标签: firewall

我有一个 ADSL 互联网连接，它连接到具有内置防火墙的 Linksys 无线路由器。这些类型的防火墙通常是否足以正常使用，还是应该考虑更紧密地保护我们家庭网络上的计算机？

昨天我可以在工作中使用谷歌浏览器访问互联网，今天它被防火墙阻止，并出现访问被拒绝错误。IE 和 Firefox 在同一台机器上运行良好。有没有办法可以轻松解除对 Chrome 的阻止，使其再次运行？

我已经使用 Nod32 安全套件有一段时间了，在我尝试过的所有其他安全套件中，它很棒（内存占用低、速度快、相当便宜）。然而，我最近安装了很多软件，让我烦恼的是必须允许每个程序访问互联网。是的，我知道这是一次性的事情，但我宁愿一开始就不必这样做。（当我必须重新格式化/重新安装时，这也很痛苦。）因此，我正在考虑完全删除防火墙，并坚持使用防病毒软件。¹

所以我的问题是：即使使用防病毒软件，防火墙也不会不安全吗？显然我永远不会是 100% 安全的（即使是杀毒软件也不能完全保护我，我意识到这一点），但我不会做愚蠢的事情，我会备份我的数据等。没有防火墙打开任何防病毒软件无法覆盖的危险漏洞？如果我以某种方式在我的硬盘驱动器上获得了一些恶意软件，是否没有防火墙会阻止我将其删除？或者，在大多数情况下，它不会有所作为？如果我确实需要防火墙，Windows 附带的防火墙就足够了吗？

请注意，我对那些 0.1% 的极端情况并不真正感兴趣，我说的是大多数恶意软件，以及没有防火墙可能对我造成的影响。哦，很明显，我正在使用 Windows。:)

^{1. 我肯定会保留防病毒软件以防万一，主要是作为最后的手段。请不要告诉我我不需要。}

我使用 SSH 隧道作为浏览器用来访问互联网的端口。结果是我绕过了我的网络使用的防火墙，这阻止了我使用我想使用的许多站点（facebook，任何人？）。如果我像这样建立 SSH 隧道，系统管理员会看到我的互联网历史记录吗？他只是看到一个SSH连接，然后加密信息吗？或者他能以某种方式看到我在 facebook 上，而 SSH 隧道只对防火墙足够好？

我在单个防火墙（SVN、Exchange 等）后面有多个 Web 服务器。我希望能够远程访问所有不同的服务器，但由于它们都使用相同的端口（标准 HTTPS），这可能吗？

如果我将其设置为每个端口都在侦听不同的端口，那么是否可以使用不同的子域访问每个服务器（因此 svn.domain.com 将指向 svn、mail.domain。 com 会指向交换服务器）？也许有一种方法可以设置我的路由器以根据客户端请求的子域以不同的方式转发端口？

人们通常如何看待这个问题？

谷歌搜索发现有人说将防火墙/路由器作为虚拟机运行是“危险的”，但没有人给出任何理由说明为什么会这样。我还发现了成功运行防火墙的人的帖子，就像在虚拟机上一样。

有没有人有这方面的经验？

在诸如 proxmox 与 ob 物理机之类的虚拟机上运行防火墙/路由器的优缺点是什么？

我想知道如何使用 Power Shell 在 Windows 中打开防火墙端口。谁能写一个脚本来打开防火墙端口。我在/sf/ask/1733257501/上看到了类似的帖子-firewall-rules-with-powershell-open-close-a-specific-port但不知道怎么做。

我只想在 Windows 中打开一个端口：8983，因为当我执行应用程序（堆栈转储）时，它说pysolr.SolrError: Failed to connect to server at 'http://localhost:8983/solr/stackdump/admin/ping', are you sure that URL is correct?.Atlast 它说：No connection could be made because the target machine actively refused it。

我的理解这个TechNet文章，每说给我带来了那里的页面*，是我可以配置Windows防火墙以允许使用由特定的可执行文件的任何端口上的所有入站流量。

我意识到事实上的答案很可能是“不要这样做”，所以请理解；我在虚拟机中运行 Visual Studio 和 IIS Express，并且希望能够从主机操作系统进行连接以进行测试，因此并不真正关心打开 IIS Express 使用的所有端口的安全隐患。

我创建了一个入站规则，程序设置为%ProgramFiles% (x86)\IIS Express\iisexpress.exe，这是根据任务管理器运行的可执行文件。所有其他规则规范都留空（任何本地地址、任何远程地址和本地端口、任何远程端口、“任何”允许的用户、“任何”允许的计算机）。但是，只有当我对 IIS Express 提供的特定端口有规则时，连接才有效。

由于它会让我的生活更轻松（并且主要是原则上，因为 technet 说它应该可以工作），我宁愿不必为我创建的每个应用程序添加防火墙规则。

* 任务“创建一个规则，允许程序在它需要的任何端口上侦听和接受入站网络流量。”

因此，我一直在网上寻找一个脚本，该脚本将删除除 http(80) 和 https(443) 端口之外的所有端口的所有流量，然后只允许来自国家 x 的所有其他端口的流量（在我的案例国家 x 是美国）。

我不想添加来自每个国家/地区的所有 IP，我只想允许来自我国家/地区的 ip，然后阻止来自外部世界的几乎所有其他流量。我国以外的任何人都不应访问 ssh、ftp、smtp 等。除了我自己。如果这种情况发生变化，我会在它接近时为其添加一个特殊情况。

边注

我必须注意，我确实找到了一个问题，其中包含使用 ip 表按国家/地区禁止 ip的脚本，但这是我必须做的很多额外插入。

标记为最佳答案的脚本将阻止来自这些 IP 的所有流量。我只想阻止访问除 80 和 443 之外的所有端口。

更新

根据以下规则，

iptables -A OUTPUT -m geoip --dst-cc CN -j DROP

我可以修改它并做类似的事情吗

iptables -A OUTPUT -m geoip --dst-cc CN --dport 80 -j ACCEPT
iptables -A OUTPUT -m geoip --dst-cc CN --dport 443 -j ACCEPT
iptables -A OUTPUT -m geoip --dst-cc CN -j DROP

我认为这将允许来自中国的 ips 访问端口 80 和端口 443，而它会丢弃其余端口。这个假设是否正确？如果没有，为什么不呢？

更新 2

经过一番折腾，我发现我的 …

我通过通常安装的 Win10 home / Apple Iphone (iOS) 和不同的浏览器使用我的互联网连接。操作系统和浏览器都是最新的。

我在 siteground.com 的 CentOS 共享服务器环境中托管了两个 WordPress 网站。

我的问题

从我的 IP冲浪时，我收到来自所有浏览器的错误“无法访问站点”。不管是WIFI还是以太网，我还是有上面的问题。

这些站点运行良好，并且可以从其他 IP 地址完全访问（例如，如果我将我的 WIFI 更改为我的 PC 找到的免费 WIFI，我可以访问这些站点）。

调试尝试

导航到相关域后，在 Chrome 中使用 Windows 故障排除工具后，我收到此错误：

Windows 无法自动检测网络的代理设置。

电源外壳

ping TARGET_DOMAIN 带来：

来自 TARGET_IP 的回复：bytes=32 time=189ms TTL=53

tracert TARGET_DOMAIN 带来：

无法解析目标系统名称 TARGET_DOMAIN。

此外，还nslookup TARGET_DOMAIN带来：

nslookup : *** Request to Broadcom.Home timed-out At line:1 char:1
+ nslookup TARGET_DOMAIN
+ ~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotSpecified: (*** Request to Broadcom.Home timed-out:String) …