windows filtering platform как отключить
Два контролера домена под w2k8r2 соединены медленным каналом связи (один в филиале).
На обоих валятся события 5157
«Платформа фильтрации IP-пакетов Windows заблокировала подключение.
Сведения о приложении:
Идентификатор процесса: 344
Имя приложения: \device\harddiskvolume2\windows\system32\svchost.exe»
Приложения и порты разные. Блокируются как входящие, так и исходящие соединения, но в основном между этими контролерами.
WFP реально блокирует пакеты и соединения. Из-за этого нарушается работа репликации между этими контролерами, удаленное подключение с одного на другой, заход на шару другого.
Причем на это не влияет состояние файрвола (его и отключали и разрешали все). То, что найдено на в инете или не отностися к R2 (например это http://support.microsoft.com/kb/969257) или не помогает (например это http://support.microsoft.com/kb/981889)
Все ответы
IPSec не трогали, все по умолчанию, политику не настраивали.
IPv6 отвязан от сетевой карты, в hosts адрес ::1 закомментирован. Но это сделано после того, как были обнаружены проблемы с WFP.
Пошагово выполните следующую инструкцию (именно в том порядке, как указано, не пропуская пунктов):
1. Enable (if you need to) and start the Firewall Service (This gives you access to the Firewall MMC and inbound/outbound rules)
2. Ensure that all the domain/private and public profile are turned off.
5. Disable (or set back to manual) and stop the Firewall Service.
И отпишитесь о результате
Мнения, высказанные здесь, являются отражением моих личных взглядов, а не позиции корпорации Microsoft. Вся информация предоставляется «как есть» без каких-либо гарантий 
Сделали по шагам на обоих серверах. Проблема осталась без изменений.
Кстати, бликировки происходят даже с отключенной Базовой службе фильтрации, а не только файрвола!
Может быть можно как-то деинсталлировать WFP? (речь о w2k8r2 идет)
Мнения, высказанные здесь, являются отражением моих личных взглядов, а не позиции корпорации Microsoft. Вся информация предоставляется «как есть» без каких-либо гарантий
В журнале событий безопасности перестали появляться какие либо сообщения,
в оснасте локальной политики безопасности все, в том числе Доступ к объестам в состоянии «нет аудита»,
результат auditpol для категории Доступ к объектам:
C:\Users\soap>auditpol /get /category:
System audit policy
Category/Subcategory Setting
Доступ к объектам
Файловая система No Auditing
Реестр No Auditing
Объект-задание No Auditing
SAM No Auditing
Службы сертификации No Auditing
Создано приложением No Auditing
Работа с дескриптором No Auditing
Файловый ресурс общего доступа No Auditing
Отбрасывание пакета платформой фильтрацииNo Auditing
Подключение платформы фильтрации No Auditing
Другие события доступа к объекту No Auditing
Сведения об общем файловом ресурсе No Auditing
Избавляемся от DNS Leak в Windows 10 — свой userspace WFP-фильтр в виде OpenVPN-плагина
Как вы уже можете знать, резолвер DNS в Windows 10 отправляет DNS-запросы на все интерфейсы параллельно, что часто бывает либо просто неудобно, когда используется так называемый Split Tunneling и DNS внутри VPN-туннеля отдает внутренние адреса для внутренних ресурсов, а Windows не может понять, что к чему, либо и вовсе создает угрозу безопасности, как в случае утечки DNS через публичный Wi-Fi.
Решить проблему можно разными способами, например, временно добавив правила firewall для блокировки 53 порта на всех интерфейсах, кроме интерфейса VPN, либо установить на всех интерфейсах, кроме VPN, DNS в 127.0.0.1.
Однако, эти способы вносят изменения, выдерживающие перезагрузку, поэтому, если во время работы VPN у вас случайно отключили электричество или VPN-демон просто упал, вы останетесь с неработающим интернетом. Ничего хорошего в этом нет.
Однако есть способ лучше, который вносит только временные изменения и не оставит пользователя без интернета.
Windows Filtering Platform
Начиная с Windows Vista, на замену устаревшим технологиям обработки трафика вроде NDIS, TDI и LSP приходит WFP — современная, легкая и удобная технология, которая работает как в режиме ядра, так и в пользовательском режиме. Современные версии Брандмауэра Windows как раз используют WFP, как и все сторонние файрволлы и антивирусы с возможностью проверки трафика.
WFP-фильтр может добавлять постоянные фильтры, которые выживают после перезагрузки, даже если ПО, установившее их, не было больше запущено, временные фильтры, которые сохраняются после завершения программы, но не после перезагрузки, и сессионные, которые действуют только тогда, когда программа, создавшая их, все еще исполняется.
Теперь можно не бояться использовать VPN на Windows 10 через публичный Wi-Fi.
5159(F): платформа Windows фильтрации заблокировала привязку к локальному порту.
Описание события:
Это событие регистрируется, если платформа Windows фильтрации заблокировала привязку к локальному порту.
XML события:
Необходимые роли сервера: нет.
Минимальная версия ОС: Windows Server 2008, Windows Vista.
Версии события: 0.
Описания полей:
Сведения о приложениях:
Process ID [Type = Pointer]: hexadecimal Process ID процесса, который был разрешен привязать к локальному порту. ИД процесса (PID) — это число, которое операционная система использует для идентификации активного процесса уникальным образом. Узнать значение PID для определенного процесса можно, например, в диспетчере задач (вкладка «Подробности», столбец «ИД процесса»):
Если преобразовать шестнадцатеричное значение в десятичное, можно сравнить его со значениями в диспетчере задач.
Кроме того, можно сопоставить этот ИД процесса с ИД процесса в других событиях, например в событии «4688: создан процесс» Информация о процессе\ ИД нового процесса.
Имя приложения [Type = UnicodeString]: полный путь и имя исполняемого для процесса.
Логический диск отображается в формате \device\harddiskvolume#. Вы можете получить все локальные номера тома с помощью утилиты diskpart. Командой для получения номеров тома с помощью diskpart является «том списка»:
Сведения о сети:
Исходный адрес [Type = UnicodeString]: локальный IP-адрес компьютера, на который работает приложение.
:: — все IP-адреса в формате IPv6
0.0.0.0 — все IP-адреса в формате IPv4
Исходный порт [Type = UnicodeString]: номер порта, используемый приложением.
Протокол [Type = UInt32]: используемый номер протокола.
Сведения о фильтре:
Фильтр Run-Time [Type = UInt64]: уникальный фильтр, который блокирует привязку приложения к порту. По умолчанию Windows брандмауэра не будет препятствовать привязке порта приложением, и если это приложение не соответствует фильтрам, в этом поле вы получите значение 0.
Чтобы найти определенный фильтр Windows платформы по ID, запустите следующую команду: фильтры впп-шоу netsh. В результате этой команды будет filters.xml файл. Откройте этот файл и найдите определенное подстройку с требуемой фильтрацией** **например:
Имя слоя [Тип = UnicodeString]: имя слоя принудения уровня приложений.
сведения о платформе фильтрации Windows
Windows платформа фильтрации (WFP) — это платформа обработки сетевого трафика, предназначенная для замены интерфейсов фильтрации сетевого трафика Windows XP и Windows Server 2003. WFP состоит из набора обработчиков в сетевом стеке и механизма фильтрации, который координирует взаимодействие сетевого стека.
Компоненты платформы WFP
Обработчик фильтров
основная инфраструктура многоуровневого фильтрации, размещенная как в режиме ядра, так и в пользовательском режиме, которая заменяет несколько модулей фильтрации в сетевой подсистеме Windows XP и Windows Server 2003.
Модуль базовой фильтрации (BFE)
служба, управляющая работой платформы фильтрации Windows. Она выполняет следующие задачи.
Оболочек совместимости
Компоненты режима ядра, расположенные между сетевым стеком и обработчиком фильтров. Оболочки делают принятие решений по фильтрации, классифицируются по механизму фильтрации. Ниже приведен список доступных оболочек совместимости.
Выноски
Набор функций, предоставляемых драйвером и используемый для специальной фильтрации. Помимо основных действий «разрешить» и «блокировать», выноски могут изменять и защищать входящий и исходящий сетевой трафик. дополнительные сведения о выносках см. в разделе » драйверы вызываемой платформы Windows фильтрации » в документации по набору драйверов Windows (WDK). WFP предоставляет встроенные выноски, которые выполняют следующие задачи.
Механизм фильтрации позволяет внешним вызовам регистрироваться на каждом из уровней ядра.
Прикладной программный интерфейс
Набор типов данных и функций, доступных разработчикам для создания приложений фильтрации сети и управления ими. Эти типы данных и функции группируются в несколько наборов API.
Аудит отбрасывания пакетов платформой фильтрации
Отфильтровка пакетов платформы аудита определяет, генерирует ли операционная система события аудита при сбросе пакетов платформой Windows фильтрации.
Windows Платформа фильтрации (WFP) позволяет независимым поставщикам программного обеспечения (ISVs) фильтровать и изменять пакеты TCP/IP, отслеживать или авторизовать подключения, фильтровать трафик, защищенный протоколом Интернета (IPsec) и фильтровать удаленные вызовы процедур (RPCs).
Высокая скорость сброса пакетов может указывать на то, что в сети предпринимались попытки получить несанкционированный доступ к компьютерам.
Disable “Filtering Platform Connection” (Event ID 5156, 5158) Security Logging
When you open the Security Event log, the log may contain many “Filtering Platform Connection” events. The event ID of these entries maybe 5156 or 5158 . The security log may record close to 100 events per minute, containing the event ID 5156 or 5158 . This causes the security event log to become full very quickly.
Sample Event ID 5156 entry
Sample Event ID 5158 entry
The security event log getting bombarded with 100 events per minute is never a good thing. Not only it’s an unnecessary disk I/O operation, but it also FIFOs out other vital security log data.
Cause
Windows Filtering Platform (WFP) is a set of API and system services that provide a platform for creating network filtering applications. Windows Firewall is based on WFP.
On a standard Windows installation, the Success/Failure entries for “Filtering Platform Connection” aren’t audited/logged. However, third-party software may have enabled auditing for this category. If auditing is enabled, Windows Filtering Platform generates the events 5156 and 5158 when it has allowed a connection. Event ID 5157 is written when WFP has blocked a connection.
For more information on WFP auditing, see this Microsoft article.
This article tells you how to prevent a spate of “Filtering Platform Connection” events from being written to the Security event Log every minute.
Solution
To stop Windows Filtering Platform from (“Filtering Platform Connection”) from logging Success and Failure events ( 5156 , 5157 , and 5158 ) in the Security event log, follow these steps:
Disable “Filtering Platform Connection” Success Audit
Type the following command and press Enter :
That’s it. The Security event log should no longer get bombarded with events 5156 , 5157 , or 5158 from now on.
You should see the following output:
The above output means auditing is disabled (for both “Success” and “Failure” WFP events) and nothing will be logged. This is what we wanted.
The security event log will have recorded the following event after the audit policy change:
“Filtering Platform Connection” Audit enables automatically?
On some systems, the WFP auditing may get re-enabled automatically in a few minutes. If you run the above “ auditpol /get . ” command-line, you may see that audit of “ Success and Failure ” entries have been switched on automatically (perhaps by some third-party security software installed on the computer.)
Malwarebytes “Brute Force Protection” setting
If you’re using Malwarebytes Premium and have enabled the Brute Force Protection option in the Security tab, turn the setting off.
If this setting is turned on, it enables WFP “Success and Failure” auditing automatically. Even if you disable auditing manually using auditpol.exe , Malwarebytes re-enables WFP auditing every 4-5 minutes.
Editor’s note: If you need the “Brute Force Protection” turned on and yet want to disable the WFP event logging, you may contact Malwarebytes support to see if a workaround is available.
Once done, re-run the following command from the admin Command Prompt:
This disables the excessive logging of the Windows Filtering Platform (“Filtering Connection Platform”) “Success” and “Failure” events (Event ID 5156, 5157, and 5158).
Alternatively, for diagnostic purposes, you can opt to log only the “Failure” entries using the auditpol.exe command. The “Failure” entries would be significantly less in number when compared to “Success” entries.
As of this blog post, Malwarebyte’s current version is 4.5.11.202 — Update package version is 1.0.57424 — Component package version is 1.0.1716 .
SOLVED: How to Disable Event 5156: Windows Filtering Platform has permitted a connection
If you are like me, your 125MB Windows Server 2008 R2 logs are jammed with “Event 5156: Windows Filtering Platform has permitted a connection”:
Event 5156: Windows Filtering Platform has permitted a connection
I could not figure out how to disable this because in LOCAL SECURITY POLICY it was greyed out, which I know means it is controlled by a Group Policy:
I was working on the DEFAULT DOMAIN POLICY which was not correcting the problem. The solution was to change the DEFAULT DOMAIN CONTROLLER POLICY > POLICIES > WINDOWS SETTINGS > SECURITY SETTINGS > AUDIT POLICY > AUDIT OBJECT ACCESS settings:
Fix Windows Filtering Platform Has Blocked A Packet
The error arises when certain packets or connections are blocked by the Base Filtering Engine. Though the problem may seem intricate to most users, its solutions are rather simple and have been listed out in the following sections. For those encountering the error in Windows 11, it’s likely that the upgrade didn’t go through successfully and there’s some kind of misrecognition in Windows Firewall. But, before we head to the fixes, it’s imperative that you understand the role of the Windows Filtering Platform and its main features.
How does the Windows Filtering Platform help developers?#
Windows Filtering Platform, a set of system services and API (Application Programming Interface) allows developers to create network filtering applications. It was first introduced in Windows Vista and has been a part of the Windows ecosystem ever since. It can also be used to build independent firewalls, antivirus, amongst other network-related applications. With this, an application can access and modify packets while these are being processed. The three main features of the Windows Filtering Platform are as follows:
Base Filter Engine Generic Filter Engine Callout Modules
Now that you are fairly acquainted with the concept, let’s head to the most effective fixes for the Windows Filtering Platform has blocked a connection problem in Windows 11.
How can I fix the Windows Filtering Platform has blocked a connection error in Windows 11?#
1. Disable the Firewall#
After making the changes, restart the system and check if the Windows Filtering Platform has blocked a connection problem is eliminated in Windows 11. If not, head to the fix listed next.
2. Run DISM tool#
3. Perform a quick SFC scan#
The SFC (System File Checker) scan is used to identify corrupt system files, and if any are found, replace them with their cached copy stored on the system. So, if it’s the corrupt system files that are causing the Windows Filtering Platform has blocked a connection problem in Windows 11, running the SFC scan should fix it. After executing the command, wait for the scan to complete, then restart the computer and check if the problem is eliminated. If the issue still persists, you can try Restoro that has more advanced features.
4. Restart Windows Security Center#
Once done, again restart the computer and check if the Windows Filtering Platform has blocked a connection problem is fixed in Windows 11.
5. Disable your antivirus#
Oftentimes, the antivirus is known to conflict with the network settings and lead to a bunch of errors. This the generally the case with third-party antiviruses but the built-in Windows Security is also sometimes found to be the culprit. SPONSORED Hence if the above fixes haven’t worked, you can try disabling the antivirus and check if the Windows Filtering Platform has blocked a connection problem is eliminated in Windows 11. In case the error persists, uninstall the third-party antivirus app and verify if that changes the situation. Also, check out our curated list of the best antivirus software for Windows 11.
6. Create a new local account#
In many cases, it was a corruption in the user account that led to the Windows Filtering Platform has blocked a connection problem. If that’s the case, and the above methods have fixed it, you can create a new local account on your Windows 11 PC. While there is a lot of debate around whether you should go for a Microsoft account or a Local one, the latter should be a better choice here since it’s not linked to any servers and can be used independently on the device. Once you have created a new local account, the error should not be present in the Event Viewer anymore.
Which is better, Windows 11 or Windows 10?#
With Windows 11 finally launched, most have been nothing but excited to get their hands on the latest iteration. But, a lot of users have been skeptical of the upgrade owing to various factors. The primary reason is that they are accustomed to Windows 10 and it will take some time to get familiar with the new OS. But, that’s not a good enough reason since Windows 11 offers both a slightly better user interface along with a bunch of other features and security enhancements, meant to improve your experience. If you too are confused between the two, go through our guide where we compare Windows 11 and Windows 10. That’s all there is to the Windows Filtering Platform has blocked a connection problem in Windows 11 along with the most relevant fixes for it. In case the methods listed above do not eliminate the Windows Filtering Platform has blocked a packet error, you can either perform a system restore or reset Windows 11 to its factory settings. Tell us which fix worked and your thoughts on the whole Windows 11 vs Windows 10 debate in the comments section below.
SPONSORED Name * Email * Commenting as . Not you? Save information for future comments
Comment