, то вам, вероятно, не помешает брандмауэр стороннего разработчика – например, бесплатный Comodo Firewall . В нем также будет предложен интерфейс, где вам будет легче просматривать статистику, журналы брандмауэра и другую информацию.

Для большинства же пользователей использование брандмауэра стороннего производителя просто добавляет неоправданные сложности.

У Брандмауэра Windows в действительности больше функций, чем можно было бы ожидать, хотя его интерфейс не слишком удобен:

• В Windows имеется расширенный интерфейс настройки брандмауэра, где вы можете для него. Вы можете создать правила, блокирующие соединения с интернетом определенных программ или позволяющие программе связываться только с определенными адресами.
• Вы можете использовать программу стороннего производителя, чтобы расширить функции брандмауэра Windows, заставив его тем самым запрашивать разрешение каждый раз, когда новая программа пытается соединиться с Интернетом. Среди программ, работающих в паре с Брандмауэром Windows, можно выделить - Windows 8 Firewall Control или Windows Firewall Control .

Фаервол стороннего производителя - это инструмент опытного пользователя, он не является обязательным компонентом защитного программного обеспечения. Брандмауэр Windows надежен и заслуживает доверия. Хотя люди могут дискутировать по поводу уровня обнаружения вирусов Microsoft Security Essentials или Защитника Windows, Брандмауэр Windows выполняет работу по блокированию входящих соединений так же хорошо, как и другие брандмауэры.

Нашли опечатку? Нажмите Ctrl + Enter

В процессе взаимодействия с компьютером многие из нас довольно часто сталкиваются с работой брандмауэра, причём не до конца понимая, что это брандмауэр, зачем он на компьютере и какие функции он выполняет. Некоторые умудряются дифференцировать его и файервол, вообще отключают брандмауэр, заявляют о равнозначности разных видов и прочее подобное. В этой статье я постараюсь пролить свет на эту тему, расскажу, что такое брандмауэр, зачем его использовать, какова специфика его работы, поясню, как включить и выключить brandmauer, а также как добавить какой-либо программный продукт в исключения брандмауэра.

Так что же это такое? Брандмауэр – это устройство или программа, предназначенные для проверки сетевого трафика и его блокировки в случае, если указанный трафик не соответствует определённому набору правил. Указанные правила являются как системными, так и создаются пользователем, позволяя отсекать нежелательное кибер-вторжение в пользовательскую сеть со стороны третьих лиц и вредоносных программ.

То есть, по сути, брандмауэр обычно используется для защиты сети и блокировки нежелательной информации, передаваемой через компьютерную сеть. Кроме того он может служить для целей мониторинга сети, ведя журнал активности различных программ, служб и так далее.

Синонимами термина «брандмауэр» являются термины «файервол » (от англ. «огненная стена») и «сетевой экран». Поскольку слово «брандмауэр» является немецким аналогом английского слова «firewall» (файервол), то смысловые нагрузки слов «брандмауэр», «файервол», «сетевой экран» полностью идентичны. Другие термины, со смысловой нагрузкой которых мы должны ознакомиться в контексте понимания функционала брандмауэра, это «протокол» и «порт».

«Протокол » — это набор правил, позволяющих устанавливать соединение между компьютерами в сети (подробнее о ). Обычные сетевые протоколы, которыми мы пользуемся в ОС Виндовс 7/10 и брандмауэрах это TCP, UPD, ICMP. TCP является достаточно надёжным протоколом, UDP – не совсем надёжным, а ICMP используется для диагностических целей. Инструменты вроде PING и TRACERT используют IMCP.

«Порт» – это номер, использующийся для указания на какую-либо программу или службу компьютера. Например, 80-й порт использует для определения HTTP трафика, — 443, порт 25 задействован для SMTP протокола (отвечает за отправку е-мейлов и прочего) и так далее.

Функционал и виды брандмауэров

В процессе ответа на вопрос «что значит брандмауэр» стоит остановиться на особенностях его функционала. Он принимает решение по каждому пакету, который приходит в пользовательскую сеть, на страже которой он поставлен. Когда пакет из Интернета попадает в брандмауэр, последний принимает решение, базируясь на своих настройках и решая, позволить ли пакету войти, или, наоборот, отвергнуть его. То же самое происходит, когда мы отсылаем пакет из нашей сети в Интернет.

Сегодня существуют два основных типа брандмауэров – «аппаратные брандмауэры» и «программные».

Аппаратные брандмауэры (их ещё называют сетевыми) размещены при входе в локальную сеть и фильтруют весь трафик, который поступает в пользовательскую сеть с разных хостов (серверов, компьютеров).

Программные же брандмауэры (так называемые «хост-брандмауэры») размещены на индивидуальном компьютере внутри сети. Такие брандмауэры обычно используется при подключении нашего личного компьютера прямиком к Интернету, что особенно полезно когда мы подключаемся к публичным, не весьма безопасным, сетям. Такой программный брандмауэр работает на отдельном компьютере и фильтрует весь входящий-исходящий трафик данной машины.

Каждый пакет, приходящий к нам из Интернета, называется «входящий пакет». Пакет, следующий от нас в Интернет называется «исходящий пакет». Пользователь может самостоятельно устанавливать набор правил, регулирующих специфику входящих и исходящих пакетов на своём компьютере. Знание этих простых истин позволяет более глубоко понять, что значит брандмауэр, и как он работает.

Как работать с брандмауэром (на примере Windows 7)

После того, как мы определись с тем, что такое брандмауэр и каков его функционал, определимся с тем, как работать с ним. Начиная с версии ОС Windows XP SP2 брандмауэр является неотъемлемой частью операционных систем Виндовс.

1. Чтобы проверить его активность на вашем компьютере зайдите в «Панель управления»;
2. Переключите «Просмотр» справа сверху на «Мелкие значки»;
3. И, найдя соответствующую иконку брандмауэра, кликните на ней.
4. Если вы увидите зелёный щит с галочкой – значит ваш брандмауэр работает, если красную – тогда по каким-то причинам он отключён (причинами могут быть вмешательство пользователя, вирусные программы, сбой системы и так далее).

Зелёный щит — брандмауэр работает

Слева размещены различные опции для работы с брандмауэром.

Опция «Разрешить запуск программы …» позволяет нам регулировать связь с сетью для определённых программ и портов в брандмауэре Виндовс.

Кликнув на «Изменение параметров брандмауэра » и «Включение и отключение брандмауэра Виндовс » вы зайдёте в настройки включения-выключения брандмауэра, где сможете отрегулировать его включение-выключение в домашней или общественной сети.

Нажав на опцию «Дополнительные параметры» вы сможете просмотреть список правил для входящего-исходящего трафика.

Как добавить программу в исключения брандмауэра (на примере Windows 7)

В процессе описания, что это брандмауэр и каковы особенности его работы, следует упомянуть о механизме занесения какой-либо программы в список исключений нашего брандмауэра. К примеру, на Windows 7 это делается следующим образом:

Видео-описание

Выше мной был рассмотрен ответ на вопрос — что такое брандмауэр, описана его суть и механизм функционирования. В операционной системе сегодняшних ПК он является атрибутивным инструментом, без которого не обходится работа практически любого компьютера. Если у вас по каким-либо причинам брандмауэр отключён, тогда рекомендую его задействовать, а если это не возможно – проверить ваш компьютер на наличие вирусных программ, вполне возможно именно они виноваты в приостановке работы вашего системного сетевого экрана

Вконтакте

Сетевой экран - один из важнейших рубежей обороны при работе в Интернете и локальных сетях. CHIP расскажет об основных функциях такой защиты и предложит бесплатные и коммерческие пакеты.

Типовая схема использования брандмауэра в домашней сети из различных устройств с подключением к Интернету Одним из самых критичных инструментов защиты компьютера является сетевой экран, который также называют брандмауэром. Это своего рода привратник, осуществляющий строгий контроль входящих и исходящих пакетов данных и имеющий набор правил для допуска в сеть и из сети программ и служб. Как это ни удивительно, но до сих пор на многих компьютерах сетевые экраны не установлены или не настроены должным образом. Между тем пользователь, ПК которого подключен к Интернету и при этом не защищен брандмауэром, подвергает большому риску как работоспособность своей машины, так и сохранность информации. Еще хуже, когда установленный инструмент настроен неправильно или на ПК одновременно действует несколько сетевых экранов, вследствие чего могут возникнуть как простые ошибки в работе программ и установке соединений, так и критические ошибки в работе ОС. Некоторые пользователи плохо относятся к брандмауэрам лишь по той причине, что при включенном режиме обучения, на начальных этапах работы, эти средства защиты выводят много запросов на разрешение прохождения трафика приложений, пытающихся передать или получить данные из Сети. Если на такой запрос программы ответить отказом, впоследствии она просто не будет соединяться с Интернетом. С другой стороны, разрешить незнакомой утилите соединение - значит подвергнуть ПК риску заражения или утечки данных. Даже при минимальных познаниях в настройке сетевого экрана такие проблемы решаются за несколько секунд. Тем не менее миф о сложности отладки брандмауэра по-прежнему живуч.CHIP расскажет об основных принципах работы и настройки межсетевых экранов и познакомит с наиболее популярными пакетами программ.

Как работают сетевые экраны

В английском названии «firewall» и немецком «Brandmauer» скрыта суть действия сетевых экранов. В буквальном переводе они состоят из двух слов: «стена» и «огонь». Изначально термин использовался пожарными для обозначения специальных конструкций, с помощью которых можно защитить смежные строения от распространения огня. Если представить, что различные сетевые атаки - это пожар, а ПК и домашняя или офисная сеть - наш дом, то назначение подобных программ становится очевидным. В случае с компьютером брандмауэр берет на себя роль пограничного блокпоста, который пропускает сетевой трафик и в соответствии со списком правил отбрасывает запрещенную к прохождению информацию, а также, в зависимости от настроек, заносит в протокол попытки атак извне и несанкционированного доступа к Cети. При этом пользователь может установить правила работы своего «пограничного пункта». При создании подобных правил, в зависимости от используемого сетевого экрана, могут быть указаны такие параметры, как протокол, адрес, номер порта, имя программы, время работы правила, действия в случае попытки установить соединение и многие другие настройки.

Какими они бывают

Современные брандмауэры можно разделить на несколько типов, каждый из которых имеет плюсы и минусы.

ПРОГРАММНЫЕ - специальные приложения, которые выполняют роль сетевого экрана и, как правило, смежные функции безопасности. Такие средства сравнительно легко установить и настроить, однако они подвержены вирусным атакам. Например, при редком обновлении системы, антивируса и его баз программные брандмауэры могут быть отключены или частично повреждены вредоносными утилитами. К сожалению, за работу программных средств приходится платить нагрузкой на процессор и оперативную память, что может быть очень заметно на маломощном компьютере.

АППАРАТНЫЕ - профессиональные, довольно сложные в настройке и дорогие устройства, которые избавляют от нагрузки ПК и почти не поддаются вирусным атакам. К тому же работа аппаратных брандмауэров может быть незаметной для пользователя и ПО, а их производительность значительно выше. Такие устройства, как правило, предназначены для фильтрации трафика и защиты всей сети, а не отдельных ПК. Они позволяют проверять трафик на наличие вредоносного и запрещенного содержимого и могут оснащаться защитными дополнениями.

ГИБРИДНЫЕ - это брандмауэры, встроенные в различные программные и аппаратные продукты. Они используются в качестве дополнения к антивирусам, прокси-серверам, модемам, роутерам, точкам доступа и т. п. Обычно такие аппаратные средства позволяют произвести самые необходимые настройки и создать несколько правил фильтрации трафика, которых, впрочем, может быть вполне достаточно для домашней сети.

Брандмауэр Windows: начальный уровень Сайт : microsoft.ru; Цена : бесплатно В этом брандмауэре поддерживается одновременная работа нескольких сетевых профилей: доменный - доменная сеть в организации; общественный - публичные (общедоступные и беспроводные) сети; домашний - домашние или рабочие закрытые сети. Таким образом, соответствующий уровень безопасности обеспечивается для каждого случая - например, внутренней и виртуальной сетей и доступа в Интернет. В «семерке» пользовательский интерфейс сетевого экрана в Панели управления стал более информативным. Для каждого активного профиля отображаются дополнительные сведения о текущих настройках. В левой части Панели управления брандмауэром появились две ссылки, где можно изменить параметры уведомлений о блокировке программ и включить или отключить сетевой экран. Удобно, что для каждого из профилей доступна функция блокировки всех входящих подключений. Кроме того, вы можете добавить программу в исключения брандмауэра - эта функция выведена в левой части диалогового окна. Если потребуется настроить разрешения для конкретной утилиты, кликните по ссылке «Разрешить запуск программы или компонента…». Для добавления в список того или иного приложения необходимо нажать на «Разрешить другую программу».

Outpost firewall PRO: комплексная оборона

Сайт : agnitum.ru; Цена : от 899 руб.

Данный продукт выделяется продуманностью интерфейса с полной поддержкой русского языка и обширным набором инструментов защиты при работе в сетях. При этом из-за большого количества параметров новичкам его освоить будет сложнее. Имеется возможность подключить дополнительные модули и тонко настроить саму программу, а также до ступ в Сеть приложений: добавить и удалить основные программы, установить общие правила и изменить политики утилиты. Работа пакета построена так, что все основные операции брандмауэра, такие как блокирование рекламы, фильтрация контента, электронной почты, а также детектор атак, возложены на плагины. Главный модуль при этом следит за сетевой активностью и поведением приложений, доступных в системе, и выполняет настройку всех своих компонентов. Программа может работать в автоматическом режиме либо режиме обучения. Это удобно при отлове троянов и шпионов. В пакет также входит плагин для блокирования интернет-рекламы. При этом программа по умолчанию использует режим «невидимость», что затрудняет обнаружение пользовательского ПК. и атаки на него. Утилита снабжена и механизмом самозащиты: при удалении процесса outpost.exe происходит блокировка обмена с Сетью.

Comodo firewall: дружественная опека

Сайт : personalfirewall.comodo.com; Цена : бесплатно
Пожалуй, наиболее дружелюбная и простая утилита, которая при этом предлагает широкие возможности и гибкость в настройке. Помимо основных функций этот брандмауэр позволяет просматривать запущенные процессы, оснащен модулем проактивной защиты и может запускать приложения в режиме «песочницы». Например, программы, которые не опознаны как доверенные, будут автоматически запускаться только изолированно. Также Comodo предлагает удобную систему правил доступа для интернет-приложений и гибкий контроль деятельности компонентов ПО. Программа автоматически настраивается на работу с DLL-библиотеками, которые зачастую используются клавиатурными шпионами, троянами и spyware для внедрения в доверенные процессы. Анализатор поведения приложений отслеживает их изменения сторонними процессами и другую подозрительную активность. Comodo Firewall постоянно контролирует свои конфигурационные файлы и блокирует изменения. Вместе с тем защита паролем настроек не предусмотрена. В моменты пиковой активности Comodo сильно нагружает систему. Он также излишне прямолинеен: например, после блокировки разрешенного приложения, под маской которого хотел пролезть троян, снова пользоваться программой можно только после перезагрузки.

Kerio WinRoute Firewall: профессионально, дорого

Сайт : winroute.ru; Цена : ок. 10 000 руб. (на 5 ПК)
Этот пакет на самом деле является не столько брандмауэром, сколько сочетанием этого инструмента с проксисервером. При такой направленности и функциональности данная программа необходима далеко не для каждой домашней и даже офисной сети, и тем более не очень выгодно использовать это средство для защиты и контроля трафика только одного ПК. Разобраться в настройках этого комплекса неподготовленному пользователю сразу будет сложно, но, потратив на изучение утилиты некоторое время, вы сможете многократно усилить безопасность и контроль всей сети. Kerio WinRoute Firewall позволяет подключать антивирусные модули для проверки всей пропускаемой информации; настраивать права доступа в Интернет для разных пользователей и ПК (в том числе по времени и потреблению трафика); регулировать скорость подключения к Сети для каждой группы или пользователей отдельно; просматривать логи с историей посещения пользователями контролируемой локальной сети разных ресурсов.

Программа требует для своей работы довольно ощутимое количество ресурсов, особенно при ее использовании в большой нагруженной сети. Лучше всего выделить под работу Kerio WinRoute Firewall отдельный ПК и создать так называемый шлюз.

Kaspersky Internet Security: все включено

Сайт : kaspersky.ru; Цена : 1600 руб.

Это комплексный антивирусный пакет, в который входит весьма мощный и функциональный брандмауэр. Сразу после установки он готов к работе и не требует особых настроек и обучения. Разработчики позаботились о нервах пользователя и заранее составили правила для работы в Сети стандартных служб Windows и типовых приложений. Также приложение по умолчанию уже держит закрытыми все критические порты, через которые возможны атаки из Интернета. При их обнаружении модуль блокирует атакующий хост на заданное время, которое можно настроить. Имеется и режим обучения, в котором можно детально описать разрешенную сетевую активность каждой программы. Если тщательной настройки не требуется, то предусмотрен встроенный набор типовых правил, которые могут быть отредактированы. Профессионалам придется по душе избирательная блокировка Java-апплетов, Java- и VBS-скриптов, ActiveX-элементов, уязвимости в которых часто используют злоумышленники. Антивирусный пакет при запуске приложений автоматически проверяет их целостность и блокирует при обнаружении модификаций. Для неопытных пользователей у KIS имеются наглядные индикаторы, которые отображают открытые порты, график сетевой активности приложений и осуществляют подсчет трафика.

Слово эксперта. Антивирус плюс брандмауэр

Вартан Минасян, руководитель группы развития продуктов «Лаборатории Касперского» Без сетевого экрана эффективность всех остальных методов защиты будет, безусловно, снижена. Типичный случай, когда применение брандмауэра обязательно, - работа ПК в публичной сети, например в кафе. Также он крайне полезен при использовании в больших сетях, так как позволяет отфильтровать ненужные данные и обращения и таким образом повысить производительность. Современные пакеты безопасности используют многоуровневый подход к защите операций и данных пользователя. Все компоненты, такие как брандмауэр, антивирус, контроль приложений, защита от эксплоитов, защита банковских операций и т. д., постоянно обмениваются между собой информацией о принимаемых решениях и происходящих на компьютере процессах. Поэтому важно использовать антивирус и сетевой экран от одного и того же производителя, так как, работая вместе, они обеспечат лучший уровень защиты, чем компоненты от разных фирм. Получить первоначальные знания о возможностях современного брандмауэра (например, входящего в состав Kaspersky Internet Security) новички могут в разделе «Поддержка» на сайте производителя: support.kaspersky.ru/8051.

Как проверить сетевой экран

Установив и настроив брандмауэр, следует проверить эффективность его работы. В противном случае деятельность межсетевого экрана может идти не на пользу, а во вред. В решении этой задачи может помочь использование специальных сайтов - таких, например, как 2ip.ru/checkport, portscan.ru, pcflank.com/test.htm, tools-on.net/privacy.shtml?2. Помимо этого CHIP рекомендует задействовать тестовые программы (Leak test): AWFT, PCFlank Leak test,2ip Firewall tester или другие аналогичные. Вы также можете применять сканеры уязвимостей, такие как XSpider, eEye Retina Network Security Scanner, Nmap, или запустить один из них на каком-то из компьютеров в своей сети и просканировать внутренний диапазон IP-адресов защищаемой вами локальной сети.

Брандмауэр, или файрвол – это система, обеспечивающая сетевую безопасность путём фильтрации входящего и исходящего трафика, руководствуясь установленными пользователем правилами. Основной задачей брандмауэра является устранение нежелательных сетевых коммуникаций или уменьшение их количества. В большинстве серверных инфраструктур брандмауэры обеспечивают основной уровень безопасности, который в сочетании с другими мерами предосторожности позволяет предотвратить атаки злоумышленников.

В данной статье рассказывается о том, как работают брандмауэры, в частности программные фаерволы с сохранением состояния (такие как IPTables и FirewallD), поскольку они относятся к облачным серверам. Статья охватывает пакеты TCP, различные типы брандмауэров, а такж множество других тем, связанных с брандмауэрами с сохранением состояния. Кроме того, в конце руководства можно найти много полезных ссылок на мануалы, которые помогут настроить брандмауэр на вашем сервере.

Сетевые пакеты TCP

Прежде чем приступить к обсуждению различных типов фаерволов, ознакомьтесь с трафиком Transport Control Protocol (TCP).

Сетевой трафик TCP перемещается по сети в виде пакетов-контейнеров, содержащих заголовки, в которых находится управляющая информация (адреса исходника и назначения, последовательность пакетов информации) и данных (что называется полезной нагрузкой). Управляющая информация в каждом пакете гарантирует, что его данные доставляются должным образом, и что его элементы также поддерживают брандмауэры.

Важно отметить, что для успешного получения входящего TCP-пакета получателю нужно отправить в ответ отправителю пакеты подтверждения. Комбинация управляющей информации во входящем и исходящем пакетах может использоваться для определения состояния подключения.

Типы фаерволов

Существует три базовых типа брандмауэров:

• фильтры пакетов сетевого уровня (или stateless),
• с сохранением состояния (или stateful),
• и прикладного уровня.

Фильтры пакетов сетевого уровня работают путём анализа отдельных пакетов. Они не знают о состоянии соединения и могут только разрешить или запретить пакеты, исходя из их индивидуальных заголовков.

Фаерволы с сохранением состояния могут определить состояние соединения пакета, что делает их более гибкими. Они собирают пакеты, пока не определят состояние соединения до того, как к трафику будут применены правила брандмауэра.

Брандмауэры прикладного уровня анализируют передаваемые данные, что позволяет пропускать сетевой трафик через правила брандмауэра, индивидуальные для отдельных сервисов и приложений. Они также известны как прокси-фаерволы.

Кроме программного обеспечения фаерволов, доступного во всех современных операционных системах, функциональность брандмауэра также может предоставляться аппаратными устройствами (например, маршрутизаторами или аппаратными фаерволами).

Правила фаерволов

Как упоминалось выше, сетевой трафик, который проходит брандмауэр, проверяется при помощи наборов правил, чтобы определить, разрешен этот трафик или нет. Проще всего объяснить правила брандмауэра на примерах.

Предположим, у вас есть сервер со списком правил для входящего трафика:

1. Принимать (accept) новый и ранее установленный трафик на сетевой интерфейс через порт 80 и 443 (веб-трафик HTTP и HTTPS).
2. Сбрасывать (drop) входящий трафик от IP-адресов нетехнических сотрудников офиса на порт 22 (SSH).
3. Принимать новый и существующий входящий трафик IP-диапазона офиса на частный сетевой интерфейс через порт 22 (SSH).

Обратите внимание на слова «accept» и «drop» в этих примерах. С их помощью задаётся действие, которое фаервол должен выполнить в случае, если трафик отвечает правилу.

• Accept значит разрешить трафик;
• Reject – заблокировать трафик и вернуть ошибку «unreachable»;
• Drop – заблокировать трафик и не возвращать ничего.

Сетевой трафик проходит список правил брандмауэра в определённой последовательности, которая называется цепочкой правил. Как только фаервол обнаруживает правило, которому отвечает трафик, он выполняет соответствующее действие для этого трафика. В данном примере согласно правилам брандмауэра сотрудник офиса, пытающийся установить SSH-соединение с сервером, будет заблокирован согласно правилу 2 и к правилу 3 не будет допущен. Системный администратор же пройдёт фаервол, поскольку отвечает правилу 3.

Политика фаервола по умолчанию

Как правило, цепочки правил брандмауэра не охватывают все возможные условия явно. Потому цепочки всегда должны иметь политику по умолчанию, которая состоит только действия (accept, reject или drop).

К примеру, политика по умолчанию одной из ранее упомянутых цепочек – drop. Если любой компьютер вне офиса попытается установить SSH-соединение к серверу, трафик будет сброшен, так как он не соответствует ни одному правилу.

Если задана политика по умолчанию accept, то любой пользователь (кроме нетехнических сотрудников офиса) сможет становить соединение с любым открытым сервисом данного сервера. Конечно, это пример очень плохо настроенного брандмауэра, потому что он защищает сервисы только от нетехнических сотрудников.

Входящий и исходящий трафик

Сетевой трафик, с точки зрения сервера, может быть либо входящим, либо исходящим; брандмауэр поддерживает отдельный набор правил для каждого вида трафика.

Трафик, который происходит из любой точки сети называется входящим трафиком. Он воспринимается не так, как исходящий трафик, который отправляется сервером. Как правило, сервер разрешает исходящий трафик, потому что считает себя заслуживающим доверия. Однако набор правил для исходящего трафика может использоваться для предотвращения нежелательной коммуникации в случае, если сервер взломан злоумышленником или вредоносным исполняемым файлом.

Чтобы использовать преимущества безопасности брандмауэра по максимуму, нужно определить все способы взаимодействия других систем с вашим сервером, создать правила, которые явно позволяют такое взаимодействие, а затем сбросить весь оставшийся трафик. Имейте в виду, что также нужно создать соответствующие правила для исходящего трафика, чтобы сервер мог отправлять подтверждения для разрешенных входящих соединений. Кроме того следует учитывать, что серверу, как правило, нужно инициировать свой исходящий трафик (например, для загрузки обновлений или подключения к базе данных), а потому важно продумать эти случаи и создать для них набор правил.

Создание правил исходящего трафика

Предположим, фаервол сбрасывает исходящий трафик по умолчанию (политика drop). Следовательно, правила accept для входящего трафика будут бесполезны без дополнительных правил исходящего трафика.

Чтобы дополнить ранее упомянутые правила входящего трафика (1 и 3) и обеспечить правильное взаимодействие с этими адресами и портами, можно использовать следующие правила брандмауэра для исходящего трафика:

• Принимать существующий исходящий трафик на общий сетевой интерфейс через порт 80 и 443 (HTTP и HTTPS);
• Принимать существующий исходящий трафик на закрытый сетевой через порт 22 (SSH).

Обратите внимание, явно задавать правило для сброшенного входящего трафика (правило 2) не нужно, так как сервер не будет устанавливать или подтверждать это соединение.

Программы и инструменты

Итак, теперь вы знаете, как работает фаервол, и пришло время ознакомиться с основными пакетами, позволяющими настроить фаервол. Далее можно прочесть о самых распространённых пакетах для настройки брандмауэра.

IPTables

IPTables – это стандартный фаервол, который по умолчанию входит в большинство дистрибутивов Linux

Примечание: Более современный вариант называется nftables и в скором времени он заменит этот пакет.

На самом деле IPTables является фронт-эндом для хуков netfilter на уровне ядра, при помощи которых можно управлять сетевым стеком Linux. Он работает путем сопоставления каждого пакета, пересекающего сетевой интерфейс, с набором правил.

Инструкции по настройке фаервола IPTables можно найти в следующих статьях.

Брандмауэр в Windows – это программа защиты компьютера, которая проверяет и контролирует исходящие и входящие данные (трафик) между компьютером и сетью. Сеть может быть как локальная, так и сеть Интернет, что более распространено. Без включенного брандмауэра весь сетевой трафик бесконтрольно проходит через PC, в то время когда работающий брандмауэр, в зависимости от его настроек блокирует или пропускает данные. Включенный брандмауэр совместно с становится настоящей стеной от вредоносных программ и сетевых атак. Кстати, второе название такого типа программ – Firewall, что в переводе с английского и означает «огненная стена». Также можно встретить название сетевой экран.

Как включить брандмауэр Windows

В ОС Windows есть встроенный брандмауэр и он не всегда включен изначально. Проверить работает ли сетевой экран нужно открыть компьютером Пуск > Панель управления , переключите вид окна в показ «Крупные значки » или «Мелкие значки » (для удобства поиска) вверху справа и найдите иконку «Брандмауэр Windows ».

Откройте окно брандмауэра левой кнопки мыши. При включенном сетевом экране будет изображение зеленого щита напротив подключения. В противном случае вы увидите красный щит.

Если брандмауэр выключен, то его нужно включить следующим образом:

Настройки брандмауэра Windows

Чтобы настроить сетевой экран откройте в панели управления окно брандмауэра, как описано выше в пункте №1 и кликните в левой панели по пункту меню «».

Здесь можно просмотреть и установить правила для подключений к сети различных программ и служб. Для встроенных в операционную систему программ и служб правила подключений к сети уже установлены автоматически.

Для сторонних программ, после их установки, при первом выходе в сеть, сетевой экран запрашивает у пользователя разрешение или запрет доступа в сеть данной программы. Разрешая или запрещая доступ, вы даете команду сетевому экрану создать правило для этого приложения и запомнить его, чтобы в следующий раз брандмауэр вас не спрашивал. Таким образом, без вашего ведома ни одна программа не получит соединение с интернетом.

Для включения, отключения и изменения существующего правила для программы, найдите ее в списке правил в дополнительных параметров брандмауэра и дважды щелкните по ней для создания нового правила.

Чтобы разрешить доступ в сеть ранее установленную программе, щелкните в левой колонке на пункте меню «».

В открывшемся окне щелкнуть на кнопку «Изменить параметры », после чего щелчком по кнопке «Разрешить другую программу » открыть окно выбора установленных приложений, найти нужное и дать ему разрешение на соединение установкой отметки напротив названия.

Теперь брандмауэр Windows включен, настроен и готов отражать сетевые атаки.