Как с помощью брендмауэра Winows разрешить программе сетевой обмен только с 1 IP по определенному порту?

Question

[sbh]

Необходимо ограничить программу по сети.
Запретить ей все исходящие запросы кроме 1 IP адреса с определенным портом.
Причем для этой программы нет никаких правил отдельных в брандмауэре и тем не менее она может обмениваться в данный момент с другими серверами по http

Answer 1

[krosh]

Панель управления\Система и безопасность\Администрирование\Брандмауэр Windows в режиме повышенной безопасности

Создать правило для входящих соединений. Выбирайте для программы или для порта. Свойства - вкладка Область, там пропишите нужный адрес.

Или для исходящих соединений создавайте правило. Из Вашего вопроса не ясно точно, про что речь.

Comments

[sbh]

Я пробовал так делать, программа и до этого могла взаимодействовать по сети с любыми адресами, т.е. ей по-умолчанию доступны любые сетевые обращения насколько я понимаю. Добавление разрешающего правила ничего не меняет. Она как могла слать запросы кому угодно так и может. Нужно запретить ей все и разрешить только 1 IP и 1 порт на нем

[res2001]

Вообще обычно (в других ОС) это делается так - создается разрешающее правило с вашими условиями, и за ним создается запрещающее правило для этой программы на все. Если срабатывает первое правило, то программа идет в интернет, до запрещающего правила дело уже не доходит. Если не срабатывает, то следующим правилом выход блокируется.
Обычно правила фаерволов строго упорядочены, в винде же порядок проверки правил странный и четко не определенный.
Поэтому стандартный подход не прокатит.
По умолчанию в виндовом брандмауэре исходящий трафик разрешен. Измените эту настройку - запретите исходящий трафик по умолчанию. Эта настройка есть для каждого профиля брандмауэра.
Ну и дальше вам надо будет аккуратно настроить исходящие правила. По 80 порту уже не выпускайте всех подряд, а только кого надо и куда надо, для этого нужно будет изменить стандартное правило и по необходимости добавить новых.
Подозреваю, что такая схема может вызвать массу неудобств на первых порах, т.к. возможно отвалятся разнообразные виндовые (и не только) службы.

[krosh]

sbh:
Покажите Ваше правило:
>netsh advfirewall firewall show rule name="RULE_NAME" verbose

ОС?
Приложением пользуетесь локально или получает запрос по сети?
МЭ включен?

[sbh]

krosh: Приложение стоит локально и нужно заблокировать ему доступ в интернет, локальную сеть нужно оставить. Правило показать не могу - тк его нет. ОС - Windows 7, Межсетевой экран - если вы про брандмауэр, то он включен.

[krosh]

sbh: Да, задача интересная, но у меня нет точного ответа на Ваш вопрос. Трафик от локального приложения можно полностью заблокировать, но я не нашел вариантов, чтобы можно было указать какие-то исключения.

Нужно в Правила для исходящих соединений (см. Панель управления\Система и безопасность\Администрирование\Брандмауэр Windows в режиме повышенной безопасности) добавить новое блокирующее правило для программы. Тогда данная програма не будет работать с сетью.

Можно еще попробовать установить настройки по умолчанию для блокировки всего исходящего трафика и для приложения сделать разрешающее правило с указанием адресов локальной сети, но такой вариант осложнен тем, что нужны явные разрешающие правила и для остальных программ.

Спросите про исключения в Правилах исходящего трафика на брандмауэрах виндовс у профильных специалистов, может есть какой-то вариант.

[sbh]

krosh: варианты которые вы предложили не подходят. Выше человек тоже предлагал заблокировать все и выдать потом нужное.