Белый список с брандмауэром Windows

[AndreyDmitriev]

Кстати, коли уж речь про белые списки зашла. Решил тут подарить своим восьмилетним детям компьютер, ну и выпустить их в интернет. Поставил десятку, благо апдейт бесплатный, а также из за «family safety», которую удобно администрировать прямо в онлайне. Собственно мне нужна возможность разрешить сайты только из моего «белого списка», куда я хочу занести три-четыре сайта, куда им можно ходить. И вот тут я жестоко обломался. В восьмёрке была честная опция «разрешить сайты только из белого списка». А в десятке эту опцию убрали, хотя список «белых сайтов» оставили. Короче, сломали они это дело. Я конечно временно решил проблему, тупо прописав несуществующий прокси и банально добавив нужные мне сайты в список исключений, но осадочек остался. Это в общем-то ключевая опция, которую поломать ну никак не должны были, однако вот смогли: Family Safety in Windows 10 Missing White List Feature

[sebres]

Да не сочтут за рекламу хабражители: брошу пару ссылок, вдруг кому лень разбираться в shell пригодится (оба по своему интересны, первый с исходниками ну и portable):

• Windows Firewall Notifier
• Windows Firewall Control

[MazayZaycev]

тоже статья по теме habrahabr.ru/post/267507

[saboteur_kiev]

«Обновив систему с Windows 8.1 до Windows 10, я не мог создать работоспособное правило для OneDrive. Вроде бы простое правило для %USERPROFILE%\AppData\Local\Microsoft\OneDrive\OneDrive.exe и все должно работать. Но, потратив несколько месяцев...»

Потому что брэндмауер запускается не от залогиненного юзера, а от system? Можно было бы потратить несколько минут на тостере…

[sebres]

брэндмауер запускается не от залогиненного юзера, а от system

Было бы глупо иначе… Firewall Rule Properties Page: Programs and Services Tab см. секцию Important…

Что мешает субституировать путь %AppData% до добавления правила? Или если оно должно действовать для нескольких пользователей, установить OneDrive for all users (install as administrator)?

[melt]

Действительно, в 8.1 SkyDrive лежал в C:\Windows. Самое интересное, что брандмауэр сам автоматически путь сокращает до переменных, если создавать правило через интерфейсный режим. Спасибо за разъяснение.

[saboteur_kiev]

Так а я что сказал?

[melt]

Лично я отвечал Вам обоим. Вы правы. Спасибо :)

[sebres]

del

[melt]

del

[melt]

Хотелось бы дополнить статью в связи с выходом Windows 10 Anniversary Update. Для магазина приложений теперь используется два отдельных UWP-приложения: StorePurchaseApp и WindowsStore, а это значит, что они сами себя добавляют в правила брандмауэра. При этом из системы удалена служба магазина (WSService). Для скачивания приложений из магазина необходимо предоставить доступ (просто добавить в $programs, если по статье) для InstallAgentUserBroker.exe:

$prog = 
   ('Доступ для InstallAgentUserBroker (скачивание приложений из Магазина)',
   ($env:SystemRoot+'\System32\InstallAgentUserBroker.exe'))

New-NetFirewallRule -Program $prog[1] -Action Allow -Profile Any -DisplayName $prog[0] -Direction Outbound

Для авторизации в приложениях с помощью учетной записи Microsoft (в OneNote и т.п.) необходимо дать доступ AuthHost.exe:

$prog = 
   ('Доступ для AuthHost (авторизация в приложениях)',
   ($env:SystemRoot+'\System32\AuthHost.exe'))

New-NetFirewallRule -Program $prog[1] -Action Allow -Profile Any -DisplayName $prog[0] -Direction Outbound

Чтобы полноценно пользоваться стандартным почтовым клиентом, необходимо добавить в правило из статьи Доступ для Windows Update/Modern Apps порт 993 (imaps):

$i = 'Доступ для Windows Update/Modern Apps'

New-NetFirewallRule -Program ($env:SystemRoot+'\System32\svchost.exe') -Protocol TCP -RemotePort 80, 443, 993 -Action Allow -Profile Any -DisplayName $i -Direction Outbound

Из мною замеченного на данный момент, вроде бы, все :)