Rules for Firefox #745
Replies: 7 comments 37 replies
Create a Rule:
And set the Rule to "Firefox" program in the Programs window. The rule "# ---*Блокировать Исходящее TCP local---" is not needed here, because it will be blocked anyway by terminating "Block" rule. Keep in mind, that you have to check on the "Filter Local Addresses" flag in the Options window (IP Addresses: LAN) to filter the "127.0.0.1". The IP addresses of the filter: is for original: |
No. These IP's are for describing which IP's belong to LAN. "Filter" here means that Fort should process these IP's. See the Wiki: Filtering logic. E.g. if the "Filter Local Addresses (127.0.0.1, ...)" flag is not checked on, then Fort will just ignore the loopback: |
Hmmm... Bad. So I've creating custom rule and it is not block. I even don't kown about it. I think that logic of this should be crystally simple - 1. Allow activity described below and everything else should be blocked. 2. Block activity described below and everything else should be Allowed.
I have look on this table and it is hard to understand. If "Filter Enabled" is off, then PERMIT So I understand word "filtering" is inverse if Permit word. So it is Block. Don't get diffirence. (Если проще будет сказать на русском, я только за, а то итак плохо понимаю это, плюс ещё трудности перевода могут иметь место.)))) |
Sorry, a typo. It should be: "Yes, because the Program's action is Allow". Rule's action is applied only if any of its filters matched. So yes, an App Rule with Allow action and without Termination does not make sense. But all other types of rules does not have to set their Termination. |
Permit - это разрешить. Если соединение не участвует в фильтрации, то автоматически разрешается. Локальные адреса (loopback, LAN) по-умолчанию не фильтруются и автоматически разрешаются. Надо включить нужный флажок, чтобы фильтровать локальные адреса. Поле для задания LAN адресов по-умолчанию уже заполнено, чтобы определить какие адреса являются LAN адресами. Юзер может переопределить эти LAN адреса, если захочет. Напр. если очистить это поле, то все адреса будут считаться внешними Интернет адресами. Но тогда не будет работать фильтр area(LAN) в правилах. |
В правилах, когда я создавал то же правило для Firefox, я сначала указал адрес 127.0.0.1 но вы сказали что этот адрес можно блокировать поставив галку на Фильтрацию в Filter Local Network. Получается я могу вычеркнуть из правил блокировки Firefox адрес 127.0.0.1 если будет стоять галочка Фильтрации в Filter Local Network. Чем это не похоже на галочку "блокировать" а не фильтровать? Можете привести пример, будет отличаться действие фильтрации от блокировки? Может быть я не правильно понимаю вообще фундаментальность работы программы? Я всю жизнь с появления Agnitum Outpost firewall с ним работал. У него есть правила для приложений, и глобальная политика брандмауэра.
В основном работа идёт исключительно в 3 и 4 режимах. Т.е. либо я вижу и создаю правила по мере сетевой активности программы, либо я не хочу смотреть кто и куда лезет и просто блокирую неописанную в правилах активность. В Fort Firewall идёт странная логика - фильтрация, я непонимаю - если галочку ставим, то что? Можно было бы понять если мы включением галочки внесли бы в короткое слово "LAN" все эти айпишники и упомянули в правилах приложений (например в Firefox for Sber), а не перечень всех айпишников, а написали бы LAN. и правило было бы блокирующем, значит мы LAN активность для текущего приложения бы резали. Но я не понимаю что именно вы имеете ввиду. Или точнее - как использовать фильтрацию для блокировки. |
Я написал:
Буквальный перевод:
Если этот флажок не установлен, то "127.0.0.1" автоматически разрешается и не участвует в дальнейшей фильтрации.
Fort работает точно так же, как и Agnitum Outpost Firewall - есть глобальные правила и правила для приложений. Просто для удобства ещё сделаны встроенные глобальные правила:
Чтобы отключить эти встроенные глобальные правила, добавлены флажки "Filter ...". Filter здесь означает, что юзер хочет отключить соответсвующее встроенное разрешающее глобальное правило и самостоятельно решать, блокировать или разрешать эти адреса. Сейчас смотря на то, как трудно воспринимается слово "Filter", я бы наверное назвал эти флажки "Allow Local ..." и по-умолчанию они были бы включены. Но я хотел иметь флажки в UI, которые по-умолчанию были бы выключены. Поэтому так назвал. |
В Форте всё то же самое, только разделено на 3 опции для удобства и гибкости:
Показ интерактивного диалога с вариантами действий для этих режимов настраивается через окно Options: Interface: Programs: "Auto-Show Alert for New Programs". (Для "Auto-Learn" показ диалога по-умолчанию выключен.) |
Ну тогда можно написать Block Local adresses, Block local network со снятыми галочками. Либо как вы предложили Allow с поставленными. Это критически важно, чтобы пользователи понимали, Block или Allow - предельно простые и понятные по смыслу слова. Если их не ставить, то получается что происходит утечка, несанкционированная дыра по незнанию юзера слова "filter", что для файрвола критически важно - именно для затыкания дыр он и существует. Я бы вообще старался сделать всё по максимому на блокировку - лучше перебдеть, чем не добдеть. Минус этого метода - появятся пользователи с фразами "у меня всё не работает", но впринципе можно было бы вообще в самом начале после установки сделать мини опросник - чтобы базироваться на ответах пользователя производить первичную конфигурацию файрвола. Ну или хотя бы в процессе установки выбрать кастомную установку и просто переставлять чекбокс с типичным вариантом установки на "параноик на максималках".
Возникает вопрос - это глобальное правило? Раз оно в настройках форта, а не в правилах для приложений. А что если ситуация такая что для Firefox я хочу блокировать локалку, а например для игры (Unreal Tournament) я не хочу блокировать локалку, чтобы играть по локалке?
Тут можно было бы назвать Ruleless activity - Активность вне правил.
Получается что по умолчанию выключена галка и эти два пункта фактически одно и тоже. Почему галка по умолчанию на Auto-learn выключена? Или это смыл что Авто - не требуется вмешательства? Тогда в чём отличие от просто Allow if not blocked?
Мне кажется тут уточнение излише, потому что есть правила - не важно какие - запрещающие или разрешающие. Если программа проявяет активность не попадающую под правила - тогда просто Block или Allow эту активность. Кстати получается что в отличии от Аутпоста, в котором можно создавать в правилах и разрешающие правила и запрещающие, то в Форте можно создать только либо запрещающие либо только разрешающие, а остальное должно регулироваться "Ruleless activity". Тут возникает гипотетическая ситуация, что например для одной программы создаётся набор правил с разрешением и учитыванием что остальной трафик будет блокироваться по Ruleless activity, а для другой программы будет создаваться правило с типом правил основанных на блокировке, с предположением что Ruleless activity должна быть Allow. Тут возникает конфликт - в зависимости от глобальной настройки Ruleless activity будет работать либо одно приложение нормально, либо другое.
Тут имеется виду, что трафик будет проходить через Fort если нет правил? Тогда чем это не просто Allow? Кстати в меню программы (по нажатию на 4 квадратика) есть пункт Snooze Alerts - я не смог найти в Wiki описание. Что это? |
|
Snooze Alerts - для временного отключения показа интерактивного диалога, напр. в играх. Кажется в AOF для этого есть Game mode. |
|
А по всем остальным вашим вопросам - почти всё неверно. Начнём с того, что Форт не ставит соединения на паузу при показе диалога, в отличие от Агнитума. Поэтому сперва разрешает или блокирует, потом показывает диалог. |
Ну не блокирует ничего установка этих флагов. Если написать "Allow Local ...", то будут думать, что будет блокировать, если выключить. Лучше оставить "Filter Local ...". Я просил разобраться в логике фильтрации в Вики, но вы отмахнулись что непонятно. Не было бы таких вопросов. |
Все современные файеры используют WFP (см. FAQ в Вики). У которой есть алгоритм арбитража провайдеров фильтрации. Соединение можно разрешить, заблокировать или проигнорить (действие Continue). Напр. в системе могут работать несколько файерволов и принимать свои решения при фильтрации соединений. Во времена Агнитума нельзя было ставить несколько файерволов, т.к. они конфликтовали. |
Для этого надо включить флажок "Filter Local Network", чтобы можно было задавать правила программам для локалки. В правилах для Файрфокс разрешаем, а для игр блокируем: area(LAN). |
Нет, Filter Mode применяется только для новых обнаруженных программ. Если для программы задано правило и никакой фильтр в его правиле не подошёл, то соединение будет разрешено, т.к. действие у программы - Разрешить. Поэтому и нужен блокирующий Terminating Rule у разрешающего правила для программы. |
Вот теперь понятно. Сколько юзеров будут использовать сразу несколько файров? Я честно сказать даже не думал что такая система работает, точнее вообще существует. Одна система - один файр. Не знаю может быть 10 файроволов будут надёжнее, то что один не заблокирует, другой может быть заблочит. Но это уже излишне наверное. Есть ли конкретный смысл в нескольких файролов?
Здорово! Вот это было бы круто! Аналог Режима обучения в Outpost firewall. Очень пригодилось бы! Главное чтобы отображалось детальное соединение: порт, протокол, направление, адрес (домен), программа запроса на соединение. И самое главное - никакого авторазрешения, только блокировать после таймаута. А когда планируется новая версия с этой фичей?
Так ситуация такая, UT - игра, для неё правило для игры по локалке (радиобаттон стоит на Allow) текстовое поле правил: 192.168.1.5:udp(7777) :dir(in) ниже стоит - (Termination - Block) Firefox с массой правил (в начале о которых спрашивал), у которого (радиобаттон стоит на allow) текстовое поле правил: ( (
А теперь вопросы:
|
Это я объяснял, как работает Ignore. Повторюсь, нужен очень редко для тестирования других файеров. Но думаю, у 99% юзеров не выключен стандартный файервол винды (Windows Firewall). |
Пройдём по логике фильтрации:
|
Больше полугода разработка пока на паузе. Не знаю, не скоро. |
Вообще не понимаю.... Две разные программы, два случая галки "Filer Local Network" результат - в обоих случаях разрешено соединение. Получается что галки не влияют на UT - он будет проходить. И галки не влияют на Firefox - (127.0.0.1):TCP(HTTPS):dir(OUT):act(BLOCK) он тоже будет разрешён? Пытаюсь разобраться: "На шаге 14 проверяем правила программы, находим подходящее и разрешаем соединение." Наверное я понял..... Вся система Filtering logic у вас построена не на чётком вынесении вердикта по какому то критерию, а по просеиванию через набор внутренних правил для вынесения вердикта. Т.е. от 1-го пункта до 16го последовательно идём, пока не вынесем вердикт. Если на 6 сработало правило if then то выносится вердикт и дальнейшая проверка прерывается. В этой схеме нет else, точнее есть но оно просто даёт продолжать погружение к 16-му пункту. Здесь нет логики срабатывания if then - allow, else - block. Хотя если такая логика на самом деле, то тогда должна быть строчка с If address is from "Local Network Addresses" and "Filter Local Network" is ON, then ... Иначе не получается влияение постановки галочки в этой графе. И приложение 100% будет блокироваться или разрешаться? |
Верно, так и работает. Перечитайте все мои ответы здесь, про это и писал. Так в Агнитуме точно так же работает:
Как это не влияет? Если флажок включен, то переходим к следующему шагу. Т.е. этот флажок позволяет отфильтровать локальные адреса в дальнейших шагах. А если флажок выключен, то всегда разрешаем на шаге 6. И юзер не сможет в своих правилах ни разрешить, ни заблокировать локальные адреса. Напр. разрешить только для определенных портов. |
Т.е. открыты два окна: Статистика (вкладка Соединения) и Программы?
Ок где нажимаете? Что вроде закрывает? Как проверяете, что правило должно соответствовать приложению? |
Ну, в каждом окне для этого и есть кнопка меню. Можно назначить шорткат (выключив глобальное действие шорткатов) для пунктов меню.
Пожалуйста. Я сам рад, что не поленился. |
Да, одно - статистика, другое главное окно с приложениями. в нём по дабл клику работал с правилами приложений - писал правила и назначал. Потом закрывал окно с приложениями и смотрел статистику. Окно статистики постоянно открыто. Смотрел потом настройки файлзиллы, потом опять открывал по дабл клику из трея окно с приложениями. Удивился что не назначил правило на приложение. Ещё раз назначил (хорошо что само правило сохранилось, только назначение правила на приложение не запомнилось). Закрыл окно. Опять смотрю по статистике, опять смотрю настройки Файлзиллы. И в третий раз удивляюсь что опять файлзилла без назначенного правила. Подумал что может при открытом окне Статистики не происходит сохранения. Вроде окно статистики не закрывал при всех этих действиях, а может быть что я закрывал окно статистики, после закрытия окна приложения и оно может быть перезаписывало предыдущее назначение правил, которое я сделал, заменяя на то, что было до. Не могу сказать точную последовательность. Может быть я что то путал, где не на то обратил внимание, но вот такое впечатление создалось. Я думаю что можно на это пока забить, а если вдруг я опять наткнусь на такое, я попробую разобраться и привести 100% работающую последовательность для вскрытия этого бага.
В главном окне приложений есть значёк в столбце правил - нарисованный листик. При задержке на нём появляется поп-ап, в котором написано имя правила. |
Несколько раз окно редактирования программы не было открыто: из окна Программы и из Соединений по дабл клику? Напр. такой сценарий:
Результат: правило будет стёрто, т.к. во втором окне редактирования это поле было пустое. |
|
Вот похоже наверное что так и было. Точно не могу сказать. Вобщем надо избегать вот такого пересечения и следить где какое окно открыто. |
Uh oh!
There was an error while loading. Please reload this page.
Hi!
I have Agnitum Outpost rules for Mozilla Firefox for Sberbank Online. It is rules with allowed adresses. Other activities for other ip or sites (for example Mozilla home calls) is blocked. Can I setup rules for Fort Firewall for Firefox based on this rules? Can you help do this?Here is list:
---*Блокировать Исходящее TCP local---
Where the Protocol is TCP
and Remote Address is autoupdatesvc.delivery.autodesk.com (127.0.0.1)
and Remote Port is HTTPS
and Direction is Outbound
Block It
---*+OUT ALL---
Where the Protocol is TCP
and Remote Address is 194.54.12.0 (255.255.252.0), 84.252.146.0 (255.255.255.0), 185.157.96.0 (255.255.255.0), 185.157.97.0 (255.255.255.0), 84.252.144.0 (255.255.255.0), 84.252.147.0 (255.255.255.0)
and Remote Port is HTTPS
and Direction is Outbound
Allow It
---*+IN ALL---
Where the Protocol is TCP
and Remote Address is 194.54.12.0 (255.255.252.0), 84.252.146.0 (255.255.255.0), 185.157.96.0 (255.255.255.0), 185.157.97.0 (255.255.255.0), 84.252.144.0 (255.255.255.0), 84.252.147.0 (255.255.255.0)
and Remote Port is HTTPS
and Direction is Inbound
Allow It
---+Out Cloud ru net---
Where the Protocol is TCP
and Remote Address is 37.18.108.0 (255.255.252.0), 37.18.120.0 (255.255.254.0), 87.242.112.0 (255.255.240.0)
and Direction is Outbound
Allow It
---+In Cloud ru net---
Where the Protocol is TCP
and Remote Address is 37.18.108.0 (255.255.252.0), 37.18.120.0 (255.255.254.0), 87.242.112.0 (255.255.240.0)
and Direction is Inbound
Allow It
---Раз out gldn---
Where the Protocol is TCP
and Remote Address is ns2.gldn.net (194.67.2.109), ns3.gldn.net (194.67.7.1)
and Direction is Outbound
Allow It
---Раз IN gldn
Where the Protocol is TCP
and Remote Address is ns2.gldn.net (194.67.2.109), ns3.gldn.net (194.67.7.1)
and Direction is Inbound
Allow It
---Раз OUT cdnweb.sberbank.ru
Where the Protocol is TCP
and Remote Address is 3r5z9dfbiy.a.trbcdn.net (151.236.124.252)
and Direction is Outbound
Allow It
---Раз IN cdnweb.sberbank.ru
Where the Protocol is TCP
and Remote Address is 3r5z9dfbiy.a.trbcdn.net (151.236.124.252)
and Direction is Inbound
Allow It
---*Разрешать Исходящее bfds.sberbank.ru
Where the Protocol is TCP
and Remote Address is bfds.sberbank.ru (37.18.111.230), bfds.sberbank.ru (37.18.111.232), bfds.sberbank.ru (37.18.111.239), bfds.sberbank.ru (37.18.111.229), bfds.sberbank.ru (37.18.111.237), bfds.sberbank.ru (37.18.111.231), bfds.sberbank.ru (37.18.111.227), bfds.sberbank.ru (37.18.111.236), bfds.sberbank.ru (37.18.111.238), bfds.sberbank.ru (37.18.111.233), bfds.sberbank.ru (37.18.111.228), bfds.sberbank.ru (37.18.111.235), bfds.sberbank.ru (37.18.111.234), bfds.sberbank.ru (37.18.111.240)
and Direction is Outbound
Allow It
---*Разрешать Входящее bfds.sberbank.ru
Where the Protocol is TCP
and Remote Address is bfds.sberbank.ru (37.18.111.230), bfds.sberbank.ru (37.18.111.232), bfds.sberbank.ru (37.18.111.239), bfds.sberbank.ru (37.18.111.229), bfds.sberbank.ru (37.18.111.237), bfds.sberbank.ru (37.18.111.231), bfds.sberbank.ru (37.18.111.227), bfds.sberbank.ru (37.18.111.236), bfds.sberbank.ru (37.18.111.238), bfds.sberbank.ru (37.18.111.233), bfds.sberbank.ru (37.18.111.228), bfds.sberbank.ru (37.18.111.235), bfds.sberbank.ru (37.18.111.234), bfds.sberbank.ru (37.18.111.240)
and Direction is Inbound
Allow It
---*Разрешать Исходящее pl-res.online.sberbank.ru
Where the Protocol is TCP
and Remote Address is pl-res.online.sberbank.ru (84.252.152.129)
and Direction is Outbound
Allow It
---*Разрешать Входящее pl-res.online.sberbank.ru
Where the Protocol is TCP
and Remote Address is pl-res.online.sberbank.ru (84.252.152.129)
and Direction is Inbound
Allow It
---*Разрешать Исходящее node6.vito.sber.ru
Where the Protocol is TCP
and Remote Address is node6.vito.sber.ru (84.252.151.24)
and Direction is Outbound
Allow It
---*Разрешать Входящее node6.vito.sber.ru
Where the Protocol is TCP
and Remote Address is node6.vito.sber.ru (84.252.151.24)
and Direction is Inbound
Allow It
---*Разрешать Исходящее cdnweb.sberbank.ru
Where the Protocol is TCP
and Remote Address is 3r5z9dfbiy.a.trbcdn.net (151.236.110.232)
and Direction is Outbound
Allow It
---*Разрешать Входящее cdnweb.sberbank.ru
Where the Protocol is TCP
and Remote Address is 3r5z9dfbiy.a.trbcdn.net (151.236.110.232)
and Direction is Inbound
Allow It
---*Разрешать Исходящее pl-si-res.online.sberbank.ru
Where the Protocol is TCP
and Remote Address is pl-si-res.online.sberbank.ru (84.252.152.130)
and Direction is Outbound
Allow It
---*Разрешать Входящее pl-si-res.online.sberbank.ru
Where the Protocol is TCP
and Remote Address is pl-si-res.online.sberbank.ru (84.252.152.130)
and Direction is Inbound
Allow It
---*Разрешать Исходящее cdn.sberbank.ru
Where the Protocol is TCP
and Remote Address is 4bfp3w7brf.a.trbcdn.net (151.236.110.232)
and Direction is Outbound
Allow It
---*Разрешать Входящее cdn.sberbank.ru
Where the Protocol is TCP
and Remote Address is 4bfp3w7brf.a.trbcdn.net (151.236.110.232)
and Direction is Inbound
Allow It
All reactions