Файрвол (брандмауэр) фильтрует сетевые соединения: проверяет IP-адреса, порты, протоколы и состояние сессии. Антивирус работает с файлами и процессами: ищет сигнатуры известных вредоносных программ, эвристические совпадения и опасное поведение. Это два разных уровня защиты, сетевой и хостовый, и заменить один другим не получится.
Ответ на главный вопрос статьи: ставить нужно оба. Файрвол отсекает нежелательные подключения снаружи, антивирус ловит вредоносный код, который уже оказался на машине и пытается выполниться. Отключение любого из инструментов открывает отдельный класс атак, который вторым не закрывается.
Оба компонента бывают встроенными и сторонними. В Windows это брандмауэр Windows и Защитник Windows (Windows Defender), в Linux - nftables или iptables плюс антивирус для файловых серверов и шлюзов. Сторонние продукты добавляют DPI, поведенческие блокировщики и централизованное управление правилами.
Ключевое отличие: файрвол контролирует сеть, антивирус сканирует файлы
Как работает файрвол: фильтрация трафика и правила
Файрвол стоит между сетевым интерфейсом и приложениями и решает, каким соединениям жить. Правило описывает направление, источник, получателя, порт и протокол. Пример набора: разрешить входящий TCP 443 только с адресов балансировщика, запретить весь остальной входящий трафик, разрешить исходящий UDP 53 на внутренний DNS-сервер.
Stateful-файрвол ведёт таблицу соединений и пропускает ответные пакеты для уже открытых сессий, а пакеты без запроса отбрасывает. По определению NIST, stateful inspection перехватывает пакеты на сетевом уровне и проверяет их на соответствие существующим правилам, но, в отличие от простой пакетной фильтрации, отслеживает каждое соединение в таблице состояний. Такие файрволы можно описать как пакетные фильтры, дополненные учётом данных модели OSI на уровне 4. Отсюда базовое поведение: входящие соединения из интернета не проходят, пока администратор не добавит явное правило. Наглядная иллюстрация - в Radmin VPN для соединения компьютеров за NAT и файрволами применяется технология NAT traversal: без неё внешний узел не может открыть прямое подключение к устройству за фильтром.
Содержимое файлов файрвол не читает. Файл с трояном спокойно пройдёт через разрешённый порт 443: трафик зашифрован, а проверка полезной нагрузки требует отдельного модуля расшифровки и анализа. Разницу между типами фильтрации и классами устройств разбирает материал про файрвол и брандмауэр.
Как работает антивирус: сигнатуры, эвристика, поведенческий анализ
Антивирус проверяет файлы на диске, вложения в почте, содержимое загрузок и объекты в памяти. Сигнатурный анализ сравнивает фрагменты кода или контрольные суммы с базой известных образцов. Эвристика ищет структуры, похожие на вредоносные, но ещё не добавленные в базу. Поведенческий модуль следит за действиями программ: массовое шифрование файлов, правка ключей автозапуска, внедрение в чужие процессы.
Сетью антивирус не управляет. Он может пропускать трафик через свой фильтр или перехватывать сетевые вызовы, и побочным эффектом становится блокировка сторонних приложений, включая VPN-клиенты. Обратное правило тоже работает: VPN защищает канал передачи данных, но не сканирует файлы, поэтому не заменяет антивирус.
Почему одного инструмента недостаточно: примеры атак
Три типовых сценария показывают, где заканчивается зона ответственности каждого инструмента.
Сканирование портов и подбор пароля. Сканер перебирает диапазон адресов и портов, находит открытый SSH или RDP и начинает перебор учётных данных. По данным MITRE ATT&CK, перебор паролей (brute force, T1110) может применяться на разных этапах вторжения, в том числе как часть первоначального доступа, и сочетаться с другими техниками, такими как Port Scan и Network Sniffing; известны случаи перебора паролей против VPN-инфраструктуры организаций и пограничных устройств вроде VPN или файрволов. Файрвол здесь единственная преграда: он закрывает порт для внешних адресов или ограничивает список источников. Антивирусу ловить нечего, вредоносного файла на этом этапе ещё нет. Системы анализа сетевого трафика дополнительно замечают такие атаки по большому числу неуспешных попыток аутентификации в протоколах LDAP, Kerberos, SMB, SSH, SMTP, POP3, IMAP, FTP и в популярных веб-сервисах.
Троян в скачанном файле. Пользователь открывает архив или документ, внутри срабатывает загрузчик. Файрвол пропускает трафик по разрешённому порту 443 и внутрь не смотрит. Антивирус поднимает тревогу по сигнатуре или поведению и удаляет объект до запуска полезной нагрузки.
Связь заражённой программы с сервером управления. Вредоносный процесс пытается установить исходящее соединение с внешним адресом. Антивирус может остановить процесс по поведению, файрвол - заблокировать исходящий трафик на неизвестный IP и порт. Срабатывает тот механизм, который настроен строже.
| Вектор | Что закрывает файрвол | Что закрывает антивирус |
|---|---|---|
| Перебор пароля к SSH или RDP | Закрывает порт или ограничивает список источников | Не участвует: вредоносного кода ещё нет |
| Троян в загруженном файле | Пропускает: содержимое не проверяет | Находит и удаляет объект по сигнатуре или поведению |
| Обращение заражённого процесса к серверу управления | Блокирует исходящее соединение по IP и порту | Останавливает процесс по поведению |
| Фишинговое вложение в письме | Видит только почтовую сессию | Сканирует вложение до открытия |
Наборы атак пересекаются частично, полного дублирования нет. Комплексная защита строится по принципу эшелонированной обороны, где каждый слой закрывает свой вектор.
Нужно ли ставить оба: рекомендации для DevOps и сисадминов
Ставьте оба, и на рабочих станциях, и на серверах. В Windows оба компонента уже в системе, но их работа не гарантирует, что нужные сервисы не окажутся заблокированными. Пример: ошибка Cisco VPN Service Not Available возникает, когда брандмауэр или антивирус блокируют сетевые операции клиента Cisco AnyConnect Secure Mobility Client, включая встроенный брандмауэр Windows, Защитник Windows, Касперский и ESET.
Чек-лист для быстрой проверки:
- Убедитесь, что включены оба компонента: брандмауэр и антивирус. В Linux это nftables или iptables вместе с антивирусом для файловых серверов и шлюзов, например ClamAV.
- Опишите входящие правила явно: разрешите только рабочие порты и адреса, остальное отбросьте.
- Ограничьте исходящий трафик серверов: DNS, NTP, обновления и конкретные API, всё прочее в лог или блок.
- Добавьте доверенные приложения в исключения файрвола и антивируса, чтобы служебный трафик не рвался.
- Обновляйте базы антивируса и правила файрвола по расписанию.
- Проверяйте результат сканированием портов и чтением логов, а не на глаз: диагностика правил и тестирование портов разбирает команды nmap, telnet, nc и порядок обработки правил.
Как избежать конфликтов между файрволом, антивирусом и VPN
Конфликты почти всегда выглядят одинаково: VPN-клиент не поднимает туннель или падает с ошибкой сервиса. Причин две. Первая - фильтрация сетевых операций самим защитным ПО. Вторая - конкуренция с другими программами. Ошибка Unable to establish the VPN connection может возникать из-за других VPN-клиентов, антивирусов, файрволов и утилит для обхода блокировок вроде GoodbyeDPI.
Что сделать по шагам:
- Внесите исполняемые файлы VPN-клиента в исключения файрвола и антивируса.
- Разрешите порты и протоколы туннеля: для IPsec это UDP 500 (IKE, согласование и управление ключами) и UDP 4500 (NAT-T, инкапсуляция пакетов для прохождения через NAT), а также протокол esp. В типовой конфигурации файрвола для установления IPsec VPN разрешаются именно протокол esp и UDP-порты 500 и 4500.
- Проверьте NAT traversal и проброс, если клиент находится за NAT.
- Для диагностики временно отключите защитный модуль, проверьте подключение и сразу верните его обратно.
- После настройки просмотрите логи файрвола и антивируса: отброшенные пакеты укажут на пропущенное правило.
Протоколы туннелей и типовые сбои подключения разбирает руководство по VPN для DevOps и сисадминов.
Заменяет ли VPN файрвол или антивирус
Нет. Шифрованный туннель защищает канал передачи данных между двумя точками. Сканирования файлов в нём нет, управления соединениями на хосте тоже. Файрвол внутри туннеля продолжает фильтровать трафик, а антивирус продолжает проверять файлы. Рабочая схема - VPN плюс файрвол плюс антивирус, каждый на своём уровне.
Что будет, если отключить один из инструментов
Отключение файрвола делает доступными все слушающие сервисы. Сканирование портов находит их быстро, дальше начинается эксплуатация уязвимостей версии или перебор паролей. В домашней сети эффект мягче, но сервер с публичным адресом без фильтрации трафика получает попытки подключений постоянно. Для наглядности: без ограничений Radmin VPN и подобные решения устанавливают прямые соединения без всяких препятствий, и точно так же открывается доступ для посторонних.
Отключение антивируса даёт вредоносному коду выполниться: троян получает точку опоры, прописывается в автозапуск и разворачивает полезную нагрузку, включая шифровальщики, которые бьют по сетевым хранилищам. Файрвол такие действия внутри разрешённого трафика не остановит. Это общий принцип работы хостовой защиты, а не измеренная статистика: точных цифр по доле атак на сетевые хранилища при выключенном антивирусе в проверенных источниках нет.
Оба сценария снижают уровень защиты. Отключение модулей ради удобства или из-за конфликта оставляет открытым конкретный вектор, и выясняется это обычно после инцидента.
Итог: файрвол и антивирус дополняют друг друга
Файрвол управляет сетевыми соединениями по адресам, портам и протоколам, антивирус ищет вредоносный код в файлах и процессах. Первый закрывает сетевые атаки, второй - заражение. Для полноценной защиты нужны оба: сравнение бесплатных файрволов для Windows поможет выбрать решение. Что касается встроенных средств Windows, антивирусная составляющая Защитника Windows выглядит достаточно сильной: в тестах AV-TEST для Windows 11 за сентябрь-октябрь 2025 года Microsoft Defender набирает максимальные оценки по защите, производительности и удобству, а в динамическом тестировании AV-Comparatives (февраль-май 2025) большинство продуктов, включая Microsoft Defender, показали уровень защиты выше 99%. Defender предустановлен, включается сам при отсутствии стороннего антивируса, обновляется через Windows Update и интегрирован с другими компонентами безопасности Windows. Для аккуратного пользователя с актуальной Windows 10/11 и включёнными обновлениями этого часто достаточно. Отдельного подтверждения, что именно встроенного брандмауэра Windows хватает в любых сценариях, в проверенных источниках нет: его достаточность зависит от того, какие сервисы слушают порты и как настроены правила.
Проверьте прямо сейчас три вещи: оба компонента включены, для VPN-клиента и служебных сервисов заданы исключения, правила фильтрации протестированы сканированием портов. Эти три шага занимают меньше часа и закрывают большинство типовых проблем, о которых пишут в трекетах.