Новая статья: С кем болтает ваш компьютер: смотрим, к чему в Сети подключаются программы в Windows и Linux, и запрещаем лишнее

Мы хотим, чтобы раздел «Мастерская» стал местом не только для экспертов, но и для тех, кто любит разбираться, пробовать и делиться результатами.

Нам интересен ваш личный опыт работы с компьютерами и гаджетами: удачные эксперименты, поучительные неудачи, необычные способы использования техники, доработки и полезные лайфхаки. Быть профессиональным автором или признанным экспертом необязательно — важны практический опыт, понятный рассказ и желание помочь другим.

Ждем ваши предложения и материалы на workshop@3dnews.ru. Скорее всего, мы не сможем вступить в подробную переписку с каждым, но постараемся хотя бы кратко ответить всем.

Компьютер стоит без дела, а программы продолжают выходить в Сеть

В 2003 году 3DNews сравнивал персональные файрволы: ZoneAlarm, Outpost, Norton, Sygate, McAfee. Почти все стоили денег, и каждый обещал показать, какая программа лезет в интернет. С тех пор прошло больше двадцати лет, и платить за это уже не нужно, почти все есть в самой системе. А вопрос остался прежним: кто и куда ходит с компьютера, пока вы ничего не делаете? Откройте диспетчер задач на вкладке «Производительность» и посмотрите на график Сети, ровной линии там не будет. Большая часть этого трафика, впрочем, по делу, и браузер без обновлений гораздо опаснее браузера, который за ними ходит. Но кое-что вы, вероятно, выключили бы, если бы знали. А чтобы знать, нужно сначала посмотреть.

⇡#Смотрим соединения в Windows: «Монитор ресурсов»

Все, что на скриншотах ниже, снято на моем ноутбуке с Windows 11. Система обычная, рабочая, специально я ее не чистил.

Начнем с того, что уже есть. В Windows давно живет «Монитор ресурсов», и про его вкладку «Сеть» почему-то мало кто помнит. Нажимаем Win+R, вводим resmon и Enter, а дальше открываем вкладку «Сеть» и в ней список «TCP-подключения».

Монитор ресурсов, вкладка «Сеть»: галочками отмечены только нужные процессы

Столбец «Образ» — это программа, «Удаленный адрес» — куда она подключилась, «Удаленный порт» — через какой порт. Если в верхнем списке «Процессы с сетевой активностью» поставить галочку у процесса, остальное отфильтруется по нему, и там же будет видно, сколько он отправил и получил за последнюю минуту.

На порты я бы особо не смотрел. Почти все идет на 443, то есть по HTTPS, а значит, по порту браузер от телеметрии не отличить. Иногда мелькнут 80 и 53, это обычный HTTP и DNS. Смотреть стоит на «Образ», потому что кто ходит — важнее, чем куда.

Тут меня ждал сюрприз. У меня включен VPN, и верх списка забил один процесс — xray.exe, клиент VPN. Его соединения к собственному серверу идут десятками, и все остальное в них просто тонет. Если у вас тоже VPN, картина, скорее всего, будет похожей. Выход простой: поставить галочки только у тех процессов, которые интересны, и смотреть их. Так я и сделал для снимка выше.

Чаще всего в списке встречается svchost.exe. Это оболочка, в которой работают системные службы, от обновлений до синхронизации времени, поэтому по одному имени не понять, какая из них ходит в Сеть. Монитор ресурсов немного подсказывает: в скобках после имени стоит группа служб, например svchost.exe (NetworkService -p). Чтобы узнать точнее, берем номер процесса из столбца «ИД процесса» и спрашиваем командную строку:

tasklist /svc /fi "PID eq 1234"

Вместо 1234 подставляем свой номер, и в ответ придет список служб внутри этого процесса. Их названия потом легко найти в оснастке «Службы» (services.msc), там же есть описание, что каждая делает.

В Windows 10 все то же самое: та же команда resmon, те же столбцы и те же названия.

⇡#Кто сколько выкачал: статистика за месяц

Монитор ресурсов показывает, что происходит сейчас. А если хочется знать, кто съел больше всего трафика за месяц? Для этого в Windows есть счетчик. В Windows 11 путь такой: «Настройки» (в свежих сборках так теперь называются «Параметры»), «Сеть и Интернет», «Дополнительные сетевые параметры», «Использование данных». Есть и путь короче, ссылка «Использование данных» стоит прямо вверху раздела «Сеть и Интернет». Программы отсортированы по объему, а сверху можно выбрать период: 30 дней, неделя или сутки.

Сколько данных каждая программа передала за 30 дней

В Windows 10 похожий экран тоже есть: «Параметры», «Сеть и Интернет», пункт «Использование данных».

Цифры здесь грубые, по соединениям они не разложены, но для первой прикидки этого хватает. Если какая-нибудь неприметная программа из автозагрузки накачала больше браузера, сразу понятно, на кого смотреть в первую очередь.

У меня за 30 дней набежало почти 400 Гбайт. Первым идет браузер, 127 Гбайт. А вот вторым оказался клиент «Google Диска», причем двумя процессами, и вместе они дали почти 167 Гбайт, то есть больше браузера. Синхронизация в фоне, о которой обычно и не думаешь.

⇡#Куда ведет адрес

Адреса в «Мониторе ресурсов» цифровые, и по ним ничего не понятно. Имя узла можно узнать обратным запросом в PowerShell:

Resolve-DnsName 140.82.112.4 -Type PTR

Можно и по старинке, через nslookup с адресом. В ответ часто приходит что-то вроде akamaitechnologies.com, cloudfront.net или 1e100.net (так подписаны серверы Google), и вот тут многие попадаются. Akamai, CloudFront и другие сети доставки контента обслуживают тысячи компаний. С одной стороны, адрес честный: файлы действительно лежат там. С другой стороны, он говорит только о том, где лежат файлы, и ничего о том, кто за ними пришел. Так легко «выяснить», что калькулятор шлет данные в Америку, хотя на деле это лента новостей в соседнем окне. Поэтому сначала программа, а уже потом адрес. Если же интересно, чей это блок адресов, владельца сети покажет любой сервис whois, например поиск на сайте RIPE NCC.

Обратный запрос: кому принадлежат адреса

С этой командой у меня тоже не обошлось без VPN. Первые два раза она молча ничего не вернула, ни имени, ни ошибки, и только с третьей попытки, когда я спросил публичный сервер напрямую, ответ пришел: github.com и dns.google. Почему так, я до конца не понял, вероятно, VPN не сразу пропускает такие запросы. Так что если у вас тишина, повторите команду и допишите в конце -Server 1.1.1.1.

Есть и обратный путь, по-моему, даже более полезный. Windows помнит имена, которые недавно запрашивались, и команда

ipconfig /displaydns

выведет этот кеш DNS, то есть список адресов, к которым компьютер обращался в последнее время. В PowerShell то же самое короче и в виде таблицы:

Get-DnsClientCache | Select-Object Entry, Data

Список длинный, но читать его интереснее, чем кажется: видно, что компьютер ходит и туда, куда вы его посылали, и к десяткам служебных адресов, о которых вы не просили. Только учтите, что там же окажутся и все ваши сайты, так что выкладывать этот список куда-нибудь целиком я бы не стал.

⇡#Для тех, кто хочет глубже: командная строка и TCPView

У «Монитора ресурсов» есть минус: он показывает то, что есть сейчас, и короткие соединения проскакивают мимо. Командная строка может обновлять список сама, нужно только запустить ее от имени администратора и ввести:

netstat -abno 5

Список будет обновляться каждые 5 секунд, выход по Ctrl+C. Права администратора нужны из-за ключа -b, который показывает имя программы, без них netstat просто скажет, что операция требует повышения прав. Если поменять -n на -f, вместо адресов будут имена узлов, но работать все будет заметно медленнее.

В PowerShell то же самое удобнее сразу разложить по программам:

Get-NetTCPConnection -State Established | Select-Object RemoteAddress, RemotePort, @{n='Process'; e={(Get-Process -Id $_.OwningProcess).ProcessName}} | Sort-Object Process

А нагляднее всего TCPView из набора Sysinternals, который выпускает сама Microsoft. Ставить его не надо, это один exe-файл. Список обновляется в реальном времени, новые соединения подсвечиваются зеленым, закрытые красным, а правым щелчком соединение можно оборвать или завершить процесс.

TCPView: все соединения и открытые порты одним списком

Внизу окна TCPView подводит итог. У меня в обычной работе вышло 116 записей, из них 25 установленных соединений и 30 открытых на прием портов. Мне кажется, эта строка полезнее всего остального списка, потому что сразу видно масштаб.

Что выбрать? Новичку, на мой взгляд, хватит «Монитора ресурсов». TCPView нужен, когда надо поймать короткое соединение, которое в «Мониторе» мелькнуло и пропало.

⇡#Кто куда ходит

Браузер сразу после запуска проверяет обновления, скачивает списки опасных сайтов, синхронизирует закладки, если вы вошли в учетную запись, и наполняет новую вкладку всякой всячиной. Обновления и проверку сайтов я бы не трогал, это ваша защита. Остальное выключается в настройках: в Edge это «Параметры», раздел «Конфиденциальность, поиск и службы», в Firefox — «Настройки», «Приватность и защита», блок «Сбор и использование данных Firefox». Новости на новой вкладке Edge убираются кнопкой настроек прямо на ней.

Мессенджер, будь то Telegram или любой другой, постоянно держит соединение со своими серверами, иначе сообщения не приходили бы сразу. Собственно, за этим он и нужен, так что выключать тут нечего.

Офисный пакет Microsoft 365 завязан на облако почти во всем: вход в учетную запись, OneDrive, лицензия, совместная работа. У LibreOffice сетевой активности заметно меньше, а проверку обновлений в нем можно выключить: «Сервис», «Параметры», «LibreOffice», «Онлайн-обновление».

Больше всех соединений обычно у самой Windows, точнее у того самого svchost.exe. Рядом с ним обычно видны MsMpEng.exe (облачная защита антивируса), OneDrive.exe, а в Windows 11 еще и мини-приложения с новостями и погодой. Часть этого выключается штатно, без всякого брандмауэра:

• Необязательные диагностические данные. Windows 11: «Настройки», «Конфиденциальность и защита», «Диагностика и отзывы», переключатель «Отправлять необязательные диагностические данные». Windows 10: «Параметры», «Конфиденциальность», «Диагностика и отзывы». Обязательные данные выключить нельзя.
• Мини-приложения с новостями. Windows 11: «Настройки», «Персонализация», «Панель задач», переключатель «Мини-приложения». В Windows 10 похожая лента называется «Новости и интересы» и убирается через контекстное меню панели задач.
• OneDrive, если облако не нужно. Его можно удалить через «Приложения» или хотя бы убрать из автозапуска.

Параметры диагностических данных в Windows 11

У меня, как выяснилось, необязательные данные были выключены и до этого. Проверить все равно стоило, это две минуты.

⇡#Запрещаем в Windows: брандмауэр «Защитника»

Встроенный брандмауэр многие считают бесполезным. Справедливо ли это? Отчасти. По умолчанию он режет только входящие соединения, а исходящие пускает все, то есть он может быть сколько угодно «включен», а программа все равно спокойно ходит в интернет. Но ругать его за это, на мой взгляд, странно, потому что правило на исходящие делается за пару минут.

Главное окно брандмауэра: во всех трех профилях исходящие подключения, не подпадающие ни под одно правило, разрешены

Нажимаем Win+R и вводим wf.msc. Откроется «Монитор брандмауэра Защитника Windows в режиме повышенной безопасности», в Windows 10 он выглядит так же. Слева выбираем «Правила для исходящего подключения», справа — «Создать правило», и дальше по шагам:

• Тип правила — «Для программы».
• Путь к программе — ее exe-файл. Подсмотреть путь проще всего в диспетчере задач: правый щелчок по процессу, «Открыть расположение файла».
• Действие — «Блокировать подключение».
• Профиль — все три галочки оставить.
• Имя — такое, чтобы через полгода было понятно, что это и зачем, например «Блок: название программы».

Про профили скажу пару слов, потому что тут часто путаются. «Доменный» — это сеть организации с доменом, дома он не встречается. «Частный» — домашняя сеть, которой вы доверяете. «Общий» — кафе, вокзал, чужой Wi-Fi. Если оставить галочку только на «Общем», дома программа спокойно выйдет в Сеть, а в кафе нет. Иногда это даже удобно, но для запрета «вообще» нужны все три.

Если кому удобнее одной командой, то же самое делается в PowerShell от имени администратора:

New-NetFirewallRule -DisplayName "Блок: Программа" -Direction Outbound -Program "C:\Program Files\Программа\app.exe" -Action Block

Убрать правило можно там же кнопкой «Удалить» или так:

Remove-NetFirewallRule -DisplayName "Блок: Программа"

Теперь проверка. Перезапускаем программу и смотрим в «Мониторе ресурсов»: ее соединений больше нет, а сама она, скорее всего, пожалуется, что нет связи.

Нужны доказательства посерьезнее? В свойствах брандмауэра, на вкладке нужного профиля, есть кнопка настройки журнала. Включаете запись пропущенных пакетов, и все заблокированные попытки пишутся в файл %SystemRoot%\System32\LogFiles\Firewall\pfirewall.log. Читать его в «Блокноте» неудобно, он длинный и без названий программ, поэтому новые отказы удобнее смотреть вживую командой в PowerShell от имени администратора:

Get-Content "$env:SystemRoot\System32\LogFiles\Firewall\pfirewall.log" -Wait | Select-String DROP

В каждой строке будут время, протокол, адреса и порты. Запустили запрещенную программу, строки побежали, значит, правило работает.

Есть и подвох. Многие программы ходят в Сеть через отдельный процесс обновления или службу, и тогда основной exe-файл запрещен, а соединения идут дальше. Значит, нужно найти в «Мониторе ресурсов», кто их делает, и закрыть его тоже. С приложениями из Microsoft Store своя история: они лежат в защищенной папке WindowsApps, и правило по пути для них неудобно. Зато в свойствах правила есть вкладка «Программы и службы», где можно выбрать пакет приложения.

⇡#simplewall: видеть каждое новое соединение

Делать правило под каждую программу руками надоедает быстро, и simplewall заходит с другой стороны: запрещено все, что не разрешено явно, и про каждую новую программу он спрашивает. Программа бесплатная, с открытым кодом. Работает она на том же механизме фильтрации, что и брандмауэр Windows (Windows Filtering Platform), но правила у них отдельные и друг другу не мешают.

Важную деталь лучше знать заранее. Фильтры simplewall продолжают работать, даже если саму программу закрыть и даже если ее удалить. Поэтому перед удалением обязательно нажмите в главном окне «Отключить фильтры», иначе останетесь с компьютером, который почему-то не ходит в интернет, и без программы, которая это объяснит.

Последняя стабильная версия — 3.8.7. В июле вышла пробная 3.9.1, в ней починили поток уведомлений от svchost.exe и добавили статистику трафика, но, если ставите впервые, берите стабильную.

После установки фильтрация включается кнопкой в главном окне, и по умолчанию блокируется все, что не разрешено явно. Каждая программа, которой нет в списке, при попытке выйти в Сеть получает отказ, а вы получаете уведомление с кнопками «Разрешить» и «Блокировать». Поначалу таких уведомлений будет много, ведь в Сеть ходит куда больше программ, чем кажется. Разрешать можно и временно, до перезагрузки, тогда «на пробу» ничего не закрепится навсегда. А для служб Windows в simplewall есть готовые системные правила, так что разрешать каждую службу вручную не придется.

Есть несколько граблей, о которых лучше знать заранее. Во-первых, на значке Сети в трее может появиться восклицательный знак и надпись, что интернета нет, хотя сайты открываются. Это не поломка: Windows проверяет связь, обращаясь к своему тестовому адресу, а simplewall эту проверку не пустил. Лечится разрешением соответствующего системного правила, в описании simplewall эта проверка называется NCSI. Мелочь, но некоторые программы верят значку и сами отказываются выходить в Сеть.

Во-вторых, обновления Windows. С включенной фильтрацией они могут молча перестать скачиваться, поэтому проверьте, что включено отдельное правило, разрешающее «Центр обновления», оно в simplewall есть для Windows 10 и 11.

И в-третьих, самое неприятное. Не надо блокировать svchost.exe целиком, «чтобы не следил». Через него работают DNS, обновления, синхронизация времени и та самая проверка подключения. Запретите его, и интернет пропадет у всех программ сразу, а Windows перестанет обновляться. Системные службы лучше разрешать по одной или не трогать вовсе.

В simplewall есть и встроенный список блокировки адресов телеметрии Windows. Включать его или нет, решайте сами. Я бы сначала посмотрел, что вообще ходит, а уже потом резал списками.

⇡#Linux: смотрим соединения

В Linux «Монитор ресурсов» заменяет одна команда:

sudo ss -tupn

Ключи означают: TCP и UDP, имена процессов, адреса цифрами без преобразования в имена. Без sudo у системных служб и процессов других пользователей имен не будет. Хочется смотреть только установленные соединения, да еще чтобы список обновлялся сам? Тогда так:

watch -n 2 sudo ss -tupn state established

Почти то же самое показывает lsof:

sudo lsof -i -P -n

Если интересен объем, есть nethogs, который показывает, какая программа сколько качает прямо сейчас. Обычно его нужно поставить (в Ubuntu и Mint это sudo apt install nethogs) и запускать через sudo.

С DNS в Linux даже интереснее, чем в Windows. Во многих современных дистрибутивах, например в Ubuntu, Mint и Fedora, имена разрешает служба systemd-resolved, а у нее начиная с версии 252 есть режим наблюдения:

sudo resolvectl monitor

Запускаете его в отдельном окне, работаете как обычно и видите каждый запрос имени в тот момент, когда он происходит. Открыли браузер, и поехало. Это, пожалуй, самый быстрый способ понять, куда система собирается пойти, еще до того, как она туда пошла. Версию systemd покажет команда systemctl --version, а если resolved в системе не используется, команда просто скажет, что не может подключиться к службе.

Почему не ufw? Его советуют на форумах первым, но для нашей задачи он, по-моему, не подходит. По умолчанию ufw пускает все исходящие соединения, а правила у него про порты и адреса, не про программы, так что запретить Сеть конкретному приложению им не получится. Для этого нужен брандмауэр приложений.

⇡#Linux: OpenSnitch и Little Snitch

OpenSnitch — это, грубо говоря, simplewall для Linux. Он бесплатный, с открытым кодом, и состоит из службы и графической программы. Когда приложение первый раз лезет в Сеть, всплывает окно: пустить или нет, навсегда или на время, целиком или только к этому адресу. Актуальные ветки — 1.7 и 1.8.

Ставится он двумя пакетами: служба opensnitch и графическая часть python3-opensnitch-ui. Свежие пакеты лежат на странице выпусков проекта на GitHub. Скачиваете оба файла для своей архитектуры (для обычного компьютера это amd64) и в папке с ними выполняете:

sudo apt install ./opensnitch*.deb ./python3-opensnitch-ui*.deb

sudo systemctl enable --now opensnitch

opensnitch-ui

Первая команда ставит пакеты, вторая запускает службу и включает ее автозапуск, третья открывает окно программы, которое потом можно найти и в меню приложений.

Грабли здесь те же, что у simplewall. Поначалу вопросов будет много. Не запрещайте службу разрешения имен (в Ubuntu это systemd-resolved) и менеджер пакетов, иначе отвалятся интернет и обновления. Если на вопрос не ответить, через несколько секунд сработает действие по умолчанию, и его лучше выбрать в настройках заранее, а не узнать потом.

Теперь Little Snitch. Для Linux он вышел в апреле этого года, и для нашей темы это, пожалуй, главная новость. Раньше он был только для macOS и стоил денег, а версия для Linux бесплатная. Работает она на eBPF, а интерфейс открывается в браузере по адресу http://localhost:3031/. Там видна история соединений и сколько данных ушло, а заблокировать соединение можно одним щелчком, правилом или готовым списком блокировки. Часть, которая работает в ядре, и веб-интерфейс открыты под GPLv2, а сама служба закрытая, хотя тоже бесплатная. Насколько это важно, каждый решает сам.

Подвох в требованиях: нужно ядро 6.12 или новее, с поддержкой BTF. Версию ядра покажет uname -r, а поддержка BTF есть, если существует папка /sys/kernel/btf. В Ubuntu 24.04 с исходным ядром 6.8 он не запустится, понадобится ядро новее из обновлений. А вот в Ubuntu 26.04, вышедшей весной с ядром 7.0, проблем нет.

Ставится он одним пакетом с сайта разработчика (obdev.at). Для Ubuntu и Mint это deb-файл, на момент написания версии 1.1.0:

sudo apt install ./littlesnitch_1.1.0_amd64.deb

После установки интерфейс открывается командой littlesnitch или просто адресом в браузере. И еще одно ограничение, о котором разработчик пишет сам: при большом трафике таблицы eBPF переполняются, и понять, какой программе принадлежит пакет, удается не всегда.

Что выбрать? Если хотите, чтобы система спрашивала про каждую программу, — OpenSnitch. Если хотите спокойно посмотреть историю за день и закрыть пару адресов — Little Snitch, при условии, что ядро подходит.

⇡#Когда стоит насторожиться

Почти все, что вы увидите, окажется скучным: обновления, синхронизация, проверка лицензии. Беда в том, что за этим шумом легко не услышать то, что правда стоит внимания, поэтому пару признаков я бы запомнил.

Первый — программе нечего делать в Сети, а она туда ходит. Просмотрщик картинок, архиватор, драйвер мышки с «фирменной утилитой». Это еще не вирус, скорее всего, это реклама или сбор статистики, но повод заглянуть в ее настройки или закрыть ее правилом.

Второй — путь к exe-файлу. Программы обычно лежат в Program Files или в папке Windows. Если процесс с соединениями в диспетчере задач по «Открыть расположение файла» ведет в папку Temp или куда-нибудь в глубину AppData с непонятным именем, вот тут уже стоит проверить файл антивирусом. Сама по себе папка AppData ничего не значит, там живут, например, Telegram и Discord, но незнакомый файл оттуда, который сам выходит в Сеть, — повод разобраться.

Третий — соединение без имени. Обратный запрос ничего не вернул, в кеше DNS имени нет, порт необычный, не 443 и не 80. Само по себе это тоже ничего не доказывает, так работают, например, торрент-клиенты и игры. Но если ни торрентов, ни игр у вас нет, а такое соединение висит постоянно, я бы выяснил, чье оно.

⇡#Чего не трогать

Допустим, брандмауэр приложений уже в руках, и в первый же вечер хочется закрыть вообще все. Что будет? Скорее всего, пропадет Сеть, перестанут приходить обновления, и через неделю придется гадать, какое из двадцати правил виновато. Поэтому вот что лучше оставить в покое:

• Обновления: Windows Update, обновления браузера, менеджер пакетов в Linux. Это закрытые дыры, и запретить их опаснее, чем любая телеметрия.
• Синхронизацию времени. Windows по умолчанию сверяет часы с time.windows.com по NTP (UDP, порт 123). Уедут часы, и сайты начнут ругаться на сертификаты.
• DNS, без которого не работает ничего. В Windows это служба внутри svchost.exe, в Ubuntu — systemd-resolved.
• Проверку сертификатов. Программы сверяются со списками отозванных сертификатов, и, если это закрыть, сайты будут открываться медленно, а некоторые программы вообще откажутся подключаться.
• Проверку подключения. Windows время от времени обращается к www.msftconnecttest.com, и, если это закрыть, в трее появится «Нет подключения к Интернету» при живом интернете, а часть программ этому значку поверит.

Отдельно про файл hosts. Наверное, меня спросят: «А зачем все это, если можно вписать адреса телеметрии Microsoft в hosts? Это же проще». Проще, если бы не одно но: работает такой способ плохо. С 2020 года «Защитник Windows» считает такие записи угрозой и предлагает их удалить, а программы, которые ходят по IP-адресам или через DNS поверх HTTPS, этот файл вообще не читают. Брандмауэр или настройки самой программы надежнее. И, если хотите, честнее, потому что видно, что именно закрыто и зачем.

⇡#Если что-то сломалось

Рано или поздно какое-то правило окажется лишним: пропадет интернет, перестанет обновляться система или программа начнет жаловаться на связь. Порядок действий здесь от простого к радикальному.

В Windows сначала вспоминаем, что меняли последним, и выключаем именно это. Правило в wf.msc необязательно удалять, достаточно отключить его правым щелчком, тогда его легко вернуть. Если стоит simplewall, жмем «Отключить фильтры» и проверяем, вернулся ли интернет. Вернулся — значит, виновник в правилах simplewall, ищем его там. Не вернулся — смотрим брандмауэр.

Если правил наделано много и разбираться не хочется, справа в окне wf.msc есть пункт «Восстановить политику по умолчанию». То же самое делает команда от имени администратора:

netsh advfirewall reset

Она возвращает брандмауэр к заводскому состоянию. Но учтите, что при этом пропадут все ваши правила, а заодно и разрешения, которые программы создали себе при установке. Так что это последний шаг, а не первый.

В Linux с OpenSnitch все похоже. Сначала отключаем последнее правило в его окне, а если не помогло, останавливаем службу:

sudo systemctl stop opensnitch

Если после этого все заработало, дело в правилах OpenSnitch: включаем службу обратно и ищем, кто лишний.

Шпаргалка

Задача	Windows 11 и 10	Linux
Посмотреть соединения	«Монитор ресурсов» (resmon), TCPView, netstat	ss, lsof, nethogs
Узнать, куда обращались	Кеш DNS: ipconfig /displaydns	resolvectl monitor
Кто сколько скачал за месяц	«Использование данных» в настройках	nethogs (только сейчас)
Запретить одной программе	Брандмауэр «Защитника» (wf.msc)	OpenSnitch, Little Snitch
Видеть каждую новую программу	simplewall	OpenSnitch
Выключить телеметрию	Настройки Windows и самих программ	Настройки программ
Все вернуть	«Отключить фильтры», netsh advfirewall reset	Остановить службу opensnitch

Если есть 15 минут:

• Пять минут посмотреть в «Мониторе ресурсов», кто выходит в сеть в простое.
• Выключить необязательные диагностические данные и лишнее в настройках браузера и программ.
• Сделать правило в брандмауэре для одной-двух программ, которым интернет не нужен.
• Проверить в «Мониторе ресурсов», что их соединения пропали.
• Системные службы, обновления, DNS и время не трогать.

⇡#Выводы

Итак, кто и куда? Чаще всего по делу. Соединение еще не слежка, и это видно, стоит только посмотреть, хотя кое-что лишнее, мне кажется, найдется почти у всех. У меня, например, больше браузера за месяц накачала фоновая синхронизация облака.

Порядок я бы советовал такой: сначала посмотреть в «Мониторе ресурсов» или ss, потом выключить лишнее в настройках самих программ и только потом браться за брандмауэр. В Windows для начала хватит штатного брандмауэра и одного-двух правил для программ, которым в интернете делать нечего, а simplewall — для тех, кто готов первое время отвечать на уведомления. В Linux — OpenSnitch, а Little Snitch, если подходит ядро.

Если Вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.