Встроенный firewall в windows пропускает соединение с неразрешенного IP

Question

[ixSci]

Доброго всем времени суток!

Проблема, с которой я столкнулся следующая: имеется Windows 7 Home premium с включенным встроенным firewall. Firewall работает в режиме block inbound\allow outbound.
Есть VirtualBox на котором проброшены некоторые порты с хост машины. В firewall создано правила для VirtualBox, которое разрешает inbound traffic по любому протоколу и порту для этого приложения. Единственным ограничением являются Ip адреса, которые жестко прописаны в Scope/remote IP adresses. У меня там прописано 4 IP адреса(назовем их 1,2,3 и 4 соответственно). Попытки пробраться на порты virtualBox с IP, которых нет в списке проваливаются с треском(значит все работает как надо). НО! Есть IP адрес 5, которго нет в списке и с которого человек спокойно обходит это правило! Я не понимаю баг ли это, или некая фича. Но факт остается фактом, человек с IP не входящим в список разрешенных спокойно обходит firewall. Кто-нибудь может пояснить с чем я столкнулся?

Еще немного к дано:

Мой комп находится за роутером, роутер работает в режиме NAT. Человек с IP=5 тоже сидит за роутером и натом. Единственное, что нас объединяет так это один провайдер, вследствие чего IP адреса(внешние, которые у роутеров) у нас из одного пула.

Заранее спасибо всем кто пожелает помочь!

Answer 1

[bdmalex]

Кто-нибудь может пояснить с чем я столкнулся?
Я думаю, что вам нужно обратиться в компанию Microsoft…

Answer 2

[Albertum]

Послушайте сниффером, например, Wireshark-ом все сетевые интерфейсы в каждой ситуации — может что-нибудь прояснится.

Answer 3

[ixSci]

смотрел, вижу проходящие пакеты и все. И не понимаю почему :)

Answer 4

[ixSci]

Да, в роутере прописан virtual server. Не могли бы Вы пояснить по-поводу игры с src и dst. И почему это не сказывается на других адресах?

Answer 5

[Backspace]

Вообще, зря вы в описании проблемы использовали только одну цифру для айпих — непонятно же. Выдумали бы подсетки хотя бы, чтоб было видно какие айпихи в каких сетках. В первую очередь проверьте параметр «Обход узлов» на вкладке «Дополнительно» в настройках правила. Если не поможет — есть два способа решить проблему.
Самый простой — в машине, крутящейся в виртуалбоксе, убрать шлюз по умолчанию и вписать статические маршруты на нужные 4 айпихи, но при этом та отвалится инэт (если через прокси не пустить) :)
Второй — ipfw для Windows, который гарантированно закроет то, что не нужно. Правила могу почтой отправить, если что.

Comments

[ixSci]

yfrog.com/4o22764192p

Адрес который обходит правила: 89.189.23.68

Обход узловы выставлен в «Блокировать обход узлов»

Хотелось бы разобраться с проблемой средствами виндового файервола, без привлечения сторонних средств

[Backspace]

192.168.1.4 в исключениях — лишнее.
Попробуйте эти правила прописать не на входящий, а на исходящий трафик для интерфейса «VirtualBox».

[ixSci]

Сегодня еще раз провел тесты с этим человеком, и теперь файер все нормально блочил(я ничего не менял). Единственное, что изменилось так это его Ip, он стал другим, но из того же пула. Мистика какая-то. В любом случае, спасибо за советы

Answer 6

[Ajex]

Вы сделали блок для INPUT трафика, но транзитный трафик через NAT проходит, ваши правила блокировки на него не распространяются.
Более чем уверен, что внутри виртуалбокса блок сработает (может там его и сделать, также и на роутере). Винда же пропускает через себя пакеты без фильтрации.

Вообще мало информации, сложно представить всю картину. Рекомендую вам не зацикливаться на том, что винда работает неправильно, а искать ошибку у себя.

Comments

[ixSci]

Более подробную информацию предоставил в пердыдущем коментарии. Не могли бы Вы пояснить, что есть транзитный трафик? Разве для винды трафик это роутера это не обычный внешний трафик, который должен обрабатываться как INPUT?
В роутере нет файервола, так что не получится там блочить(ZyXEL P-330W EE). В Guest систме блочить тоже не получается, весь внешний входящий трафик для нее идет с 10.0.2.2 ip, поэтому никакой выборочной блокировки не получится. Guest система в VB тоже за натом :)
>>Винда же пропускает через себя пакеты без фильтрации.
И все таки она фильтрует IP которые сейчас прописаны как доверенные(см. выше), как и многие другие на которых я проверял. Не блокирует только внешние IP из того же пула, что и мой.
Тем более весь трафик приходящий в Ubuntu(Guest) идет с ip 10.0.2.2 поэтому внутри блочит что-либо бесполезно.

[ixSci]

Прошу прощения за ошибки.

Answer 7

[Ajex]

Ну вот смотри, если ты знаком в линукс, будет проще понять.
В убунту есть фаер iptables, там есть различные цепочки фильтрации. Например INPUT и FORWARD

INPUT — это все что приходит на эту машину
FORWARD

Comments

[Ajex]

FORWARD — это то, что проходит транзитом (например тот же NAT)

вот в фаере чтобы заблокировать, к примеру, 22 порт, мы сделаем так:
iptables -I INPUT -s 1.1.1.1 -dport 22 -j ACCEPT
iptables -I INPUT -j DROP
(т.е. пускать только к 22 и только 1.1.1.1, остальных нафик)

ОДНАКО, это ни как не отразится на NAT трафике, он проеспокойно себе пройдет через эту машину игнорируя эти правила (если в iptables ACCEPT по дефолту).
потому что NAT идет через цепочку FORWARD и резать его нужно там.

iptables -I FORWARD -s 2.2.2.2 -j ACCEPT
iptables -I FORWARD -j DROP
(пускать NAT трафик только для ип 2.2.2.2)

почему объясняю на линуксе, имхо тут это дело немного более понятно обстоит
в XP например, раньше когда я этим страдал нельзя было заблочить транзитный трафик (хз как сейчас)
win 7 home, как бы тоже домашняя ось, она ни как не предназначена служить в виде сервера, надо смотреть правила, если ли там отдельно для форварда

В вообще, я бы советовал не мучаться, а ограничить доступ на уровне роутера. Почти во всех можно задать блокирующие правила. Так будет намного проще и надежней.

[ixSci]

Сегодня еще раз провел тесты с этим человеком, и теперь файер все нормально блочил(я ничего не менял). Единственное, что изменилось так это его Ip, он стал другим, но из того же пула. Мистика какая-то. В любом случае, спасибо за советы