Bloquear o acesso à Internet, exceto uma máquina virtual e o Windows Update

Question

Meu irmão tem um laptop (usando o Windows 7) que ele realmente quer manter seguro. Originalmente, ele não iria conectá-lo à Internet, mas eu sugeri que eu poderia provavelmente configurar uma máquina virtual Ubuntu para ele, de modo que ele ainda pudesse navegar na Internet e ter os arquivos na máquina host protegidos. Estou planejando usar o Virtual Box ou o VMWare para a máquina virtual. Existe alguma maneira que eu possa restringir as conexões de internet para que o tráfego seja apenas para o Windows Update ou para a Máquina Virtual?

    

Answer 1

Para o VMWare, você pode desabilitar o IPv4 e o IPv6 nas configurações do adaptador. Isso desabilitará a rede no host, mas ainda permitirá que ele seja acessado pela VM se estiver definido como Bridged . Você pode verificar novamente o IPv4 para habilitar temporariamente a Internet para permitir atualizações, se você estiver com problemas de atualização.

Por que não apenas usar o Ubuntu como o principal sistema operacional? Se você precisa do Windows, considere a possibilidade de executar o navegador no Sandboxie e / ou usar algo como Rollback rx, porque uma VM será incômoda.

    

Answer 2

Existem algumas coisas diferentes que você pode fazer. Para distinguir entre janelas e a máquina virtual, você pode atribuir a cada sistema um endereço IP estático diferente e, em seguida, o firewall pode atribuir regras a cada um desses endereços IP. Você poderia, por exemplo, atribuir o Windows 192.168.1.50 e o Ubuntu 192.168.5.50. De qualquer forma, eu não imaginaria que você poderia usar o mesmo endereço IP em ambos, pois causaria problemas.

Além disso, você pode combinar informações de endereço IP com a impressão digital de pacotes do sistema operacional. Originalmente isso era feito apenas com pf nas plataformas BSD, mas parece que há suporte para iptables hoje.

Além de gerar regras apenas para os sistemas Windows Update, é possível usar um script de criação de firewall chamado mason . Ele gera regras de firewall com base no tráfego. Embora, eu suspeite que há muitos servidores envolvidos aqui e como resultado, pode ser melhor apenas ativar todo o tráfego de saída destinado a microsoft.com, a menos que você tenha a unidade para encontrar todos eles.