विंडोज 7 में फ़ायरवॉल सुविधाएँ

इस साल, विंडोज एक्सपी 10 साल का है। OS में निर्मित फ़ायरवॉल की आयु को अलग तरह से माना जा सकता है। अब, शायद, हर किसी को याद नहीं होगा कि विंडोज एक्सपी के मूल संस्करण में वर्तमान फ़ायरवॉल के प्रोटोटाइप को इंटरनेट कनेक्शन फ़ायरवॉल (आईसीएफ) कहा जाता था, इसकी बहुत सीमित कार्यक्षमता थी और मैन्युअल रूप से एक विशेष नेटवर्क इंटरफ़ेस के गुणों में कॉन्फ़िगर किया गया था। हालाँकि, फिर भी, कॉरपोरेट ग्राहकों से हमें मिलने वाले सबसे सामान्य प्रश्नों में से एक कुछ इस प्रकार था: "आपने डिफ़ॉल्ट रूप से ICF को सक्षम क्यों नहीं किया?" मजेदार हुह?

दरअसल, विंडोज़ फ़ायरवॉल, विंडोज़ एक्सपी के लिए SP2 की रिलीज़ के साथ दिखाई दिया, इसमें ICF की तुलना में कई महत्वपूर्ण सुधार शामिल थे और डिफ़ॉल्ट रूप से OS में शामिल थे। पहली बार में बाद के तथ्य ने कई पुराने अनुप्रयोगों की अक्षमता का कारण बना, विंडोज में अतिरिक्त सेटिंग्स को निर्दिष्ट करने की आवश्यकता, और निश्चित रूप से, एमएस की आलोचना। और आउटगोइंग फ़िल्टरिंग की कमी के बारे में कितना लिखा गया था ... लेकिन निमदा, स्लैमर, ब्लास्टर, अन्य नाम जो पहले से ही सुनवाई के लिए सुखद थे, और कई लोगों के लिए यह स्पष्ट था कि एक अंतर्निहित फ़ायरवॉल होने से बहुत अधिक नहीं था।

विस्टा और विंडोज सर्वर 2008 ने विंडोज फ़ायरवॉल के लिए और भी अधिक बदलाव पेश किए: वास्तव में, एक नया फ़िल्टरिंग प्लेटफ़ॉर्म दिखाई दिया, जिसके आधार पर फ़ायरवॉल ने काम किया और तीसरे पक्ष के समाधान तैयार किए जा सकते हैं, IPsec नीतियों को फ़ायरवॉल सेटिंग्स के साथ जोड़ा गया, और आउटगोइंग फ़िल्टरिंग दिखाई दी।

इस पोस्ट के भाग के रूप में, मैं "सात" और R2 में विंडोज फ़ायरवॉल की सुविधाओं पर ध्यान देना चाहूंगा। बेशक, ये सुविधाएँ पहले से ही एक ही TechNet पर विभिन्न लेखों में सूचीबद्ध हैं, लेकिन, एक नियम के रूप में, इतनी संक्षेप में कि सुधार का सार दूर फिसल सकता है और कम करके आंका जा सकता है।

एकाधिक सक्रिय प्रोफ़ाइल
पहला और मुख्य, यह मुझे लगता है, विंडोज 7 में फ़ायरवॉल की विशेषता यह है कि एक ही समय में कई प्रोफाइल सक्रिय हो सकते हैं।

मुझे आपको याद दिलाना, विंडोज विस्टा से शुरू, अंतर्निहित फ़ायरवॉल तीन प्रोफाइल - डोमेन, निजी और सार्वजनिक (XP में उनमें से दो थे - डोमेन और मानक) का समर्थन करता है। प्रत्येक प्रोफ़ाइल फ़ायरवॉल द्वारा लागू नियमों का एक समूह है। जब भी कोई कंप्यूटर किसी नेटवर्क से जुड़ता है, तो OS इस नेटवर्क की पहचान करने और उपयुक्त प्रोफ़ाइल को लागू करने की कोशिश करता है। विशेष रूप से, यदि डोमेन नियंत्रक जो कि कंप्यूटर का मालिक है नेटवर्क पर उपलब्ध है, तो डोमेन प्रोफ़ाइल स्वचालित रूप से लागू होता है। यदि, जिस नए नेटवर्क पर कंप्यूटर कनेक्ट है, उस पर डोमेन नियंत्रक अनुपस्थित है, तो सबसे अधिक प्रतिबंधात्मक सार्वजनिक प्रोफ़ाइल लागू होती है। उसी समय, उपयोगकर्ता के सामने एक विंडो दिखाई देती है जिसमें आप स्पष्ट रूप से इस नेटवर्क के लिए एक प्रोफ़ाइल का चयन कर सकते हैं (चित्र 1 देखें)।


अंजीर। 1

नेटवर्क स्थान जागरूकता (NLA) सेवा एक समर्पित डेटाबेस में नेटवर्क जानकारी संग्रहीत करती है। अगली बार जब कंप्यूटर इस नेटवर्क से जुड़ता है और NLA डेटाबेस में संग्रहीत जानकारी के आधार पर सफलतापूर्वक इसकी पहचान करता है, तो फ़ायरवॉल स्वचालित रूप से उपयुक्त प्रोफ़ाइल को लागू करेगा।
तो किसी भी समय Windows Vista में, केवल एक प्रोफ़ाइल सक्रिय हो सकती है। यही है, समय के प्रत्येक क्षण में, केवल एक प्रोफ़ाइल की सेटिंग्स सभी नेटवर्क इंटरफेस पर लागू होती हैं, जिसके लिए फ़ायरवॉल सक्षम है।

यह कुछ समस्याओं का कारण बनता है। उदाहरण के लिए, एक डोमेन प्रोफ़ाइल में, व्यवस्थापक ने एक निश्चित व्यावसायिक अनुप्रयोग (विकल्प के रूप में Microsoft Office Groove) के लिए आने वाले कनेक्शन की अनुमति दी। एक उपयोगकर्ता डोमेन नेटवर्क में एक लैपटॉप पर काम करता है और इस व्यवसाय एप्लिकेशन का उपयोग करता है। मान लीजिए कि एक उपयोगकर्ता एक बैठक कक्ष में जाता है जहां से कुछ सार्वजनिक वाईफाई नेटवर्क उपलब्ध है, कहते हैं, अगली मंजिल पर एक कार्यालय या एक मोबाइल ऑपरेटर। लैपटॉप का WiFi अडैप्टर स्वचालित रूप से इस सार्वजनिक नेटवर्क से जुड़ जाता है, और सार्वजनिक प्रोफ़ाइल को इस पर लागू किया जाना चाहिए। इसी तरह की स्थिति में, जब एडेप्टर अलग-अलग नेटवर्क पर "दिखते हैं", तो विस्टा हमेशा सबसे अधिक प्रतिबंधात्मक प्रोफ़ाइल लागू करता है, अर्थात्, सार्वजनिक, जिसमें, बदले में, आने वाले सभी कनेक्शन निषिद्ध हैं। परिणामस्वरूप, हमारा व्यावसायिक अनुप्रयोग सही तरीके से काम करना बंद कर देता है।

एक अन्य उदाहरण एक वीपीएन है। अपने लैपटॉप से ​​सभी एक ही उपयोगकर्ता कॉर्पोरेट संसाधनों का उपयोग करने की कोशिश कर रहे हैं, लेकिन घर से। वह एक वीपीएन कनेक्शन स्थापित करता है, और उसके सामने पूरा कॉर्पोरेट नेटवर्क है। हालाँकि, चूंकि एक निजी प्रोफ़ाइल का उपयोग किया जाता है, उदाहरण के लिए, वीपीएन कनेक्शन के लिए, फ़ायरवॉल डोमेन प्रोफ़ाइल की सेटिंग्स लागू नहीं होती हैं, और व्यावसायिक अनुप्रयोग फिर से काम नहीं करता है जैसा कि इसे करना चाहिए। यह सब कंपनी के आईटी विभाग के लिए एक निश्चित सिरदर्द बनाता है।
विंडोज 7 एक ही तीन फ़ायरवॉल प्रोफाइल का समर्थन करता है। हालांकि, एक साथ कई प्रोफाइल सक्रिय हो सकते हैं। प्रत्येक नेटवर्क एडेप्टर नेटवर्क के लिए सबसे उपयुक्त प्रोफ़ाइल का उपयोग करता है जिससे वह जुड़ा हुआ है (चित्र 2 देखें)।


अंजीर। 2

इसलिए, कॉर्पोरेट नेटवर्क में वीपीएन का उपयोग करके इंटरनेट कैफे से कनेक्ट करने के बाद, वीपीएन सुरंग के माध्यम से सभी ट्रैफ़िक के लिए एक डोमेन प्रोफ़ाइल लागू किया जाता है, जबकि अन्य सभी ट्रैफ़िक को सार्वजनिक प्रोफ़ाइल द्वारा संरक्षित किया जाता है।

निम्नलिखित कम महत्वपूर्ण हैं, लेकिन बहुत उपयोगी परिवर्तन हैं जो ध्यान देने योग्य हैं।

एकाधिक प्रोफ़ाइल के लिए बहिष्करण सेट करना
नियंत्रण कक्ष में विंडोज फ़ायरवॉल एप्लेट इंटरफ़ेस के लिए कई संवर्द्धन हैं। पहले, जब अपवाद सेट करते हैं, अर्थात्, निर्दिष्ट करता है कि फ़ायरवॉल के माध्यम से किस एप्लिकेशन को काम करने की अनुमति है, तो सेटिंग वर्तमान (वर्तमान में सक्रिय) प्रोफ़ाइल में सहेजी गई थी। विंडोज 7 में, आप स्पष्ट रूप से एक या अधिक प्रोफाइल का चयन कर सकते हैं, जिसके लिए यह अपवाद लागू होता है (चित्र 3 देखें)।


अंजीर। 3

एक समान संभावना तब मौजूद होती है जब एक अधिसूचना दिखाई देती है कि कुछ एप्लिकेशन फ़ायरवॉल के माध्यम से काम करने की कोशिश कर रहे हैं (चित्र 4 देखें)।


अंजीर। 4

मैं इस बात पर जोर देता हूं कि हम विंडोज फ़ायरवॉल एपलेट के बारे में बात कर रहे हैं। यदि आप उन्नत सुरक्षा के साथ विंडोज फ़ायरवॉल का उपयोग करके एक नियम बनाते हैं, तो विस्टा में और विंडोज 7 में, बनाया गया नियम तुरंत कई प्रोफाइल तक बढ़ाया जा सकता है।

प्रोफ़ाइल के लिए फ़ायरवॉल को सक्षम / अक्षम करें
विंडोज 7 में, आप फ़ायरवॉल को काफी आसानी से चालू या बंद कर सकते हैं, साथ ही विशिष्ट प्रोफाइल या प्रोफाइल के लिए अलर्ट भी रोक सकते हैं (चित्र 5 देखें)।


अंजीर। 5

संबंधित लिंक
"सात" में विंडोज फ़ायरवॉल एप्लेट से अतिरिक्त लिंक का उपयोग करके, आप उन्नत सुरक्षा कंसोल, डिफ़ॉल्ट सेटिंग्स या समस्या समाधान उपकरण के साथ जल्दी से विंडोज फ़ायरवॉल पर जा सकते हैं। यह तिपहिया, जो आमतौर पर ध्यान नहीं दिया जाता है, समय बचाने में मदद करता है (चित्र। 6.)।


अंजीर। 6

उपयोगकर्ताओं और कंप्यूटरों के लिए अपवाद
Windows Vista में नियम बनाते समय, आप IPSec का उपयोग कर सकते हैं और निर्दिष्ट कर सकते हैं कि विशिष्ट उपयोगकर्ताओं और / या कंप्यूटरों के लिए कनेक्शन की अनुमति है। विंडोज 7 प्लस में, आप उपयोगकर्ताओं और / या कंप्यूटरों के लिए अपवाद सेट कर सकते हैं (चित्र 7 देखें)।


अंजीर। 7

पोर्ट रेंज
अंतिम विवरण जिसे मैं नोट करना चाहूंगा, वह है नियमों में पोर्ट रेंज को निर्दिष्ट करने की क्षमता। विस्टा में, आप विशिष्ट पोर्ट संख्या निर्दिष्ट कर सकते हैं, एक अल्पविराम द्वारा अलग किया गया है (चित्र 8 देखें)।


अंजीर। 8

मुझे यह भी जोड़ना चाहिए कि तीसरे पक्ष के डेवलपर्स के पास पिछले संस्करणों की तुलना में एक अद्यतन एपीआई तक पहुंच है, जो एक तरफ, अपनी कार्यक्षमता को जोड़ने के लिए, दूसरी ओर, अंतर्निहित फ़ायरवॉल की केवल आवश्यक सुविधाओं का उपयोग करने की अनुमति देता है। उदाहरण के लिए, एक डेवलपर अपनी फ़ायरवॉल प्रबंधन नीतियों को लागू कर सकता है, लेकिन अंतर्निहित IPsec नीतियों पर भरोसा कर सकता है।

हालांकि, यह याद रखना चाहिए कि यदि आप एपीआई के माध्यम से नहीं बल्कि विंडोज फायरवाल को बंद करते हैं, लेकिन नियमित रूप से विंडोज टूल (कंट्रोल पैनल, नेटश) का उपयोग करते हैं, तो सभी आईपीसीईसी नीतियां बंद हो जाती हैं। उत्तरार्द्ध अक्षम करने की ओर जाता है, उदाहरण के लिए, क्लाइंट पर DirectAccess ।

एक अन्य विशेषता आभासी खाते और सेवा सिड के लिए फ़िल्टर कॉन्फ़िगर करने की क्षमता है। इन दोनों तंत्रों पर यहां विस्तार से चर्चा की गई है ।
इसलिए, विंडोज फ़ायरवॉल ऑपरेटिंग सिस्टम के साथ विकसित होता है, सुरक्षा खतरों को कम सक्रिय रूप से सुधारने का जवाब नहीं देता है।

एक शक्तिशाली विशेष फ़ायरवॉल होने का दावा किए बिना, विंडोज फ़ायरवॉल "बॉक्स से बाहर" उपलब्ध है, समूह नीतियों या लिपियों के माध्यम से प्रभावी रूप से प्रबंधित किया जाता है और अपने मुख्य कार्य को करता है - बाहरी अवांछित नेटवर्क प्रभावों से वर्कस्टेशन / सर्वर की अतिरिक्त सुरक्षा। यह मुझे लगता है कि यह इस कार्य को बहुत अच्छी तरह से करता है। उपयोग क्यों नहीं?