Встроенный межсетевой экран (firewall) windows server 2008

Цель работы.

Приобретение практических навыков настройки межсетевого экрана.

Используемые программные средства.

Компьютерная сеть учебного класса и виртуальные машины с ОС Windows Server.

Теоретические сведении.

Персональный межсетевой экран появился в операционных системах семейства Windows, начиная с Windows ХР / Windows Server 2003. В Windows Server 2008 возможности этого компонента существенно расширены, что позволяет более гибко производить настройки.

Описание работы.

Текущие настройки можно посмотреть, запустив из Панели управления (Control Panel) Windows Firewall и выбрав в открывшемся окне ссылку Change Settings.

Появившееся окно управления параметрами межсетевого экрана содержит 3 вкладки (рис. 5.10, а, б, в). Первая из них позволяет включить или отключить межсетевой экран. Во включенном состоянии он может разрешать определенные входящие подключения или запрещать все входящие подключения (флажок Block all incoming connections).

Исключения из общего «блокирующего» правила определяются на вкладке Exceptions. Там есть ряд предопределенных правил, также пользователь может добавлять свои. Если нужно, чтобы какое-то приложение при включенном межсетевом экране обслуживало входящие подключения, для него должно быть описано правило. Сделать это можно либо указав программу (кнопка Add program), либо описав разрешаемый порт и протокол (кнопка Add Port). Пример формирования подобного правила представлен на рис. 5.10, г. Там дается разрешение для подключения на ТСР-порт 8080. Если надо ограничить перечень ip-адресов, с которых производится подключение, это можно сделать, нажав кнопку Change Scope (по умолчанию, разрешены подключения с любого адреса).

Рис. 5.10. Окно управления параметрами межсетевого экрана.

Установка флажка «Notify me when Windows Firewall blocks a new program» приводит к тому, что при попытке нового приложения принимать входящие подключения, пользователю будет выдано сообщение. Если пользователь разрешит такой программе работать, для нее будет сформировано разрешающее правило.

Вкладка Advanced (рис. 5.10, в) позволяет включить или отключить межсетевой экран для отдельных сетевых интерфейсов.

Задание 1.

• 1. Откройте окно управления межсетевым экраном.
• 2. Опишите действующие настройки.
• 3. Создайте новое разрешающее правило.

Рис. 5.11. Окно оснастки Windows Firewall with Advanced Security

Пока что работа с межсетевым экраном практически не отличалась от того, что было в Windows Server 2003. Новые возможности мы увидим, если из меню Administrative Tools запустить оснастку Windows Firewall with Advanced Security (рис. 5.11). В окне оснастки можно увидеть настройки для разных профилей и выполнить более тонкую настройку правил фильтрации.

Правила фильтрации разделены на две группы — входящие правила и исходящие правила. В приведенном на рис. 5.11 примере настройки выполняются на контроллере домена. И для контроллеров определено правило, разрешающее отправку ICMP-пакетов echo request (они, в частности, отправляются, если надо проверить доступность удаленного узла с помощью команды ping).

Задание 2.

1. Найдите правило, разрешающее отсылку ICMP-пакетов echo request. Проверьте его работу для какого-нибудь узла из локальной или внешней сети, используя его ip-адрсс (например, командой ping 192.168.1.10 можно проверить доступность компьютера с указным адресом). Если ответ пришел, можно переходить ко второй части задания. Если ответа нет, попробуйте найти такой узел, который пришлет ответ.

Рис. 5.12. Главное окно оснастки Windows Firewall with Advanced Security.

2. Выбрав кнопку New Rule, создайте правило, запрещающее отправку ICMP-пакетов на данный узел. Проверьте его работу.

Теперь рассмотрим настройку, связанную с ведением журналов межсетевого экрана. По умолчанию журналирование отключено. Но если возникает подозрение, что межсетевой экран мешает установлению какого-то типа сетевых соединений, можно включить эту опцию и проанализировать журнал.

На рис. 5.12 представлено главное окно оснастки. Выберем пункт Firewall Properties и активируем ведение журнала отброшенных пакетов (рис. 5.13). Для этого в группе Logging в окне рис. 5.13, а надо нажать кнопку Customize и выполнить настройку, представленную на рис. 5.13, б.

Рис. 5.13. Настройка параметров журнала событий Задание 3.

• 1. Активируйте ведение журнала.
• 2. Выполните команду ping для проверки доступности узла, для которого создавалось блокирующее правило.
• 3. Проверьте содержимое файла журнала (путь к нему описан в окне, аналогичном представленному на рис. 5.13, б). Найдите записи, соответствующие сброшенным {англ. drop) ICMP-пакетам.