ИБ по частям
Думаю ни для кого не секрет, что большинство вендоров предусматривают для своего ПО возможность удаленного подключения/соединения со своими серверами. Цель данного соединения оставим за скобками. Но иногда возникает необходимость вмешаться в процесс общения ПО и его вендора.
Рассмотренная ниже ситуация будет касаться офисного пакета MS Office.
Как я думаю, среднестатистическому пользователю без разницы, какую информацию о нём отправляет на свои сервера «легально» установленным офисный пакет MS Office. Ситуация меняется, когда из соображений безопасности необходимо полностью изолировать сегмент локальной сети или отдельные компьютеры от ресурсов Интернет.
Способ отключения Интернета на отдельно взятом компьютере оставим за скобками, но предположим что инструментом отключения может выступить: МЭ на границе сети/сегмента.
Бывает, что отключение Интернета заставляет офисные приложения (Word/Excell) очень долго думать перед открытием любого документа. И если посмотреть в Fiddler, что делает офисное приложение MS Word при открытии документа, то выяснится следующее:
Как вы видите, для начала MS Word решил отправить пару запросов на ряд серверов MS. Вместо стандартных 2-3 секунд документ открывается около 10-15 секунд и, видимо, ожидает какого-либо ответа, а когда не дожидается, то запрос отваливается по тайм ауту.
Чтобы ускорить загрузку документа можно выполнить следующие действия:
1. Создать на персональном МЭ на компьютере или в антивирусном решение на компьютере разрешающее правило для доступа к внутренним ресурсам ЛВС/сегмента по маске 10.0.0.0/8, а а для всех остальных адресов получателей создать запрещающее правило.
2. Если первый вариант не помог или на компьютере нет никаких инструментов для блокировки сетевой активности, то можно воспользоваться корпоративным DNS-сервером для создания заглушек для списка URL ниже. Если по каким-то причинам использование корпоративного DNS-сервера затруднительно, то можно воспользоваться файлом HOSTS на каждом компьютере.
127.0.0.1 officeclient.microsoft.com
127.0.0.1 login.windows.net
127.0.0.1 nexus.officeapps.live.com
127.0.0.1 odc.officeapps.live.com
127.0.0.1 templateservice.office.com
127.0.0.1 acroipm2.adobe.com
127.0.0.1 armmf.adobe.com
Последние 2 записи приведены для исправления такой же ситуации с Adobe Acrobat Reader’om.
Всем удачи, может кому-то пригодится.
p.s.
Если в изолированной сети вам необходимо использовать продукты MS для совместной работы с документами, например, MS SharePoint то необходимо также заблокировать — ctldl.windowsupdate.com . Но имейте ввиду, что через файл HOSTS это сделать не получиться.
Officeclient microsoft com как отключить 2016
(0) Через групповые политики можно настроить политики бранмаузера.
Либо использовать сторонний firewall.
(3) спасибо, извращениями не занимаемся и это не по делу
(4) тупо закрыть адрес? Это можно, но офис-то все равно будет пытаться стучаться .
Еще административных шаблонов групповой политики MS Office, возможно там есть настройки «Разрешить Office подключиться к Интернету».
(7) Пробовал как-то подгружать шаблоны для АД, но не разобрался тогда .
есть где-нибудь толковая статья про это?
Брандмауэр виндовс — Разрешение взаимодействия с приложениями — найти офис и выключить
(0) пропиши в хост все адреса
Все таки хочется повлиять на сам офис, чтобы он не проказничал
ФАЙЛ / Параметры / Центр управления безопасностью / Параметры центра управления безопасностью / Параметры конфиденциальности
Снять галочку «Разрешить Office подключиться к Интернету» 2013
«Разрешить подключение Office к вебслужбам. » 2016
(13) А теперь групповой политикой на 100 клиентов
(13) Увы. Как показывает практика, этого не достаточно. Иногда настройки безопасности офис сам восстанавливает так, как ему нужно.
(5) Ты сам себе противоречишь
а чем вам мешает поход оффиса в интернет? вы сидите в 100 пк через коаксиал?
(19) Да задолбали эже эти гигабайты трафика, к тому же кто его знает, что он там сообщает .
(20) и в (10) не помогло?
или «не шмагла»?
(21) Брандмауер выключен у всех
мдэ и этот человек борется с бегающим в интернет офисом.
(24) «у нас нет забора и козы пасутся в помойке, как им запретить?»
(23) ну запрети на уровне маршрутизатора, хотя бы. они же в интернет через одно место ходят?
+ (25) как то раз видел статью где на роутере ставили эдакий «адблок». зато это работает на всех видах устройств участников сети и без индивидуальной настройки и затрат оперативки\мощности на каждом устройстве.
(25) Так маршрутизатором запретил уже, хочется нормально сделать, ведь клиенты же пытаются стучаться в интернет, хотя их и отбивают.
Включать брандмауер на клиентах в локальной сети — ну его нафиг
(27) ну и пусть стучатся, траффика то нет.
ну смотрите, мы уже обрезали им выход, но и на местах настраивать ничего не хотим. вывод — либо забить, либо настраивать всех ручками, либо учится работать с АД.
(27) У вас же АД, надо настроить то 1 раз и всё, в чем проблема?
(29) Настривать «один раз» брандмауер для винды с ХР по 10 честно говоря не самое приятное занятие .
К тому же всего не предусмотришь, т.к. далеко не все программы предоставляют список портов, которые нужно открыть для их корректной работы.
Поэтому вариант из (13) кажется хорошим, но только если это будет решение через АД .
Настройка параметров прокси-сервера в Windows с помощью групповых политик
15.11.2022
itpro
Active Directory, Windows 10, Windows Server 2016, Групповые политики
комментарий 61
В этой статье мы рассмотрим, как централизованно задать настройки прокси на компьютерах с Windows 10 в домене Active Directory с помощью групповых политик. Большинство распространенных браузеров (таких как Microsoft Edge, Google Chrome, Internet Explorer, Opera) и большинство приложений автоматически используют для доступа в интернет параметры прокси сервера, заданные в Windows. Также мы рассмотрим, как задать параметры системного WinHTTP прокси.
В этой статье мы рассмотрим особенности настройки прокси сервера политиками в поддерживаемых версиях Windows (Windows 10, 8.1 и Windows Server 2012/2016/2019). Обратите внимание, что в снятых с поддержки Windows 7/Server 2008R2, Windows XP/Windows Server 2003 параметры прокси сервера задаются по другому.
Как задать параметры прокси сервера в Windows через GPO?
До выхода Windows Server 2012/Windows 8 для настройки параметров Internet Expolrer (и в том числе настроек прокси) использовался раздел Internet Explorer Maintenance (IEM) из пользовательской секции GPO (User configuration –> Policies –> Windows Settings –> Internet Explorer Maintenance). В современных версиях Windows 10 /Windows Server 2016/2019 этот раздел отсутствует.
В новых версиях Windows для настройки параметров IE и прокси в редакторе GPO нужно использовать предпочтения групповых политик GPP (Group Policy Preferences). Также есть вариант использования специального расширения Internet Explorer Administration Kit 11 (IEAK 11) – но применяется он редко.
Откройте консоль редактора доменных GPO (Group Policy Management Console – GPMC.msc ), выберите OU с пользователями, для которых нужно назначить параметры прокси-сервера и создайте новую политику Create a GPO in this domain, and Link it here.
Перейдите в раздел User Configuration -> Preferences -> Control Panel Settings -> Internet Settings. В контекстном меню выберите пункт New -> и выберите Internet Explorer 10.
Для настройки параметров прокси в Windows 10/Windows Server 2016 нужно использовать пункт Internet Explorer 10.
Совет. Несмотря на то, что отдельной настройки для Internet Explorer 11 нет, политика Internet Explorer 10 будет применяться на все версии IE >=10 (в файле политики InternetSettings.xml можно увидеть, что опция действительна для всех версии IE, начиная c 10.0.0.0 и заканчивая 99.0.0.0). Все версии Internet Explorer ниже 11 на данный момент сняты с поддержки Microsoft и более не обновляются.
Перед вами появится специальная форма, практически полностью идентичная настройкам параметра обозревателя в панели управления Windows. Например, вы можете указать домашнюю страницу (Вкладка General, поле Home page).
Важно. Не достаточно просто сохранить внесенные изменения в редакторе политики. Обратите внимание на красные и зеленые подчеркивания у настраиваемых параметров Internet Explorer 10. Красное подчеркивание говорит о том, что эта настройка политики не будет применяться. Чтобы применить конкретную настройку, нажмите F5. Зеленое подчеркивание у параметра означает, что этот параметр IE будет применяться через GPP.
Доступные функциональные клавиши
- F5 – Включить все настройки на текущей вкладке
- F6 – Включить выбранный параметр
- F7 – Отключить выбранный параметр
- F8 – Отключить все настройки на текущей вкладке
Чтобы указать параметры прокси-сервера, перейдите на вкладку Connections и нажмите кнопку Lan Settings). Прокси сервер можно настроить одним из следующих способов:
- Automatically detect settings — автоматическое определение настроек прокси с помощью файла wpad.dat;
- Use automatic configuration script — скрипт автоконфигурации (proxy.pac);
- Proxy Server – можно вручную указать IP адрес или DNS имя прокси сервера и порт подключения. Это самый простой способ настроить прокси в Windows, его и будем использовать.
Поставьте галку Use a proxy server for your LAN, а в полях Address и Port соответственно укажите IP/FQDN имя прокси-сервера и порт подключения.
Включив опцию Bypass Proxy Server for Local Addresses можно запретить приложениям (в том числе браузеру) использовать прокси-сервер при доступе к локальным ресурсам (в формате http://intranet ). Если вы используете адреса ресурсов вида https://winitpro.ru или http://192.168.20.5 , то эти адреса не распознаются Windows как локальные. Эти адреса и адреса других ресурсов, для доступа к которым не нужно использовать прокси, нужно указать вручную. Нажмите кнопку Advanced и в поле Exceptions введите адреса в формате: 10.*;192.168.*;*.loc;*.contoso.com
Совет. Параметры прокси-сервера в Google Chrome можно задать централизованно через GPO с помощью специальных административных шаблонов. Для Mozilla Firefox можно использовать такое решение.
После сохранения политики вы можете просмотреть XML файл с заданными настройками браузера в каталоге политики на контроллере домена \\DC1\SYSVOL\winitpro.ru\Policies\(PolicyGuiID)\ User\Preferences\InternetSettings\InternetSettings.xml
В GPP есть возможность более тонко нацелить политику на клиентов. Для этого используется GPP Item Level Targeting. Перейдите на вкладку Common, включите опцию Item-level targeting -> Targeting.
В открывшейся форме укажите условия применения политики. В качестве примера я указал, что политика настройки прокси будет применена только к пользователям, которые состоят в доменной группе ruspb_proxy_users. Вы можете использовать собственную логику назначения параметров прокси (в зависимости от IP подсети, сайта AD и т.д.).
Осталось назначить политику IE на контейнер с пользователями и обновить политики на них. После обновления политики на компьютерах пользователей должны примениться новые настройки прокси в IE. В Windows 10 текущие параметры прокси можно посмотреть в разделе Settings -> Network and Internet -> Proxy. Как вы видите, на компьютере теперь заданы настройки прокси, указанные в доменной политике.
Чтобы запретить пользователям менять настройки прокси-сервера, воспользуйтесь этой статьей.
Настройка параметров прокси через реестр и GPO
Кроме того, настроить параметры IE можно и через реестр, политиками GPP. К примеру, чтобы включить прокси для пользователя нужно настроить следующие параметры реестра в ветке HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Internet Settings.
Перейдите в редакторе GPO в раздел User Configuration -> Preferences -> Windows Settings -> Registry и создайте три параметра реестра в указанной ветке:
- ProxyEnable (REG_DWORD) = 00000001
- ProxyServer (REG_SZ) = 192.168.0.50:3128
- ProxyOverride (REG_SZ) = *winitpro.ru;https://*.contoso.com;192.168.*;
Здесь также можно использовать Item level targeting для более тонкого нацеливания политик.
Если вам нужно создать политики не для каждого пользователя (per-user), а для всех пользователей компьютера (per-computer), используйте параметры GPP из раздела GPO Computer Configuration -> Preferences -> Windows Settings -> Registry. Используйте аналогичные параметры реестра в ветке HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings.
Настройка параметров WinHTTP прокси групповыми политиками
Некоторые системные сервисы или приложения (например, служба обновлений Wususerv или PowerShell) по-умолчанию не используют пользовательские настройки прокси сервера из параметров Internet Explorer. Чтобы такие приложения работали корректно и получали доступ в интернет, вам нужно задать в Windows настройки системного прокси WinHTTP.
Чтобы проверить, настроен ли на вашем компьютере WinHTTP прокси, выполните команду:
netsh winhttp show proxy
Ответ “ Direct access (no proxy server) ” говорит о том, что прокси не задан, система использует прямой интернет доступ.
Вы можете задать на компьютере прокси для WinHTTP вручную командой:
netsh winhttp set proxy 192.168.0.50:3128 «localhost;192.168.*;*.winitpro.com»
Или импортировать настройки прокси из параметров Internet Explorer теекщего пользователя:
netsh winhttp import proxy source=ie
Однако настроить WinHTTP через GPO не получится – в редакторе GPO нет соответствующего параметра, а в реестре параметры хранятся в бинарном виде и не подходят для прямого редактирования.
Единственный вариант задать параметры WinHTTP прокси – настроить их на эталонном компьютере, выгрузить значение параметра WinHttpSettings в ветке реестра HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections в reg файл и распространить этот параметр на компьютеры в домене через GPP registry.
Предыдущая статья Следующая статья 
Block officeclient.microsoft.com on Office 2016
We are in a migration process to Win10+Office16 in my company. In the new system, every time we open any Office application, a proxy pop up appears asking for credentials and we would like to block this in my company. We tried with the local firewall with a custom rule blocking all traffic to internet from all office executables. It worked but in fact it blocked some other connections that we would like to keep, like the possibility of opening remote documents. The second try was using the hosts file, C:\Windows\System32\Drivers\etc\hosts. I just added a line 127.0.0.1 officeclient.microsoft.com Surprisingly it does not work, simply it is not taken into account by Office. Could someone explain me why? any other strategy to prevent the popup to appear? Thanks a lot.
asked Jan 25, 2019 at 10:34
3 1 1 gold badge 3 3 silver badges 5 5 bronze badges
In Office 2016, click File > Options > Trust Center > Trust Center Settings > Privacy Options, clear the selection for Let Office connect to Online services. Additionally, go to Control Panel > Windows Credentials, remove the cached credentials.
Jan 29, 2019 at 9:29
I already disabled those settings using a GPO but unfortunately the issue still persists.
Jan 30, 2019 at 10:57
Did you ever get a solve for this? Running into the same issue with a user here. Have disabled the setting in question and removed credentials; user is still being prompted for login to «proxy server for officeclient.microsoft.com».