Windows kontrollieren mit unifi Firewall

[hansstegherr]

Hallo,
über diesen Artikel bin ich gestolpert der mich als Normal User etwas überfordert.
https://www.kuketz-blog.de/windows-unter-kontrolle-ipfire-teil4/
Da ich hauptsächlich auf einer Festplatte Linux benutze, und auf einer zweiten Festplatte Win10 (abundzu, z.B. Handy rooten, Odin,) halt die Anwendungen die mir Linux nur erschwert zur Verfügung stellt, benutze ich dann selten eben Win10.
Ist es möglich die Firewall unter unifi so einzustellen, dass eben wie oben im Artikel erwähnt, die Datensammelwut von Windows eingegrenzt wird. Oder geht das so gar nicht, ist Idiotie oder stellt man dies in der Firewall von Windows ein?
Ich habe echt keine Ahnung.
Ist es besser den Link Artikel herunter zu laden und als Datei-Upload zu senden. Irgendwann wurde das mal erwähnt?
Oder besser gesagt, welche Info wird noch benötigt um auf meine Frage zu antworten?

 

[Raijin]

Ist es möglich die Firewall unter unifi so einzustellen, dass eben wie oben im Artikel erwähnt, die Datensammelwut von Windows eingegrenzt wird.

Ja.

 

[AudioholicA]

Da du nur ein System gleichzeitig booten kannst, wird das so nicht gehen.
Du kannst natürlich Win10 in eine VM dengeln und Linux als Host verwenden.
Dann ist es durchaus möglich.

Edith: My fault, ich habe da was verwechselt.

 

[Raijin]

Da du nur ein System gleichzeitig booten kannst, wird das so nicht gehen.

Und das hat damit genau was zu tun? Wo steht, dass beides gleichzeitig booten soll?

 

[AudioholicA]

Mein Fehler, ich habe da etwas verwechselt. Sry!

 

[Merle]

Im Normalfall bieten Firewalls diverse Stufen an Abarbeitung.
Üblich sind:
Eingehendes Interface (auch virtuell) IN, OUT, NAT Rules, Ausgehendes Interface IN und OUT.
An jeder dieser Stellen kannst du für die korrekte Richtung alles einschränken. Stateful sollte ein Begriff sein.
Wenn man mit Whitelisting arbeitet ist das eine furchtbare Arbeit. Blacklisting ist im Heimumfeld sinnvoller.
*edit: und ich glaub dynamic ACL mit Hostnames kann das Ding nicht. Was ist es denn für ein Device? USG? USG Pro? EdgeRouter?

 

[hansstegherr]

Es boote immer nur ein System. Indem ich "escape" drücke kann ich dann auswählen, ob Linux oder Windows.
Aber wie stelle ich jetzt die Firewall ein. Gibt es da IP Adressen wo sich Windows verbindet und die dann geblockt werden können? Außer eben die update Funktion?

Ergänzung (26. August 2019)

Normales USG,

 

[Merle]

Das ist ja das Ding... Wenn es die gibt ist sie nicht lange korrekt. IPs ändern sich, und Win hat sicherlich keine Adressen hardcoded.

==> Die Liste müsste man öfter aktualisieren.

*edit: Windows bietet eine recht detaillierte erweiterte Firewall. Die kannst du dir mal ansehen. Üblicherweise ist ausgehender Traffic aber wenig reguliert.

 

[shadowrid0r]

Windows zum schweigen bringen und dabei ´Handy rooten´... witzig! Die Daten Sammelflut ist beim Handy ca. um den Faktor 1000 schlimmer als bei Windows 10, wo man mit ein paar Mausklicks das wesentliche Abschalten kann.
Werbung, Ortung... der Rest ist eh Wurscht.
Oder wir machen das in cool:

Aber... wer kontrolliert die Daten am roten Fragezeichen? Was das ganze Konzept dieses Endzeitfirewallgebildes (inkl. Auffwand dafür) ad absurdum führt.
Aber dennoch: Viel Erfolg wünsche ich und ein gutes gelingen!

 

[Merle]

Naja, weil einen die Wassermängel in Afrika stören hör‘ ich noch lange nicht auf zu trinken... (=Man tut was man kann )

 

[hansstegherr]

also erstmal vielen Dank für die Antworten. Bei manchem komme ich nicht mit. Lassens wirs dabei.
Übrigens Handy rooten- Da ist die Kontrolle bei mir durch eine Firewall. Da der Faktor "Taausendmal schlimmer ist als bei Win10, darum roote ichs ja mit alternativem Android...

 

[Raijin]

@l00pm45ch1n3 :
Ja und? Von mir aus kann er das als Dual-Boot auf derselben oder zwei verschiedenen Platten haben, auf 2 verschiedenen PCs oder auch als VM, das hat doch damit nix zu tun ob man den Artikel mit einer Hardware-Firewall, sei es Unifi (bzw das USG), IPfire wie im Artikel oder irgendein Feld-Wald-und-Wiesen-*WRT umsetzen kann. In selbigem geht es nur darum, sämtlichen Internet-Traffic von einer bestimmten Quell-IP im Heimnetzwerk zu blockieren bzw. nur für bestimmte Ziele freizugeben.



@hansstegherr
Um meine doch recht knappe, aber äußerst präzise Antwort in #2 noch etwas auszuführen - du hast ja nur gefragt ob es geht und nicht wie - anbei noch ein paar Hinweise:

UniFi-Controller-->Einstellungen-->Routing&Firewall-->Firewall-->IPv4-->LAN eingehend-->

Neue Regeln:

1: Quelle !die.windows.ip ---> akzeptieren (das ist alles außer der Windows-Installation)
2: Ziel = Gruppe --> Neue Gruppe erstellen und erlaubte Ziel-IPs eintragen ---> akzeptieren
3: Quelle&Ziel beliebig ---> Verwerfen

Welche IPs du erlauben möchtest, findest du bitte selbst heraus. Im Artikel wird ja beschrieben wie das geht.

Das Prinzip des Artikels ist ja "Alles blocken bis auf IP1, IP2, IPx...".


Wie sinnvoll das ist und ob du dich am Ende durch eine fehlerhafte Konfiguration selbst aussperrst oder ob Windows sich evtl. einfach denkt, dass IPv6 ja auch ganz nützlich ist, sei mal dahingestellt. Je nachdem wieviele Ziele du erlauben möchtest, wird die besagte Gruppe auch recht groß und muss ggfs auch regelmäßig erweitert werden.

Ein paar Worte der Warnung: Wenn du mit den hier beschriebenen Punkten nicht klarkommst, lass die Finger davon. Hat man keine Ahnung von der Firewall, sollte man auch nicht damit rumspielen. Ich habe das nämlich jetzt nur aus dem Ärmel geschüttelt und nicht ausprobiert.

Natürlich darf dann auch der obligatorische Spruch nicht fehlen: Alle Angaben ohne Gewähr. Umsetzung auf eigenes Risiko.

 

[Zero_Official]

Ja.

Nein, verfolge Telegram blocking Versuche und ähnliches.
Lass Windows telefonieren und nutze Linux für wichtige Dinge.
Alles Andere ist nur "Katz und Maus" Spiel was du verlierst.

 

[BlackNinja2019]

Warum wird alles so maßlos übertrieben.
Wenn alles an Microsoft gesendet wird, ob Microsoft weiß, was ich heute eingekauft habe?
Oder was ich heute beim Tanken bezahlt habe?

 

[Raijin]

Nein

Doch

Der TE fragte ob der verlinkte Artikel auch mit Unifi umzusetzen ist. Und das geht definitiv. Ob der Artikel das hält was er verspricht, steht auf einem anderen Blatt. Es geht ja dabei darum, grundsätzlich ersmal alles an externer Kommunikation zu verbieten und dann zB nur für die Steuersoftware die Server-IPs freizuschalten. Natürlich können sich die Server-IPs auch mal ändern (zB neuer/zusätzlicher Server, o.ä.) und da wird's dann häßlich, insbesondere, wenn es nicht bei der Steuersoftware bleibt. Zudem wird nur von IPv4 gesprochen und IPv6 gänzlich außer Acht gelassen.

Grundsätzlich bin ich bei dir, ich finde das Vorhaben auch nicht wirklich sinnvoll.

Datenschutz und alles was damit einhergeht hat in Deutschland einen extrem hohen Stellenwert. Nicht selten ist er gar so hoch, dass dadurch die absurdesten Ideen entstehen. Da kommt mir zB gerade die sehr heftig geführte Diskussion an der Grundschule meiner Nichten in den Sinn: Fotoverbot auf der Einschulungsfeier - es gab sogar eine Handvoll "Ordner", die das Verbot durchgesetzt haben............

 

[hansstegherr]

Danke Raijin deine Artikel treffen ins Schwarze. Besonders der vorletzte. Nur um das geht es!!!
Mehr wollte ich nicht.

 

[RacerOS]

Doch

Datenschutz und alles was damit einhergeht hat in Deutschland einen extrem hohen Stellenwert. Nicht selten ist er gar so hoch, dass dadurch die absurdesten Ideen entstehen. Da kommt mir zB gerade die sehr heftig geführte Diskussion an der Grundschule meiner Nichten in den Sinn: Fotoverbot auf der Einschulungsfeier - es gab sogar eine Handvoll "Ordner", die das Verbot durchgesetzt haben............

Da muss ich jetzt aber ganz deutlich widersprechen!

Die Europäische Union hat eine Vereinbarung mit den USA, darüber, dass amerikanische Großkonzerne (Microsoft, Facebook, Apple, Amazon, etc.) unsere Daten abgreifen dürfen und an die Überwachungsbehörden weiterleiten!

Tja. So ist das:
https://netzpolitik.org/2019/eu-kommission-erneutert-persilschein-fuer-datenaustausch-mit-den-usa/