В этой части статьи будет подробно рассказываться о работе с контекстом Netsh Advfirewall Monitor. Этот контекст отвечает за вкладку «Наблюдение» оснастки «Брандмауэр Windows в режиме повышенной безопасности». Эта оснастка предназначена для использована просмотра и наблюдения за статистическими данными и политикой IPsec, применяемой на текущем компьютере или на других компьютерах. В основном, информация, которая отображается в этой оснастке или при помощи контекста Netsh Advfirewall Monitor может быть полезна при устранении неполадок в IPsec и тестировании создаваемых политик. При помощи этого контекста вы можете отображать только те правила, которые применяются к текущим активным профилям.
Контекст Netsh advfirewall Monitor поддерживает только две команды, которые описаны в последующих разделах.
Delete
При помощи этой команды вы можете удалять указанные сопоставления безопасности (SA) для основного и быстрого режимов. Синтаксис команды следующий:
Delete { mmsa | qmsa } { IPv4AddressPair | IPv6AddressPair | all }
где:
Mmsa – при помощи этого параметра вы можете удалить сопоставления безопасности основного режима с указанными адресами;
Qmsa – при помощи этого параметра вы можете удалить сопоставления безопасности быстрого режима с указанными адресами;
IPv4AddressPair | IPv6AddressPair | all – при помощи этого параметра указывается источник и назначение адреса IPv4 или IPv6, для которых будут удаляться сопоставления безопасности. Необходимо указывать адрес пар – источника и назначения, где порядок не играет никакой роли. Если указать значение all, то удалятся все сопоставления для указанного типа.
Используя этот пример, вы можете удалить сопоставления безопасности основного режима между двумя адресами:
delete mmsa 192.168.0.3 192.168.0.4
Show
При помощи этой команды вы можете отобразить информацию о брандмауэре Windows в режиме повышенной безопасности и настройки IPSec для указанного компьютера. Для этой команды существуют шесть параметров. Почти у всех параметров есть еще по три дополнительных параметра:
- rule name, при помощи которого можно делать выборку по имени правила;
- profile, при помощи которого вы можете осуществлять выборку по профилям (доступные значения public, private, domain, active и any, что соответственно означает общий профиль, частный, доменный, активные профили и все доступные);
- и параметр verbose, при помощи которого можно отображать подробную информацию.
Consec
При помощи этого параметра вы можете отобразить все или выбранные правила безопасности IPSec для всех доступных сетевых профилей брандмауэра Windows в режиме повышенной безопасности. По умолчанию информация отображается в краткой форме. Для получения подробной информации, в конце команды используйте параметр verbose. В следующем примере можно увидеть, как отобразить подробную информацию о текущих сведениях безопасности подключения, относящихся к общему профилю:
show consec rule name=all profile=public verbose
Currentprofile
При помощи этого параметра вы можете отобразить все сетевые подключения, связанные с активными в настоящее время профилями. Для этого параметра не существует дополнительных параметров. Пример использования:
show currentprofile
Firewall
При помощи этого параметра вы можете отображать все активные правила брандмауэра Windows в режиме повышенной безопасности, включая те, которые распространяются средствами объектов групповых политик. Выводятся только те правила, которые активны на текущий момент для всех сетевых профилей. У параметра firewall есть дополнительный параметр – dir. При помощи этого параметра вы можете указать, будет ли отображаться правило для входящего или исходящего трафика. У этого параметра может быть только два значения in (входящие) и out (исходящие). Текущий пример отображает активные правила брандмауэра для входящего трафика, относящегося к общему профилю:
show firewall rule name=all dir=in profile=public
Mainmode
При помощи этого параметра вы можете отобразить все настройки сопоставлений безопасности для основного режима. Для этого параметра кроме rule, profile и verbose не существует дополнительных параметров фильтрации. Следующий пример позволяет отобразить все текущие сведений основного режима для доменного профиля:
show mainmode rule name=all profile=domain
Mmsa
Этот параметр позволяет отображать сопоставления безопасности основного режима с фильтрацией по паре (источник – назначение). Для этого параметра вы можете указывать только адреса пары IPv4, IPv6 или all, что отобразит все сопоставления безопасности для основного режима. Этот пример отображает все сопоставления безопасности для основного режима:
show mmsa all
Qmsa
Этот параметр позволяет отображать сопоставления безопасности быстрого режима с фильтрацией по паре (источник – назначение). Для этого параметра вы можете указывать только адреса пары IPv4, IPv6 или all, что отобразит все сопоставления безопасности для быстрого режима. Этот пример отображает все сопоставления безопасности для быстрого режима:
netsh advfirewall monitor show qmsa all
Заключение
На этом заканчивается описание настройки брандмауэра Windows в режиме повышенной безопасности средствами командной строки. В следующих частях текущего руководства будут описаны методы развертывания правил средствами групповых политик, изоляции доменов и серверов, а также решение всевозможных проблем, связанных с брандмауэром Windows в режиме повышенной безопасности.