Вкл/Выкл Политики безопасности

Доброго времени суток.

Необходимо вкл/выкл политику безопасности (конкретную, зная ее имя).

Либо создавать и удалять политику (если нельзя включать выключать)

Нашел команду ipseccmd (видимо доп. команда), справки по ней cmd мне не дал
Нашел команду secedit.

Но не понял как их использовать относительно моей задачи.

При вкл/выкл политики безопасности (назначить и снять) в реестре появляется запись с ключом (уникальный номер политики по всей видимости) и обновляется (дважды, что ли) ключ, который хранит последнее значение генератора случайных чисел (так написано во всяком случае)

Конечно можно добавлять и удалять данный ключ в реестр с соответствующим значением, но может есть более простой способ?

0

И так было время, попробовал.

1. Научился добавлять и удалять нужный ключ реестра
- в редакторе реестра запись появляется и удаляется как нужно*
- в консоли в оснастке появляется и убирается значок зеленого ключика (ну или не ключика)*
- результата ноль (т.е. запись есть, а правило не работает)
* обновление происходит, когда щелкаю мышкой (выбираю) другой раздел и снова тот

2. Команда ipseccmd не найдена, скачал и установил средства поддержки и снова не нашел ipseccmd

3. При попытке использовать команду secedit открывается раздел справки (новым графическим окном) и сообщается мол используй gpupdate, пробовал и его после добавления ключа реестра писать, но результата ноль.

Может быть есть какая-то команда обновления политики безопасности IP или я неправильно использую gpupdate?

0

Обновления политики не всегда можно произвести через gpupdate.
Там включаются в процесс другие системные механизмы.

Простейший вариант - перезагрузить систему.

0

предыстория или задание как оно есть:

задача: начальник попросил сделать ему возможность отключать некоторые пк (в лок. сети) от интернета, но при этом почта и sip point (ip-телефония) должны работать

решение 1: посоветовали сервис/программку SkyDNS (очень удобный и простой интерфейс), но она позволяет блокировать только имена серверов (порты не позволяет) и еще и по ip не позволяет, с почтой то все просто, а вот sip как я понял до начала звонка не знает с каким сервером будет связываться

решение 2: проблему решает стоящий на сервере kerio control, но начальнику доступ к админке не дашь, т.к. может не туда нажать и плохо будет.

решение 3: вот понял как политикой безопасности ограничить порты 80 и 443, думал написать простенькое приложение, которое бы выполняло команду на удаленном пк (или на текущем с установкой параметров на удаленном) вкл/выкл политику.

Соответственно перезагружать удаленный пк это не лучший выход из ситуации

Если политики при ручном редактировании реестра могут не обновляться, может быть посоветуете какое-нибудь альтернативное средство, которое решило бы мою проблему?

0

Чем плох Windows Firewall ?

0

Забыл сказать удаленный пк WinXP (еще и комплектация зверь по-моему)
Но я все же попробовал - не сработало (причем без advfirewall также пробовал) - команда не найдена
Насколько я понял Firewall WinXP по умолчанию должен блокировать все, а правила только разрешают программу или порт. А если без правила порт открыт, то его уже не закрыть. Правильно ли я все понял с WinXP или что-то упустил, что-то не знаю?

*для справки пробую я не на удаленном, а на VirtualBox (но также WinXP)

0

Сообщение от oleg_botanik Забыл сказать удаленный пк WinXP (еще и комплектация зверь по-моему)

Для XP синтаксис другой.
Попробуйте:

Сообщение от oleg_botanik Насколько я понял Firewall WinXP по умолчанию должен блокировать все, а правила только разрешают программу или порт.

Да.
В Windows Vista и выше можно задавать более детализированные правила с указанием направления трафика,
а также правила запрета (имеют приоритет) перед правилами разрешения.

Сообщение от oleg_botanik А если без правила порт открыт, то его уже не закрыть.

Firewall заблокирует трафик, если нет разрешающего правила для этого порта,
+ выдаст оповещение пользователю с вопросом "Разрешить" или "Запретить".

Все это справедливо, если на ПК не установлен другой Firewall, в т.ч. в составе антивирусных решений,
где правила могут формироваться иначе. При этом встроенный брандмауер обычно отключается.

0

1. Код пробовал - не помог
2. SIP (ну или SIP point) видимо использует HTTP или HTTPS протоколы, поэтому блокировать их мне нет смысла

3. Подумал о таком варианте:

написать программку, которая висит в трее (или даже там не висит и работает в фоновом режиме), каждые 5-10 секунд смотрит открыта ли программа (браузеры) и закрывает их, если открыта

возникли вопросы:

1. Как поместить bat-файл в фоновый процесс или хотя бы в трей
2. Как лучше устроить постоянное сканирование запущенных процессов (видел в интернете способ ping'овать, чтобы устроить задержку, но не думаю, что это лучшее решение) и не будет ли проверка каждые 5-10 секунд вилять на быстродействие пк?

0

Не надо самодеятельности такого уровня. SRP.

0