Настройка брандмауэра Windows для блокировки портов
Если требуется настроить брандмауэр Windows для блокировки портов, важно действовать через точечные правила, а не отключать защиту целиком. Windows Defender Firewall проверяет входящие и исходящие подключения, сопоставляет их с программами, протоколами, портами, адресами и сетевыми профилями. Такой подход позволяет закрыть конкретный канал, не нарушив работу браузера, обновлений и удалённого администрирования.
Смысл блокировки зависит от направления трафика. Входящее правило запрещает удалённым устройствам обращаться к службе, порт которой слушает ваш компьютер. Исходящее правило ограничивает попытки локальной программы установить соединение с внешним узлом. Эти задачи выглядят похоже, но в интерфейсе используют разные поля: локальный и удалённый порт.
Перед правкой зафиксируйте текущие параметры и выберите одну проверяемую службу. Начните с одного протокола и одного порта, задайте понятное имя правила и отметьте профили, на которых оно должно действовать. После создания проверьте нужное подключение, затем повторите тест с запрещённым трафиком. Порядок действий снижает риск потерять доступ к собственному компьютеру.
Сначала определите направление трафика
Сначала уточните, кто инициирует соединение и какой результат нужен. По умолчанию несанкционированные входящие соединения блокируются, а исходящие обычно разрешены, поэтому проблема часто требует отдельного правила. Если требуется закрыть нежелательный вход в RDP, SMB или старую службу, создаётся входящее правило. Если программа должна отправлять данные на конкретный внешний порт, создаётся исходящее правило.
У входящего подключения номер относится к порту, который открыт на вашем компьютере. У исходящего — к порту назначения на удалённом сервере. Поэтому правило с локальным портом 445 закрывает входящий SMB, а правило с удалённым портом 445 запрещает исходящие подключения к SMB-серверам. Неверно выбранное поле не блокирует ожидаемый поток и создаёт ложное ощущение защиты.
| Критерий | Входящие подключения | Исходящие подключения |
|---|---|---|
| Инициатор соединения | Удалённый компьютер | Программа на вашем компьютере |
| Поле с номером порта | Локальный порт | Удалённый порт |
| Основное назначение | Закрыть доступ к локальной службе | Запретить связь с внешним узлом |
| Типичный риск | Удалённое управление и старые протоколы | Телеметрия, скрытые загрузки и обход политик |
Отдельно решите, нужна ли блокировка всех программ или только указанного исполняемого файла. Более узкое правило обычно безопаснее: оно сохраняет работу остальных приложений и обновлений. Процесс можно уточнить позже, если журналы покажут, какой именно клиент создаёт нежелательный трафик.
Подготовка и выбор сетевого профиля
Откройте панель «Брандмауэр Windows Defender в защищённом режиме» из Параметров или запустите wf.msc. Для изменения политик потребуются права администратора. Перед созданием правил проверьте, включена ли защита для доменного, частного и публичного профилей: отключение одного профиля иногда выглядит как полностью открытая сеть.
На компьютере с Windows 10 или 11 базовые состояния можно посмотреть командой Get-NetFirewallProfile. Она выводит имя профиля, включённость, режим входящей политики и поведение при отсутствии правил. Не выключайте брандмауэр ради одного приложения; создайте исключение с минимальным набором условий.
Также запишите названия и параметры уже существующих правил, особенно разрешений для удалённого рабочего стола. Сопоставьте терминологию и типовые обозначения со справочными материалами. После изменений сравните состояние профилей повторно, чтобы убедиться, что защита осталась активной.
Правило для входящего порта
Для входящей блокировки откройте wf.msc, выберите «Правила для входящих подключений» и нажмите «Создать правило». Оставьте тип «Настраиваемое», укажите «Все программы» либо конкретный файл, выберите TCP или UDP и задайте номер в поле «Локальный порт».
В области «Область действия» можно ограничить локальные и удалённые адреса. Выберите действие «Запретить подключение», отметьте нужные профили и присвойте правилу имя, например «Запрет входящего RDP». Готовое правило должно показывать направление «Входящий», действие «Запретить», включённое состояние и выбранный профиль.
Эквивалентная команда PowerShell создаёт такое же ограничение:
New-NetFirewallRule -DisplayName "Запрет входящего RDP" -Direction Inbound -Action Block -Protocol TCP -LocalPort 3389 -Profile Any
Если служба использует оба протокола, создайте отдельные правила для TCP и UDP. Перед применением убедитесь, что не блокируется канал, нужный для текущей сессии. RDP блокирует обычное подключение к удалённому рабочему столу, а SMB может помешать печати или обслуживанию.
Правило для исходящего порта
Исходящее правило нужно, когда требуется запретить конкретной службе связь с внешним адресом, не затрагивая входящие подключения. Создайте его в ветви «Правила для исходящих подключений», выберите настраиваемое правило, протокол и укажите номер в поле «Удалённый порт». Действие также должно быть «Запретить».
PowerShell позволяет создать такое правило без обращения к графическому интерфейсу:
New-NetFirewallRule -DisplayName "Запрет исходящего SMB" -Direction Outbound -Action Block -Protocol TCP -RemotePort 445 -Profile Any
Если блокируется конкретная программа, добавьте параметр -Program с полным путём к исполняемому файлу. Параметры -RemoteAddress и -RemotePort дополнительно сужают область действия. Блокировка порта 443 для всех программ способна нарушить HTTPS, поэтому сначала определите, действительно ли трафик создаёт конкретный процесс.
Если вы администрируете сайт на WordPress, перед ограничением портов 80 или 443 сверьтесь с руководством по WordPress. Брандмауэр работает с адресами и портами, а не с доменными именами: адреса CDN могут меняться, поэтому глобальный запрет 443 иногда мешает обновлениям и входу в панель управления.
Проверка поведения и приоритет правил
Проверяйте не только наличие правила, но и его фактическое действие. Команда Get-NetFirewallRule -DisplayName "*Запрет*" | Select-Object DisplayName, Enabled, Direction, Action, Profile показывает основные параметры. Для проверки номера порта используйте Get-NetFirewallPortFilter, а общее состояние профилей — netsh advfirewall show allprofiles.
Явные запрещающие правила имеют приоритет над разрешающими правилами для того же трафика. Если соединение продолжается, проверьте направление, профиль, включённое состояние, адрес и правила для IPv6. Иногда обход создаёт связанная служба или отдельная программа. Не отключайте весь брандмауэр для диагностики: временно сузьте проверяемое правило и сохраните активную административную сессию.
Входящее ограничение удобно проверять с другого компьютера, а исходящее — через журнал событий и поведение самой программы. Раздел «Журналы приложений и служб» в средстве просмотра событий содержит записи брандмауэра. После проверки верните точные параметры правила и удалите временные тестовые ограничения.
DNS, браузер и сетевые приложения
Системный DNS обычно использует порт 53 по UDP и TCP, а DNS через HTTPS обращается к порту 443. Поэтому запрет исходящего порта 53 способен помешать обычному разрешению доменов, но не всегда затрагивает браузер с шифрованным DNS. Сначала определите, какие компоненты используют ваш компьютер и какие соединения требуется закрыть.
В Chrome можно отдельно выполнить настройку DNS через HTTPS, а затем проверить, изменилось ли поведение приложений. Полезно сравнить результаты до и после правила, учитывая кеширование DNS. Не закрывайте DNS для всего компьютера, если задача касается лишь одного приложения: узкое правило безопаснее.
Некоторые программы создают исходящие соединения автоматически, поэтому проверяйте не только номер порта, но и адрес назначения. Для домена может существовать несколько IP-адресов, а для сайта — отдельные адреса API, CDN и административной панели. Полный запрет внешнего порта способен нарушить обновления, проверку сертификатов и фоновые запросы.
Поддержите настроенную безопасность
Давайте каждому правилу понятное имя, сохраняйте дату создания и связывайте его с конкретной программой или службой. После обновлений Windows, браузера и приложений проверяйте исключения: новые компоненты могут использовать другие порты. Удаляйте устаревшие дубликаты и не оставляйте правила с неясным назначением.
Сохраните параметры активных профилей и список собственных ограничений, чтобы быстро восстановить рабочее состояние. Затем проверьте RDP, SMB, DNS, обновления и работу нужных сайтов. Подпишитесь на обновления блога и получайте очередные практические инструкции по безопасности Windows, WordPress и работе в интернете.
