Wireshark и брандмауэр Windows

Question

Если я заблокирую порт в брандмауэре Windows, а затем попытаюсь подключиться к этому порту с другого компьютера, что мне следует ожидать в Wireshark?

При запуске wireshark на целевом компьютере («сервер» из-за отсутствия лучшего термина) я должен увидеть:

1. Нет входящих или исходящих соединений (что я и ожидал бы с аппаратным брандмауэром)
2. Попытка входящего соединения, но без исходящего

В данный момент я вижу # 2 - я вижу попытку входящего соединения, но я никогда не вижу ответа от машины.

Должно ли это быть ожидаемым поведением?

Answer 1

Я бы так подумал. Брандмауэр является программным обеспечением внутри O/S. Пакет все еще должен поступать в машину, пузыриться в сетевом стеке, пока не достигнет брандмауэра, после чего он будет принят и передан или отклонен и заблокирован. Я ожидал бы такого поведения.

Теперь, если брандмауэр существует между Интернетом и вашей машиной, вы ничего не увидите в Wireshark, если этот внешний брандмауэр заблокирует пакет (ы).

Answer 2

Где работает Wireshark, на конечном компьютере или на исходном компьютере? Если он работает на исходном компьютере, я ожидаю увидеть поведение, как в # 2. Вы должны увидеть исходящее соединение с исходного компьютера в Wireshark, но обратного трафика нет. Мне любопытно, брандмауэр Windows отправляет RST, когда он блокирует входящие соединения, или он молча обрывает соединение?

Если подумать, я мог бы ожидать увидеть поведение как на # 2 на целевом компьютере, а также из-за того, что входящее соединение должно быть инициировано, прежде чем брандмауэр Windows сможет выполнить свою работу. Он не может заблокировать соединение, которое еще не достигло конечного компьютера и до уровня 3.

Answer 3

Вы должны получить попытку входящего соединения, потому что брандмауэр заблокировал пакеты, поэтому у машины не будет ответа на запрос.