|
http://bbs.kafan.cn/thread-890640-1-1.html
========================================================================
寫這篇文章的初衷：
1、我們總是能聽到，XP的系統(tǒng)墻太過于雞肋，WIN7的墻已經(jīng)足夠強大，誠然，口口相傳，是有其獨到之處，但是更深入下去，很多人卻不知所因，就讓我拋磚引玉，讓我們來看看微軟本身的墻，能給我們帶來什么驚喜。
2、趨勢有個防火墻助手，按照官人的說法，就是根據(jù)系統(tǒng)本身的防火墻，再加以一定的規(guī)則限制（可惜的是我到現(xiàn)在仍舊沒有拿到這手資料，所以很難就防火墻助手做出評判）
3、mse的強勁表現(xiàn)也讓我們看到了微軟的實力，也許這只老虎一直虎視眈眈，當這只老虎進入其中搏斗的時候，我們就真的能感受到格局的改變。所以我也忍不住想試試win7的墻。
什么是防火墻？
防火墻可以是軟件，也可以是硬件，它能夠檢查來自 Internet 或網(wǎng)絡的信息，然后根據(jù)防火墻設置阻止或允許這些信息通過計算機。防火墻有助于防止黑客或惡意軟件（如蠕蟲）通過網(wǎng)絡或 Internet 訪問計算機。 防火墻還有助于阻止計算機向其他計算機發(fā)送惡意軟件。
下圖顯示了防火墻的工作原理
 讓程序通過防火墻的威脅，引用微軟的話，就是
端口 更多請看微軟的介紹http://www.microsoft.com/china/technet/security/topics/architectureanddesign/ipsec/ipsecapa.mspx 更新日志 1月14號初稿 1月16號基本框架成型 1月16號更新基礎的界面介紹1月16號添加X-SCAN掃描 1月16號添加XP VISTA WIN7系統(tǒng)墻的區(qū)別介紹 1月17號更新高級防火墻對單個規(guī)則屬性的講解 1月19號更新高級安全規(guī)則之 連接安全規(guī)則（ipsec）
1月19號更新win7關(guān)于ARP的小招（轉(zhuǎn)自救援區(qū)，ARP這個東西還是要注明下）
1月20號更新WFC，再次感謝17樓飯友的分享。
1月21號，無聊著把WFC漢化了......
windows xp 中的系統(tǒng)防火墻
Windows XP中的防火墻非常簡單，只能保護接受到的網(wǎng)絡數(shù)據(jù)，阻止非系統(tǒng)預裝程序的運行，而且，默認是關(guān)閉的。直到SP2的出現(xiàn)，才將其設置為默認開啟。就防火墻功能而言，Windows防火墻只阻截所有傳入的未經(jīng)請求的流量，對主動請求傳出的流量不作理會。而第三方病毒防火墻軟件一般都會對兩個方向的訪問進行監(jiān)控和審核，這一點是它們之間最大的區(qū)別。如果入侵已經(jīng)發(fā)生或間諜軟件已經(jīng)安裝，并主動連接到外部網(wǎng)絡，那么Windows防火墻是束手無策的。但是普通用戶不必太過擔心這點。這就好像賓館里的房門一樣——外面的人要進入必須用鑰匙開門，而屋里的人要出門，只要拉一下門把手就可以了。 vista 的防火墻 在Vista中的防火墻加入了Windows過濾平臺(WFP)，并且可以通過高級安全設置MMC來阻止發(fā)送的數(shù)據(jù)。 在Vista中，可以通過控制面板來打開防火墻的基本設置。 Vista的防火墻允許用戶選擇網(wǎng)絡類型為公用網(wǎng)絡或者專用網(wǎng)絡。 win7的防火墻及對vista的改進 Win7中的防火墻對vista中的防火墻進行了進一步的優(yōu)化，以使其更易用，尤其是通過多防火墻策略的支持，給移動筆記本用戶帶來了極大的方便。 1、專用網(wǎng)絡被進一步細化成了家庭網(wǎng)絡和工作網(wǎng)絡，總共有三個分類供你選擇。 家庭網(wǎng)絡 - 此選項下，用戶可以建立HomeGroup(家庭組)。此時，網(wǎng)絡發(fā)現(xiàn)會自動打開。同在家庭網(wǎng)絡中的計算機可以共享文件、音樂、視頻和打印機等等。 工作網(wǎng)絡 - 此選項下，網(wǎng)絡發(fā)現(xiàn)也是默認開啟的，但用戶無法創(chuàng)建和加入Homegroup。如果用戶通過控制面板 - 系統(tǒng) - 高級系統(tǒng)設置 - 計算機名 加入某個主機的話，系統(tǒng)將自動加入主機網(wǎng)絡。 公用網(wǎng)絡 - 此選項主要適用于WI-FI等公用網(wǎng)絡接入。網(wǎng)絡發(fā)現(xiàn)默認關(guān)閉。 2、配置的優(yōu)化 在Vista中，即使用戶針對公用和專用網(wǎng)絡，擁有不用的配置文件，也只能在兩者之中選擇一個開啟。如果用戶不慎接入多個網(wǎng)絡的話，系統(tǒng)會自動應用最為嚴格的配置，阻止一切數(shù)據(jù)。那種情況下，可能出現(xiàn)不可預料事情而讓你手足無措，而在WIn7中，系統(tǒng)可以針對不同的網(wǎng)絡適配器應用不同的配置文件。比如你同時連入了家庭網(wǎng)絡和工作網(wǎng)絡，那么你連入家庭網(wǎng)絡的部分啟用家庭網(wǎng)絡的配置，連入工作網(wǎng)絡的部分啟用工作網(wǎng)絡。 3、設置的簡便 Windows 7的防火墻設置沒那么繁瑣了。舉個簡單的例子，在Vista中，當用戶創(chuàng)建防火墻規(guī)則時，用戶必須手動填寫端口和IP地址。但在win7中，用戶填上范圍即可（詳細的設置介紹下面將放出）。 4、事件記錄 在Vista中，防火墻記錄的事件將會被存放在一個單獨的文件中，默認為Windows\System32\LogFiles\Firewall\pfirewall.log。而在Windows 7中，防火墻特別配備了事件瀏覽器，查看記錄更方便。 計算機——控制面板——windows防火墻 下圖為win7防火墻的主界面
 從上圖我們可以清楚的看到家庭或工作網(wǎng)絡和公用網(wǎng)絡分開的配置，也就是我上面介紹區(qū)別的時候說的，對于不同的網(wǎng)絡類型實行各自的專用配置。 左邊我們可以看到5個關(guān)聯(lián)的設置 1、允許程序或功能通過windows防火墻 2、更改通知設置 3、打開或關(guān)閉windows防火墻 4、還原默認設置 5、高級設置 下面我們一個一個的來看 點開第一個 允許程序或功能通過windows防火墻  這個是最基礎的通行與否，就像當初的XP就是這樣的，添加規(guī)則很簡單，點擊“允許運行另一程序”，選擇你想要添加的程序即可，但是我們可以看到還是區(qū)分了專用網(wǎng)絡和公用網(wǎng)絡的 這邊只要最基礎的通行或者不通行，沒有端口，更不用TCP和UDP。因為對于一般人來說，只是需要設置程序是否需要聯(lián)網(wǎng)，而不會區(qū)分一條條的規(guī)則，而更高級的規(guī)則，將在稍后講到（這邊添加的程序，根據(jù)程序?qū)姆?，可能會在后面產(chǎn)生多條規(guī)則）。 點擊第二個和第三個更改通知設置和打開或關(guān)閉windows防火墻 這兩個效果是一樣的，出來如下的界面  這邊就可以打開和關(guān)閉windows防火墻，切家庭或工作網(wǎng)絡和公用網(wǎng)絡是分開的。至于提醒，還是按照默認的勾上，阻止所有連入連接不用勾上，不然會影響某些程序的運行。 第四個 還遠默認設置 如下圖  如果自己覺得自己配置的亂七八糟或者規(guī)則十分混亂，那么可以選擇還原默認設置，那么防火墻的規(guī)則就會恢復到初始的狀態(tài)（謹慎使用） ================================================== 第五個，就是這次講解的重點，也就是高級設置  從最左邊看起，可以看到入站規(guī)則和出站規(guī)則 這些規(guī)則包含兩個部分，一部分就是系統(tǒng)預先設置好的，而且你點開某些預先的配置，是不允許更改的。 另一部分就是用戶自定義的。廢話不多說，先配置一個入站規(guī)則 入站規(guī)則右鍵，新建規(guī)則選擇程序  隨便選一個桌面的魔獸改鍵精靈  選擇阻止連接  選擇配置文件，win7中有三大配置，域 ，專用網(wǎng)絡 公用網(wǎng)絡簡單的介紹下這三個 域 是一般企業(yè)用戶啟用的，當計算機連接到包含 Active Directory 域控制器（其中含有該計算機的域帳戶）的網(wǎng)絡時應用。這里略過 專用 的即為家庭網(wǎng)絡和工作網(wǎng)絡配置。專用配置文件設置應該比域配置文件設置更為嚴格。本地管理員為網(wǎng)絡分配專用類型。 公用 即為公用網(wǎng)絡配置文件。由于計算機連接到的公用網(wǎng)絡對安全性的控制不如 IT 環(huán)境嚴格，所以公用配置文件設置應該最為嚴格。默認情況下，為新發(fā)現(xiàn)的網(wǎng)絡分配公用類型。  輸入一個名稱，我姑且叫做哈哈，那么一個新的入站規(guī)則就創(chuàng)建好了，是不是很簡單？ 同理，出站規(guī)則也是如此  =============================================== 點開我們配置的哈哈這條規(guī)則來跟我一起了解下防火墻規(guī)則屬性頁分7個標簽，我來簡單的介紹和講解下注意事項。 常規(guī)部分 一、名稱：就是規(guī)則的名稱（注意：作為最佳實踐，請為防火墻規(guī)則指定一個唯一名稱。如果兩個規(guī)則具有相同的名稱，則無法使用 netsh 命令方便地對其進行管理。請不要對防火墻規(guī)則使用名稱“all”，因為這是 Netsh 命令行工具關(guān)鍵字的名稱。） 二、描述：可以忽略 三、操作：包括阻止連接，允許連接，僅允許安全連接（定義：使用此選項可以指定僅允許受 Internet 協(xié)議安全性 (IPsec) 保護的網(wǎng)絡數(shù)據(jù)包。IPsec 設置必須在單獨的連接安全規(guī)則中定義。默認情況下，此設置要求包含身份驗證和完整性，但不要求加密。若要配置要求，請單擊“自定義”，然后選擇“自定義允許條件安全設置”對話框上的選項。） 特別注意，多個規(guī)則同時定義時，按照下列順序取決規(guī)則中指定的操作 1、安全時允許（在“自定義允許條件安全設置”對話框中選擇了“替代阻止規(guī)則”）。 2、阻止連接。 3、允許連接。 默認配置文件行為（允許或阻止，如“高級安全 Windows 防火墻屬性”對話框的相應“配置文件”選項卡上所指定）。 在每個類別中，按照從最具體到最不具體的順序評估規(guī)則。進行選擇時，指定四個標準的規(guī)則優(yōu)先于僅指定三個標準的規(guī)則。只要網(wǎng)絡數(shù)據(jù)包匹配規(guī)則，就會觸發(fā)其操作，不與任何其他規(guī)則進行比較。換句話說，即使網(wǎng)絡數(shù)據(jù)包匹配多個規(guī)則，也僅對數(shù)據(jù)包應用第一個針對數(shù)據(jù)包評估的匹配規(guī)則。 程序和服務部分 注意事項1：若要將程序添加到規(guī)則，必須指定此程序使用的可執(zhí)行 (.exe) 文件。在其自己唯一的 .exe 文件中運行且不受服務容器主持的系統(tǒng)服務被視為程序，且能將其添加到規(guī)則。同樣，作用同系統(tǒng)服務且無論用戶是否登錄到計算機都運行的程序，只要該程序在其自己唯一的 .exe 文件中運行，也被視為程序。 注意事項2：將程序添加到規(guī)則時，高級安全 Windows 防火墻將動態(tài)打開（取消阻止）并關(guān)閉（阻止）程序所需的端口。當程序正在運行和偵聽傳入流量時，高級安全 Windows 防火墻將打開所需端口；當程序未運行或未偵聽傳入流量時，高級安全 Windows 防火墻將關(guān)閉這些端口。由于此動態(tài)行為，推薦的方法是將程序添加到規(guī)則，以允許非請求傳入流量通過高級安全 Windows 防火墻。 計算機部分 已授權(quán)的計算機：在此添加計算機，那么對于入站規(guī)則，可以指定哪些計算機可以連接到此計算機。對于出站規(guī)則，可以指定允許此計算機連接到哪些計算機。 例外：道理同上。 協(xié)議和端口部分 協(xié)議類型：我們可以看到win7的墻比較強大，可以支持TCP UDP GRE HOPOPT ICMPv4 ICMPv6等協(xié)議，可操作性非常大本地端口和遠程端口忽略不談 Internet 控制消息協(xié)議 (ICMP) 設置：只有選擇 ICMPv4 或 ICMPv6 協(xié)議類型時才會啟用“自定義”按鈕 作用域部分、高級部分和用戶部分或有重復，或超過范疇，略過不講 =================================================== 下面我們來講連接安全規(guī)則
可以使用新建連接安全規(guī)則向?qū)?chuàng)建 Internet 協(xié)議安全性 (IPsec) 規(guī)則，以實現(xiàn)不同的網(wǎng)絡安全目標。使用此頁可以選擇要創(chuàng)建的規(guī)則的類型。
向?qū)峁┝怂姆N預定義的規(guī)則類型，包括隔離、免除身份驗證、服務器到服務器和隧道，還可以創(chuàng)建一條自定義規(guī)則。 隔離 隔離規(guī)則可根據(jù)您定義的身份驗證標準對連接進行限制。例如，您可以使用此規(guī)則類型來隔離加入您域中的計算機和域外的計算機（例如 Internet 上的計算機）。 免除身份驗證 使用此選項可以創(chuàng)建使指定計算機免于進行身份驗證的規(guī)則，而不考慮其他連接安全規(guī)則。此規(guī)則類型通常用于授權(quán)訪問基礎結(jié)構(gòu)計算機，如 Active Directory 域控制器、證書頒發(fā)機構(gòu) (CA) 或 DHCP 服務器，此計算機必須在執(zhí)行身份驗證前與之通信。它還用于無法使用為此策略和配置文件配置的身份驗證形式的計算機。 服務器到服務器 使用此規(guī)則類型對兩臺指定計算機之間、兩個計算機組之間、兩個子網(wǎng)之間或者指定計算機和計算機組或子網(wǎng)之間的通信進行身份驗證?？梢允褂么艘?guī)則對數(shù)據(jù)庫服務器和業(yè)務層計算機之間或基礎結(jié)構(gòu)計算機和其他服務器之間的流量進行身份驗證。此規(guī)則與隔離規(guī)則類型類似，但將顯示“終結(jié)點”頁，以便您可以識別受此規(guī)則影響的計算機。 隧道 使用此規(guī)則類型，可以通過 IPsec 中的隧道模式而非傳輸模式確保兩臺計算機之間安全地進行通信。隧道模式將整個網(wǎng)絡數(shù)據(jù)包嵌入到在兩個已定義終結(jié)點之間路由的網(wǎng)絡數(shù)據(jù)包。對于每個終結(jié)點，您可以指定接收和消耗通過隧道發(fā)送的網(wǎng)絡流量的單個計算機，或者指定連接到專用網(wǎng)絡的網(wǎng)關(guān)計算機，接收隧道終結(jié)點從隧道中提取接收的流量后會將流量路由到該專用網(wǎng)絡。 自定義 使用此規(guī)則類型創(chuàng)建需要特殊設置的規(guī)則。此選項啟用所有向?qū)ы摚▋H用于創(chuàng)建隧道規(guī)則的向?qū)ы摮猓?/font> （下圖顯示了可以使用此選項卡配置的組件）
部分注意事項 1、在“身份驗證模式”下，選擇下列選項之一以指示是否要求或請求對網(wǎng)絡流量進行身份驗證。
2、IPsec隧道 使用高級安全 Windows 防火墻可以在無法使用第二層隧道協(xié)議 (L2TP) 的情況下執(zhí)行第 3 層隧道。如果將 L2TP 用于遠程通信，則不需要進行任何隧道配置，因為此版本 Windows 的客戶端和服務器虛擬專用網(wǎng)絡 (VPN) 組件會自動創(chuàng)建用于保護 L2TP 通信的規(guī)則。
3、終結(jié)點
終結(jié)點1：是隧道本地端的計算機集合，必須可以向作為終結(jié)點 2 一部分的計算機發(fā)送數(shù)據(jù)以及從中接收數(shù)據(jù)。
終結(jié)點 2： 是隧道遠端的計算機集合，必須可以向作為終結(jié)點 1 一部分的計算機發(fā)送數(shù)據(jù)以及從中接收數(shù)據(jù)。
端口隱形
端口隱形也叫端口靜默 (Port Stealth). 通常情況下, 如果計算機收到一個對某個未使用端口進行連接的請求時, 那么其將回復一個 "port unreachable" 的消息. 這個消息將被消息發(fā)送者收到, 并以此判斷你的計算機為活動主機. 如果發(fā)送者有惡意企圖, 那么他就會搜索你計算機上可能存在的漏洞并嘗試攻擊.一般來講，幾乎所有的網(wǎng)絡攻擊行為，都是針對于特定端口展開的。因此，盡量減少端口的暴露，是降低電腦受攻擊頻率的一個最好方法。而這也就是我們平時所說的“端口靜默”。一般而言，端口的狀態(tài)有三種：打開（Open）、關(guān)閉（Close）和隱形（Stealth）。其實，關(guān)閉端口并不是最好的解決方案，因為能檢測到存活，意味著有可能通過其他手段讓這個端口打開，但是在端口隱形的模式下, 你的計算機將不會回復信息 --- 也就是在對方看來, 你的計算機是關(guān)閉或者是離線的. 而與此同時, 你的正常網(wǎng)絡活動則不會受到影響. 理所當然的，win7的墻支持端口隱形 ======================================================= x-scan3.3掃描 測試條件局域網(wǎng)3臺主機 XP SP3 +WIN7+WIN7 用X-SCAN互掃，以防差錯。 X-Scan是使用頻率較高的一款綜合型掃描軟件（雖然3.3的05年的版本）。能夠詳細地提供出，被掃描端的開放的服務、操作系統(tǒng)版本、snmp信息、IIS漏洞、RPC漏洞、NT服務器NETBIOS等等許許多多的信息。 迫不得已，只能找出這名老將，只能說，廉頗老矣，還能飯.....不多說，直接上掃描報告 圖一為開了win7防火墻，X-SCAN直接掃不到存活的主機 圖二為關(guān)閉win7防火墻 X-SCAN找到存活的主機并且掃出如此之多開放的服務。 圖一 圖二 1、 掃描的報告只為有一個定性的概念，讓大家知道打開和關(guān)閉win7系統(tǒng)墻的利弊。 2、X-SCAN作為一個老牌的掃描軟件，還是具有一定的參考性的。 3、掃之前我以為系統(tǒng)墻不能做到主機失活，但是win7墻做到了，這是我意料之外的。 4、既然能夠在局域網(wǎng)做到失活，那么接下來的針對開放服務的檢測就沒得做了，不過這是好事 5、只是一個定性試驗，所以我也不糾結(jié)那么深了，別的掃描器也就不上了。老實說，即使看到開了這么多，我能不能攻進去還是個問題呢
簡單幾步設置Win7防火墻 確保系統(tǒng)安全
電腦使用小助手 普及電腦使用技術(shù)，電腦使用小技巧，小竅門，雖不能讓你成為電腦高手，卻能讓你在日常的電腦使用過程中不再是電腦小白，小問題再也不需要再求助他人，覺得這個公眾號好的話歡迎擴散窩！ 1. Windows 7防火墻的啟動 在Windows 7桌面上，單擊開始菜單處進入控制面板，然后找到“Windows防火墻”功能。 2. Windows 7防火墻的基本設置 防火墻如果設置不好，阻止網(wǎng)絡惡意攻擊不給力不說，還可能會阻擋用戶自己正常訪問互聯(lián)網(wǎng)，所以之前很多電腦用戶都不會去手動設置防火墻?，F(xiàn)在情況就不一樣了，Windows 7系統(tǒng)的防火墻設置相對簡單很多，普通的電腦用戶也可獨立進行相關(guān)的基本設置。點擊進入“打開或關(guān)閉Windows防火墻”設置窗口，點擊“啟用Windows防火墻”即可開啟Windows 7的防火墻。 Win7新手用戶盡可放心大膽去設置，就算操作失誤也沒關(guān)系，Windows 7系統(tǒng)提供的防火墻還原默認設置功能可立馬幫你把防火墻恢復到初始狀態(tài)。 Win7提供了三種網(wǎng)絡類型供用戶選擇使用：公共網(wǎng)絡、家庭網(wǎng)絡或者工作網(wǎng)絡，后兩者都被Windows 7系統(tǒng)視為私人網(wǎng)絡。所有網(wǎng)絡類型，Win7都允許手動調(diào)整配置。另外，Win7系統(tǒng)中為每一項設置都提供了詳細的說明文字，一般用戶在動手設置前有不明白的地方先瀏覽一遍就可以。 3. Windows7防火墻的高級設置 作為不少Win7旗艦版高級用戶來說，想要把防火墻設置的更全面詳細，Windows 7的防火墻還提供了高級設置控制臺，在這里你可以為每種網(wǎng)絡類型的配置文件進行設置，包括出站規(guī)則、入站規(guī)則、連接安全規(guī)則等。 如此一來，Windows 7的防火墻設置就搞定了。目前國內(nèi)很多電腦用戶由于缺乏電腦安全知識同時又沒有安裝專業(yè)可靠的安全軟件，僅僅一些免費的殺毒軟件是不提供防火墻保護功能的，現(xiàn)在使用Windows 7系統(tǒng)自帶的防火墻便可以為自己的系統(tǒng)增加一層保護，有效抵御網(wǎng)絡威脅。
|
|
|
