WSL2 obchází firewall ve Windows 10

2. 10. 2020

Autor: Microsoft, Larry Ewing

Pracovníci švédské firmy Mullvad, která poskytuje VPN mimo jiné také pro Firefox, ve středu na svém blogu napsali, že WSL2 (Windows Subsystem for Linux) obchází nastavení firewallu ve Windows 10. Problémem je, že Hyper-V Virtual Ethernet Adapter neposílá provoz přes vestavěný firewall.

Stejným způsobem tak může být nefiltrovaný provoz z Windows Sandboxu a Dockeru, pokud používají Hyper-V Virtual Ethernet Adapter. Přitom provoz WSL1 byl vestavěným firewallem filtrován. Ve WSL2 jde absenci filtrování obejít například použitím iptables.

(zdroj: bleepingcomputer)

Našli jste v článku chybu?

Zasílat nově přidané názory e-mailem

Aktualita je stará, nové názory již nelze přidávat.

2. 10. 2020 11:18

Ludolph

Ano!!! A to je take duvod proc napr. Kaspersky defaultne blokuje WSL jako potencialne nebeznou aktivitu v systemu, ktera obchazi celou radu bezpecnostnich nastaveni.
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 11:20

Ondřej Budai

Iptables už jsou poměrně zastaralé, lepší použít nftables.
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 11:59

oss

Hmm a nebude to skor tym, ze v hyper-V sa virtualizuej operacny system ako virtualka a teda by mala mat vlastny firewall?
Obdovne WSL2, ide o plnohodnotny linux, takze tiez by mal mat vlastny firewall.

Poslednu dobu sa tu roztrhlo vrece s rychlokvasenymi "odbornikmi" na bezpecnost. Minule som zas cital, ze Windows maju dieru, lebo cez CLI interface Defenderu ide stiahnut subor... zaujimave, ze pri linuxoch to iste cez curl diera nie je.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 12:12

Youda

Tak nejak.

Pri povolenem WSL2 se wokna prepnou do Hyper-V rezimu, ktery je obdobny VMware ESXi, kde i ty vlastni hostitelske vokna jsou jenom virtualka, stejne jako onen linux ve WSL2.

Than you Captain Obvious!
WSL2 virtualka nebude pouzivat firewall paralelne bezici virtualky, kdo by to cekal?
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 12:44

Mlocik97

Osobne používam VirtualBox, aj keď chcem migrovať na KVM (s ktorým akurát nemám moc skúseností), ja systém provozujem naopak, Linux mám na železe, a Windows vo virtuálke (žeby LSW?) a vždy viem tak, že keď je virtualizácia sietového adaptéra v režime NAT, tak sa vždy majú aplikovať firewall nastavenia, keď je v móde BRIDGE, tak naopak nikdy, a pravidlá firewalla host systému sa majú ignorovať. Predpokladám že tak by to vo WSL2 malo fungovať tiež.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 12:59

Fík

Zlatý podporovatel

Myslím psali, že to je v NAT a nefiltruje, takže se to nechová stejně.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 13:12

Youda

Hyper-v je Type1 hypervisor, narozdil od Virtualboxu.
https://www.sciencedirect.com/topics/computer-science/hypervisors
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 14:41

J ouda (neregistrovaný)

A co to má s tím společného?
Tu síťovku něco drží a pokud k ní má lézt víc guestů, pořád se nějak o ní musí poprat, a to jestli je ta síťovka poslaná přes PCI passstrhu do guesta, nebo jí drží nějakej z systémů pod tím a v tom případě jak (bridge, nat, vif) a případně jak tohle (ne)interaguje s místními iptables/nftables/ebtables/ipfw/windows defender mi přijde celkem ortogonální k tomu, jestli je to type1 nebo type2 hypervisor.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 15:09

K>

Mozna to souvisi s tim, ze lidi si casto mysli ze Hyper-V je typ 2, ale on je typ 1 (jak pisou na tom odkazu na sciencedirect). A tedy ze lidi ocekavaji, ze je pouzit firewall windows, protoze to chapou jako typ 2, ale nikdo by to neocekaval, kdyby chapali ze to je typ 1.

Neboli WSL obchazi firewall, a tak to ma byt (je to tak asi zamyslene), ale pro nektere je to prekvapenim.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 16:10

J ouda (neregistrovaný)

Počkejte. Xen je jasný type1, (defaultně) je v něm síťovka řešená driverem v dom0, pokud v něm pustím domU tak to v něm vyrobí něco jako vif10.0, ten přihodí do bridge s fyzickou eth0 a přes ebtables/nftables v dom0 to teče.
Starej blahé paměti lguest byl typický type2 a choval se naprosto stejně, jen si už nepamaduju jak se tam ten interface jmenoval. KVM jako mezipřípad to samé.
Opravdu nevidím žádnou souvislost s typem hypervisoru, ale jen a pouze s nastavením networkingu.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 16:26

J ouda (neregistrovaný)

Ještě edit: Pokud by opravdu hypervizor virtualizoval celou síťovku (=v každěm guestu by byl driver "fyzického" HW který by přímo komunikoval s HW síťovice), pak by argument o type1/2 dával smysl. Ale když se to minimálně ve většině virtualizací co mi prošly pod rukou řeší tak, že jeden z systémů obsluhuje fyzický HW, a ostatním se nějak emuluje přes ten jeden konkrétní systém (fuk jestli bridge v dom0 na Xenu, vSwitch na Vmware nebo jinak), pak fakt nezáleží jestli byl první hypervisor a pod ním něco, nebo jestli je součást OS

Edit2: U WSL2 bude spíš zajímavé, jak (na WIn10 což je klientský systém) to půjde nebo nepůjde dohromady s 802.1x a L2 security obecně, to by myslím od někoho znalého stálo za popis.
2. 10. 2020, 16:30 editováno autorem komentáře
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 14:18

oss

A takisto nemozes vyuzivat fetury WSL. K Virzualboxu by som sa osobne uz nikdy nevratil.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
2. 10. 2020 18:57

Mlocik97

Jo, dnes som už spravil instalaci KVM, libvirt, virt-manager i Gnome-boxes... ešte neviem teda či budem virt-manager používať, lebo s ním sú dosť problémy a je tam dosť potrebné sa prplať s konfiguráciou... v Boxes je to podstate už pripravené, 2 kliknutia a už si vo virtuálke.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
5. 10. 2020 22:35

D.A.Tiger

Ja jsem na tom podobne jako prvni predrecnik. Taky pouzivam VirtualBox (ze setrvacnosti), ale dost uvazuji o prechodu na KVM.

PS. Featury WSL jsou me k nicemu - Linux pouzivam jako primarni system :-D
5. 10. 2020, 22:36 editováno autorem komentáře
- Zobrazit celé vlákno