24 ответов в этой теме

[manzan]

Друзья! Подскажите новичку!

 

Есть сетевое подключение RNDIS (создано для раздачи интернета для онлайн-кассы). Где настроить брандмауэр drweb (потому что именно он блокирует) чтобы он пропускал все входящие и исходящие соединения от определенного ip-адреса в локальной сети?

[VVS]

Рекомендую отключить пакетный фильтр для всех интерфейсов (поставить там Allow All).

[manzan]

Рекомендую отключить пакетный фильтр для всех интерфейсов (поставить там Allow All).

А как выглядит название пакетного фильтра в настройках брандмауэра? И безопасно ли это?

[VVS]

Рекомендую отключить пакетный фильтр для всех интерфейсов (поставить там Allow All).

А как выглядит название пакетного фильтра в настройках брандмауэра?

Изменить параметры работы для известных сетей

И безопасно ли это?

Трафик всех приложений как фильтровался, так и будет фильтроваться.

[manzan]

Спасибо за оперативный ответ!

[Vadim987]

Здравствуйте!

брандмауэр в составе "Антивирус Dr.Web 11.0" блокирует доступ к рабочей станции Wndows XP SP3.

Условно говоря "из коробки" блокируются все входящие запросы:

1. ping. Хотя есть стандартные правила для ICMP и они включены
2. RDP. Пробовал добавить правило для сети в дополнение к стандартному для svchost.exe
3. доступ к папкам по локальной сети
4. функционал NetBIOS (станция является браузерм сети, соответственно, с др. компов не виден список компьютеров в сети)
5. ftp-сервер. Приложению даны все права
6. http-сервер. обратно возвращаются пакеты но не данные и это точно не Appache, возможно drweb сам обрабатывает запросы. Пробовал и через настройки приложения и через настройки сети
7. наверное нет смысла проверть torent и прочих, которые слушают порты т.е. ждут входящие подключения

похоже где то я просмотрел какую то общую галочку. или в чём тут может быть дело?

[Lvenok]

Здравствуйте!
брандмауэр в составе "Антивирус Dr.Web 11.0" блокирует доступ к рабочей станции Wndows XP SP3.
Условно говоря "из коробки" блокируются все входящие запросы:

• ping. Хотя есть стандартные правила для ICMP и они включены
• RDP. Пробовал добавить правило для сети в дополнение к стандартному для svchost.exe
• доступ к папкам по локальной сети
• функционал NetBIOS (станция является браузерм сети, соответственно, с др. компов не виден список компьютеров в сети)
• ftp-сервер. Приложению даны все права
• http-сервер. обратно возвращаются пакеты но не данные и это точно не Appache, возможно drweb сам обрабатывает запросы. Пробовал и через настройки приложения и через настройки сети
• наверное нет смысла проверть torent и прочих, которые слушают порты т.е. ждут входящие подключения

похоже где то я просмотрел какую то общую галочку. или в чём тут может быть дело?

Подозреваю дело в настройках пакетного фильтра. Если там выбрать "разрешить все" проблема решается?

[Vadim987]

Точно. Спасибо. Сдвинулся с мёртвой точки..

 

Стереотипы сработали. На этом уровне я не хочу контролировать направление пакетов. Мне нужно контролировать направление подключений!

 

Тем более, что, как я понял, для приложений-клиентов таких как FireFox или Miranda (устанавливающих только исходящие подключения) это работает.

[Vadim987]

Правильно я понял логику:

 

Если приложение устанавливает исходящее подключение, то набор пакетных фильтров применяется в соответствии с принципом "всё что не запрещено - разрешено". А если приложение ожидает входящее подключение, то набор пакетных фильтров применяется в соответствии с принципом "всё что не разрешено - запрещено".

 

Другими словами, для программы-клиента мне нужно только правило для приложения, а для сервера, мне нужен ещё и пакетный фильтр разрешающий направление пакетов в обе стороны.

[SergSG]

Пакетный фильтр нужен только если вы хотите задать индивидуальные ограничения для протоколов.

[Vadim987]

Пакетный фильтр нужен только если вы хотите задать индивидуальные ограничения для протоколов.

Если бы это было так как вы говорите, то не пришлось бы задавать пакетный фильтр в обе стороны для каждого правила для приложения-сервера.

[pig]

Пакетный фильтр приложений не видит, он за сетевыми интерфейсами следит.

[Vadim987]

Пакетный фильтр приложений не видит, он за сетевыми интерфейсами следит.

 

Тогда как вы объясните следующее поведение FTP-сервера:

1. На моей рабочей станции установлен FileZilla FTP-сервер. В брандмауэре настроено правило для приложения, разрешающее всё. FTP-сервер не виден из сети.
2. Через пакетный фильтр разрешаем обмен в обе стороны через локальный порт TCP 21. Подключение происходит, но передача данных возможна только в активном режиме FTP. При этом сервер устанавливает исходящее соединение через не прописанные ни в каких брэндмауэрах TCP порты. На стороне сервера это, как правило, 20-й порт (исходящий). И открытость этого порта не зависит даже от того, включена ли Динамическая фильтрация пакетов. Я это проверил.
3. Через пакетный фильтр разрешаем обмен в обе стороны через диапазон портов для пассивного режима FTP. FTP-сервер доступен и в пассивном и в активном режиме. (тоже не зависит от настройки динамической фильтрации пакетов)

Всё это говорит о зависимости пакетного фильтра от режима работы приложения в качестве сервера или в качестве клиента. Такой вывод напрашивается.

[MakRos-78]

Vadim987,
А кто говорил, что нет какой-то зависимости? Вам говорили "не видит", это другое.

[Vadim987]

MakRos-78, 

согласен. Но всё таки, очевидно, существует ещё правило, учитывающее направление подключения, а не направление пакетов. Из-за этого то и не получалось настроить, что я не понимал логики фильтра пакетов. А отключать оптом не хотелось. А теперь, когда ситуация прояснилось, мне этот брандмауэр вообще нравится.

[MakRos-78]

Vadim987,
Ну если зайти в правила пакетного фильтра или приложений, можно увидеть что направление есть и там и там. А ещё про это в справке написано. А вот что за "направление подключения", в дополнении к этому, я не понимаю. Или вы про правила приложений?

[Vadim987]

Вот вы тоже наступаете на те же грабли. Тоже думаете, что в обоих случаях понятие направления одинаково. Только я думал "направление в смысле стороны инициации соединения", а вы: "направление в смысле источника пакетов".

 

 Я справку тоже читал, и не заметил разницы. Теперь, когда известно в чём дело,  различия в описании очевидны. Наверное, есть о чём задуматься писателям технической документации. А может быть и разработчикам пользовательского интерфейса. Надо как-то акцентировать внимание, что обмен пакетами невозможен, пока в пакетном фильтре не выбрано "любое" направление.

 

Я к примеру в первый раз встречаю возможность указать направление пакета, а не направление соединения. Может быть я ошибаюсь, но вот как то стереотип сформировался.

Сообщение было изменено Vadim987: 10 Октябрь 2017 - 12:19

[SergSG]

Я к примеру в первый раз встречаю возможность указать направление пакета, а не направление соединения. Может быть я ошибаюсь, но вот как то стереотип сформировался.

Это потому, что пакетник ничего не знает и не может знать о приложениях, он обрабатывает именно пакеты, а по пакету дурь с направлением подключения не определишь.

[MakRos-78]

Vadim987, 
По-моему это вы по граблям ходите. 

Вы смешиваете фильтр приложений с фильтром пакетов. Вот вам и не понятно как так может быть.

И да, где я написал, что я думаю так как вы мне приписали?

[Vadim987]

MakRos-78, 

 

И да, где я написал, что я думаю так как вы мне приписали?

 

 

вот ваши слова:

Ну если зайти в правила пакетного фильтра или приложений, можно увидеть что направление есть и там и там. А ещё про это в справке написано. А вот что за "направление подключения", в дополнении к этому, я не понимаю. Или вы про правила приложений?

 

 

 

здесь вы утверждаете что в настройках правила для приложений и в настройках фильтра пакетов под "направлением" понимается одно и то же. а я утверждаю что речь идёт о разных вещах.

 

 

 

Справка к DrWeb 11:

Параметры для приложений

 Настройка параметров правила:

  Тип соединения - Направление соединения:

   Входящее - правило применяется, если соединение инициируется из сети к программе на вашем компьютере;

 

Параметры для сетей

 Фильтр пакетов:

  Создание правила фильтрации:

   Направление - Направление соединения:

    Входящее - правило применяется, если пакет принимается из сети;

 

 

 

 

Вот кстати ошибка в документации. В случае фильтра, Направление - это "Направление" пакета, а не направление соединения это разные вещи.

Тем более пакетный фильтр можно настроить на протоколы в которых вообще нет понятия соединения и портов.

Сообщение было изменено Vadim987: 10 Октябрь 2017 - 17:07