Что нового в брандмауэре Windows в режиме повышенной безопасности Windows Server 2008 R2 и Windows 7

Брандмауэр Windows прошел долгий путь с момента его первого появления в Windows XP и Windows Server 2003 SP2. На самом деле, при наличии брандмауэра Windows в режиме повышенной безопасности даже нет причины использовать межсетевой экран сторонних производителей, хотя некоторые администраторы, возможно, предпочтут делать это из-за каких-то конкретных функций или целей. Брандмауэр Windows в режиме повышенной безопасности (WFAS) имеет все, что вам нужно для создания безопасной настройки сети. К тому же, новый брандмауэр WFAS был дополнен компонентами межсетевого экрана и включает правила безопасности подключений (Connection Security Rules), которые представляют собой IPsec правила, упрощающие создание IPsec подключений между клиентами и серверами, а также между серверами в вашей сети.

В этой статье мы рассмотрим некоторые новые и удивительные функции WFAS, включенные в Windows Server 2008 R2 и Windows 7.

Назначение различных профилей брандмауэра каждой сетевой карте

В брандмауэрах Windows прошлого можно было использовать только один активный профиль брандмауэра. Если ваш компьютер был подключен к нескольким сетям, то профиль с самыми жесткими правилами применялся ко всем сетевым картам. Публичный профиль был самым строгим, затем шел частный профиль, и наконец, профиль домена. Это могло вызывать проблемы ненужного ограничения доступа к домену или частным сетям.

Теперь все работает как должно: каждой сетевой карте назначается собственный профиль. Трафик, посылаемый на каждую сетевую карту или отправляемый с нее, обрабатывается в соответствие с правилами, подходящими для сетевой карты, подключенной к каждой сети.

Соперник для десятков разных межсетевых экранов

WFAS представляет собой не просто брандмауэр на базе узла. Помимо функциональности брандмауэра он включает:
Правила безопасности IPsec подключений
Усиление защиты сетевой службы
Фильтры времени загрузки
Фильтры брандмауэра
Фильтры скрытности (Stealth filters)

В прошлом выключение брандмауэра также означало отключение всех других сервисов, предоставляемых брандмауэром Windows. Это означало, что если вы установили другой брандмауэр, который не предоставлял всех служб, предоставляемых брандмауэром Windows, вы теряли все эти службы брандмауэра Windows (и вероятно повергали систему угрозам). Теперь, если установлен другой брандмауэр на базе узла, установщик брандмауэра может отключить компоненты брандмауэра Windows, которые создают конфликты. Остальные службы брандмауэра Windows остаются включенными.

Есть промежуточный ЦС? Нет проблем!

Раньше правила безопасности подключений использовали только те сертификаты, которые выдавались корневым центром сертификации. Теперь вы можете использовать сертификаты, выдаваемые промежуточными ЦС для правил безопасности подключений на базе IPsec.

Не все должны показывать документы

Теперь можно создавать правила брандмауэра, которые указывают исключения в списке авторизации. Это позволяет создавать правила брандмауэра, с помощью которых, скажем, все кроме «а, б и в», могут получать доступ к узлу. Трафик с компьютеров или от пользователей, указанных в списке исключений, будет блокироваться, даже если трафик от всех остальных участников списка авторизации разрешен. Вы также можете создавать правила для исходящего трафика, указывая авторизированные компьютеры и исключения списка авторизации.

Используйте графический интерфейс для настройки портов и протоколов для правил безопасности подключений

Теперь можно использовать консоль MMC для создания правил безопасности подключений, которые указывают номера портов или протоколы. Только трафик с этих портов или на эти порты, либо трафик для указанных протоколов будет подлежать требованиям IPsec правила безопасности подключений. В прошлом нужно было переходить в ‘темный лес’ и использовать команду netsh для использования этих правил. Зачем жить в мире командной строки 1960-ых годов, когда есть отличный и полезный графический интерфейс? Сейчас такой необходимости нет!

Настройка правил брандмауэра, поддерживающих полный диапазон TCP или UDP портов

Теперь можно настраивать правила, которые включают диапазоны портов. Например, вы можете применить правило, которое использует порты в диапазоне от 5000 до 5010. Вы также можете использовать диапазоны портов в правилах безопасности подключений, указывающих исключения для прохождения проверки подлинности.
Брандмауэр Windows теперь поддерживает пакет ‘B’ Suite!

Правила безопасности подключений теперь поддерживают ‘Suite B’ набор алгоритмов, определенных в стандарте RFC 4869. В прошлом нужно было доводить себя до исступления в попытках создания Suite B правил, используя инструмент netsh. Это отличная новость для всех тех админов, которые боялись, что «душа Windows» преобразовывалась в подобный командной строке Linux кошмар (также известный как PowerHell). Не поймите меня неправильно; командная строка является отличным инструментом для определённых задач, и некоторые предпочитают выполнять большую часть своей работы через нее. Но другие любят Windows именно за ее графический интерфейс, а я люблю располагать обеими опциями.
Использование проверки подлинности без трудностей для сетевых «парней»

Теперь можно создавать правила безопасности подключений, которые позволяют использовать проверку подлинности IPsec без использования Encapsulating Security Payload (ESP) или Authenticated Header (AH) защиты на пакетах данных. Именно так! Вы получаете проверку подлинности без шифрования. Это делает возможным процесс проверки подлинности, когда сетевые сотрудники говорят вам, что вы не можете использовать ESP или AH, поскольку они заложили компанию, заплатив превышенную цену за сетевое IDS устройство, на которое никто даже и не смотрит. Эта новая функция позволяет вам выполнять проверку подлинности при попытке подключения, но при этом не используется IPsec шифрование, поэтому IDS видит все, что проходит по каналу.

Получите IPsec защиту для мобильных устройств

Теперь можно использовать IPsec защиту, даже когда не можешь сказать, какой IP адрес будет с обеих сторон подключения. Ранее нельзя было создавать IPsec правила для ситуаций, когда одному из узлов назначался динамический IP адрес.
Режим IPsec туннеля получил ускорение

Теперь можно настраивать туннельный режим IPsec, чтобы позволять прошедшим проверку подлинности и авторизацию компьютерам и пользователям создавать туннели к шлюзу IPsec. Это используется компонентом DirectAccess для обеспечения проверки подлинности и компьютера и пользователя для туннелей инфраструктуры и интрасети.

Можно создавать правила туннельного режима, определяющие проверку подлинности, которая может выполняться для пользователя или компьютера. Затем учетная запись компьютера или пользователя сравнивается со списком авторизации, после чего создается туннель, и данные могут передаваться, если пользователь или компьютер авторизирован. Если учетная запись не авторизирована, подключение не будет создано. Можно также указывать исключения, которые позволяют вам создавать правило ‘все, кроме пользователя UserA’ в консоли. Единственным ограничением является то, что авторизация туннельного режима работает только для входящих туннелей.

Что там с AuthIP?

Authenticated IP (AuthIP) используется вместо IKE, когда создается правило с параметрами, не поддерживаемыми IKEv1. AuthIP использует секрет, генерируемый требуемым способом проверки подлинности. Например, если вы используете проверку подлинности Kerberos V5, то используется секрет Kerberos вместо секрета, генерируемого обменом Diffie-Hellman. Однако, вам может потребоваться использование Diffie-Hellman. Если так, вы теперь можете требовать, чтобы использовался Diffie-Hellman во всех взаимодействиях основного режима IPsec, даже если AuthIP используется для проверки подлинности.
Использование различных Diffie-Hellman алгоритмов в предложениях основного режима

В Windows Vista и Windows Server 2008 можно указывать только один Diffie-Hellman алгоритм, который используется во всех предложениях IPsec. Для этого нужно было обеспечить, чтобы все компьютеры в организации использовали единый Diffie-Hellman алгоритм для взаимодействий IPsec. Начиная с Windows 7 и Windows Server 2008 R2, можно указывать разные Diffie-Hellman алгоритмы для каждого предложения основного режима, которое вы создаете.

Любовь к туннельным протоколам IPv6

Конечно, есть Teredo и 6to4, но это вчерашний день. Как на счет чего-то нового, улучшенного и созданного компанией Microsoft? Именно это вы и получаете с IPv6 через HTTPS, также известного как IP-HTTPS. IP-HTTPS – это новая технология IPv6 туннелирования, которая включает IPv6 пакеты в HTTPS заголовок. IP-HTTPS позволяет IPv6 трафику перемещаться через IPv4 интернет и выполняет функцию, подобную Teredo и 6to4. Однако, в отличие от Teredo, не нужно открывать специальные порты на брандмауэре, чтобы разрешить доступ к IP-HTTPS, поскольку все знают, что TCP порт 443 является универсальным портом обхода брандмауэра.

Однако вы все же можете использовать Teredo. Как и IP-HTTPS, Teredo тоже является протоколом туннелирования, прикрепляющим IPv4 заголовок к IPv6 пакетам. Для входящего правила брандмауэра Windows можно устанавливать UDP порт на Edge Traversal, вместо указания определенного номера порта, чтобы брандмауэр Windows автоматически распознавал его и соответствующим образом обрабатывал подключение.

Не используйте инкапсуляцию, если в этом нет необходимости

Раньше, когда сетевой трафик, защищенный с помощью IPsec, отправлялся по IPsec туннелю, он включался в IPsec и IP заголовок. Это большое количество заголовков! Теперь при настройке правила туннельного режима сетевой трафик, который уже защищен IPsec, будет исключен из туннеля, и будет перемещаться в конечную точку туннеля без дополнительной инкапсуляции.
Получите четкий вид всех событий брандмауэра в программе просмотра событий

Раньше все события брандмауэра считались событиями аудита и генерировались только в том случае, если соответствующая категория аудита была включена. Теперь некоторые из этих событий считаются необязательными и отображаются в программе просмотра событий без необходимости предварительного включения. Они отображаются в журналах Applications and Service Logs \ Microsoft \ Windows \ Windows Firewall with Advanced Security. Это значительно упрощает диагностику во многих случаях.

Заключение

Брандмауэр Windows становится все лучше и лучше! В этой статье мы рассмотрели ряд новых и улучшенных компонентов и функций, включенных в брандмауэр Windows 7 и Windows Server 2008 R2. Если вы уже знакомы с брандмауэром WFAS, вы знаете о тех мощных возможностях, которые получаете с этим интегрированным компонентом. Если вы еще не знакомы с ним, то у вас должно возникнуть впечатление того, что встроенный брандмауэр Windows – это все, что вам нужно, и зачастую просто нет причин для установки брандмауэров сторонних производителей (которая часто приводит к нестабильности работы системы). Также следует помнить, что брандмауэр Windows с режимом повышенной безопасности представляет собой нечто большее, чем просто межсетевой экран. Его основной обязанностью помимо межсетевого экрана на базе узла является ответственность за IPsec подключения, полагающиеся на правила безопасности подключений.