Como posso colocar o firewall do Windows XP em uma configuração de porta “allow all” e bloquear apenas certas portas?

Question

Sem entrar em muitos detalhes sobre o motivo de eu precisar fazer isso, estou tentando colocar o Firewall do Windows XP em uma configuração permitir todas as portas e negar apenas algumas portas que eu tenho em uma lista.

Eu criei o script via linha de comando em lote com os comandos netsh firewall add portopening. Pelo que eu li, se ativado o firewall nega todo o tráfego e só permite portas com exceções, então via script em lote eu abri todas as 65.000+ portas tanto no TCP quanto no UDP, essencialmente tendo o firewall ligado mas em um "allow toda a "configuração. Em seguida, nego as 100 ou mais portas da minha lista que quero bloquear depois que todas estiverem abertas.

Esta estratégia parece funcionar, mas o problema que eu esperava e agora estou vendo é que o svchost.exe está tirando 50% do tempo da minha CPU, tendo que processar continuamente essas regras de firewall.

Pelo que vi no Windows XP, não há como ter o firewall ativado e em uma configuração "allow all" "porque o firewall do XP não pode ter intervalos de portas definidos, eles devem ser definidos um por um. Parece O Windows Vista ou o 7 seria muito mais fácil, já que o firewall tinha um recurso avançado de re-vamp.

Alguém tem uma sugestão sobre como conseguir isso "permitir tudo", negar certa "estratégia? Eu percebo que isso é um uso estranho do firewall do Windows, mas assumindo que eu tinha que fazer isso, é possível?

    

Answer 1

Concordo totalmente com afrazier comentário ...

Até onde eu sei, não há requisição de aplicativo ou serviço para abrir as portas 65536 de entrada!

Para ser claro, uma porta aberta é uma porta na qual um serviço está em execução e Em estado de escuta para responder a uma conexão externa sollicitation. POR EXEMPLO. a porta 80 HTTP para um servidor web com Apache (por exemplo).

O sollicitation da conexão de entrada é um pacote TCP com o sinalizador SYN e nenhum dado para a porta requerida: porta 80 para uma conexão HTTP, 119 NNTP, 21 FTP e assim por diante.

Se o serviço estiver pronto para permitir uma conexão com esta porta, o servidor enviou um pacote TCP com os sinalizadores ACK, SYN para o cliente e o cliente confirmará o sollicitation da conexão por um pacote TCP com o sinalizador ACK ... e a conexão entra no estado estabelecido . Este é o aperto de mão normal.

Se o serviço na porta de escuta não for capaz de aceitar uma conexão, ele envia um pacote TCP com os sinalizadores ACK, RST: esta é uma porta fechada ...

Hummm ... para encurtar a história:

• 1- Você precisa de uma firewal de terceiros. Pode ser Look'n Stop que é um firewall baseado em regras.

• 2- Configure o aplicativo que requer a abertura desse grande número de portas e definir a regra apenas para esta aplicação

• 3- Coloque a regra this antes da regra bloquear todos os outros TCP. conexões sollicitations (com a bandeira SYN) e assim por diante ...

Espero que esta ajuda. Nos informe. :)

    

Answer 2

Estou curioso para saber qual é o caso de uso para configurar o firewall dessa maneira. Portas abertas são inúteis a menos que algo esteja escutando, e se você tiver um único programa escutando em tantas portas, apenas faça uma exceção para o próprio programa e isso deve cuidar de tudo.

Se isso não funcionar, parece que o firewall embutido no XP simplesmente não pode fazer o que você quer de forma eficiente.

O firewall embutido no Vista e no 7 permite intervalos de porta em regras e deve tornar significativamente mais fácil colocar o firewall no tipo de estado que você deseja.

Caso contrário, você precisará avaliar ferramentas de terceiros para ver como elas funcionam bem. Eu não usei um firewall de terceiros desde que o XP SP2 foi lançado, por isso não estou em posição de fazer quaisquer recomendações.

    

Answer 3

Esta é uma pergunta antiga / estranha, mas eu diria que a melhor solução seria desabilitar completamente o firewall e também desabilitar quaisquer serviços que você não queira que usuários remotos possam acessar. Você está pensando demais isso eu acho. Um bônus adicional é que essa solução usa menos de zero tempo de processamento.