Обзор брандмауэра Windows (Windows Firewall)
Брандмауэр Windows (Windows Firewall), включенный в ОС Microsoft® Windows® XP Service Pack 2 (SP2) вместо брандмауэра подключения к Интернету (Internet Connection Firewall, ICF) из предыдущих версий Windows XP, является узловым брандмауэром, регистрирующим состояние связи. Он обеспечивает безопасность входящего трафика, получаемого как из Интернета, так и от устройств в частной сети. Данная статья описывает принципы работы брандмауэра Windows (Windows Firewall), наиболее распространенные проблемы, возникающие при его использовании, а также набор инструментов, позволяющих устранять эти неполадки. Статья адресована сетевым администраторам и опытным пользователям, знакомым с ОС Windows XP и протоколом TCP/IP.
Брандмауэр (сетевой экран) – это защитный барьер между компьютером или сетью и внешним миром. Брандмауэр Windows (Windows Firewall), включенный в ОС Windows XP Service Pack 2 (SP2) представляет собой узловой брандмауэр, регистрирующий состояние связи. Он блокирует входящий трафик, поступающий на компьютер без запроса и не определенный в качестве допустимого (исключенного из фильтрации). Таким образом, Windows Firewall обеспечивает необходимый уровень защиты от злонамеренных пользователей и программ, использующих для атак незапрашиваемый трафик. При этом, за исключением некоторых сообщений протокола межсетевых управляющих сообщений (ICMP), брандмауэр Windows не блокирует исходящий трафик.
В отличие от брандмауэра подключения к Интернету (Internet Connection Firewall, ICF), входящего в состав ОС Windows XP Service Pack 1 или Windows XP без пакетов обновлений, брандмауэр Windows предназначен для использования с любыми сетевыми подключениями, включая общедоступные из Интернета, подключения к локальным офисным и домашним сетям, а также к частным сетям организаций.
Во многих корпоративных сетях, использующих Windows XP SP1 или Windows XP без пакетов обновлений, на внутренних подключениях ICF не задействуется, так как компьютеры в таких сетях не доступны из Интернета напрямую. Брандмауэр, прокси и другие системы безопасности корпоративных сетей обеспечивают некоторый уровень защиты от внешних угроз для компьютеров, входящих в интрасеть. Однако отсутствие узловых брандмауэров, подобных брандмауэру Windows, на подключениях к интрасети делает компьютеры уязвимыми для вредоносных программ, заносимых в закрытую сеть через мобильные компьютеры.
Допустим, сотрудник компании подключает служебный ноутбук к домашней сети, не имеющей достаточного уровня защиты. Поскольку сетевое подключение ноутбука не защищено брандмауэром, ноутбук оказывается заражен вредоносной программой (вирусом или червем), использующей для своего распространения незапрашиваемый трафик. Сотрудник приносит ноутбук обратно в офис и подключает его к интрасети предприятия, эффективно обходя, таким образом, системы безопасности, находящиеся на границе интрасети с Интернетом. Получив доступ к интрасети, вредоносная программа начинает заражать другие компьютеры. Если бы брандмауэр Windows был активирован по умолчанию, ноутбук бы не был инфицирован через домашнюю сеть. Однако даже при подключении зараженного вирусом компьютера к интрасети, входящие в нее компьютеры могли бы отразить атаку вредоносного кода с помощью брандмауэра Windows.
При работе клиентских программ на компьютерах под управлением ОС Windows XP SP2 использование брандмауэра Windows не мешает передаче данных. Доступ к сети, электронная почта, групповая политика, агенты управления, запрашивающие обновления с управляющего сервера – примеры клиентских программ. При их выполнении соединение всегда инициируется клиентским компьютером, и весь трафик, отправляемый с сервера в ответ на запрос, разрешается брандмауэром в качестве запрашиваемого входящего трафика.
В ОС Windows XP SP1 или Windows XP без пакетов обновлений брандмауэр ICF по умолчанию отключен для любых соединений, его активация на подключении к Интернету осуществляется с помощью Мастера настройки сети (Network Setup Wizard) или Мастера подключения к Интернету (Internet Connection Wizard). Возможно включение ICF вручную, путем установки единственного флажка на вкладке Дополнительно в свойствах соединения, где Вы также можете задать исключаемый трафик, определив порты TCP или UDP.
В ОС Windows XP SP2 брандмауэр Windows активирован по умолчанию для всех соединений; исключения для него могут быть заданы с помощью компонента панели управления (Control Panel) Брандмауэр Windows, доступного из нового центра обеспечения безопасности Windows (Security Center). Для получения дополнительной информации, смотрите документ Ручная настройка брандмауэра Windows в ОС Windows XP Service Pack 2 Manually Configuring Windows Firewall in Windows XP Service Pack 2 (EN).
При активации брандмауэра Windows для сетевого подключения, в папке Сетевые подключения (Network Connections) на соответствующем значке появляется изображение замка. Если выбрать такое соединение, в его описании отобразится статус Подключено, Защищено брандмауэром (Enabled, Firewalled). На рисунке ниже приводится пример, в котором брандмауэром Windows защищены все подключения компьютера.
