Windows Server, AD и Роли

Блокировка сайтов на рабочих ПК: брандмауэр и веб-фильтрация

Обновлено: 27.08.2026 · Официальная документация ↗

Зачем бизнесу ограничивать доступ в интернет?

Неконтролируемый доступ сотрудников к развлекательным сайтам, социальным сетям, торрентам и онлайн-казино приводит к двум главным проблемам: резкому падению продуктивности персонала и высокой опасности заражения компьютеров троянами и фишинговыми вирусами. Существует несколько способов закрыть доступ к нежелательным ресурсам: от простых локальных до централизованных корпоративных.

Сравнение методов блокировки сайтов:

Метод блокировки	Сложность настройки	Степень надежности
`Правка файла hosts`	Очень просто	Низкая (легко обходится, трудно масштабировать на 50 ПК).
`Корпоративный DNS (Яндекс.DNS / AdGuard)`	Просто	Высокая (блокирует вредоносные и взрослые сайты централизованно).
`Политики браузеров через AD GPO`	Средняя	Максимальная для рабочих браузеров (Chrome, Edge).

3 простых способа ограничения сайтов на рабочих ПК

Способ 1. Блокировка опасных сайтов через корпоративный безопасный DNS (Быстро для всей сети)

В настройках DHCP-сервера или роутера укажите DNS-серверы с бесплатной фильтрацией угроз (например, Яндекс.DNS «Семейный» или «Безопасный»):

Основной DNS: 77.88.8.88 (Безопасный режим - защита от вирусов и фишинга)
Дополнительный DNS: 77.88.8.2

Способ 2. Блокировка конкретного сайта через файл hosts (Для 1-2 компьютеров)

Откройте Блокнот от имени Администратора.
Откройте файл по пути: C:\Windows\System32\drivers\etc\hosts.
В самый конец файла добавьте строчки, перенаправляющие нежелательный сайт на несуществующий локальный адрес:

127.0.0.1   vk.com
127.0.0.1   www.vk.com
127.0.0.1   tiktok.com

Сохраните файл (Ctrl+S).

Способ 3. Централизованная блокировка через Брандмауэр Windows (PowerShell)

Чтобы заблокировать определенный внешний IP-диапазон на компьютере через брандмауэр:

New-NetFirewallRule -DisplayName "Block_Bad_IP" -Direction Outbound `
-Action Block -RemoteAddress "198.51.100.0/24"

Совет: Современные сайты работают по протоколу HTTPS (шифрование), поэтому блокировать их по IP-адресам через обычный фаервол неэффективно (у одного сайта могут быть тысячи меняющихся IP). Самый надежный метод контроля — фильтрация на уровне DNS или шлюза безопасности (UTM-контроллер / pfSense / MikroTik).

💡 Практика специалистов: Для офисов до 50 ПК лучшим решением является включение контент-фильтрации на уровне офисного роутера (MikroTik / Keenetic / Cloudflare Gateway). Это избавляет от необходимости настраивать каждый компьютер сотрудника вручную.

Частые вопросы (FAQ)

Может ли сотрудник обойти блокировку через режим Инкогнито?

Нет. Режим Инкогнито лишь не сохраняет историю в браузере, но сетевые запросы продолжают идти через тот же DNS и фаервол.

Как запретить установку сторонних VPN-расширений в браузер?

Через административные шаблоны GPO для Google Chrome и Microsoft Edge включите политику «ExtensionInstallBlocklist = *», запретив установку любых неавторизованных плагинов.

Почему после изменения файла hosts сайт все равно открывается?

Браузер сохранил IP-адрес в своем внутреннем кэше. Очистите DNS-кэш Windows командой в терминале: ipconfig /flushdns и перезапустите браузер.

Что такое белый список (Whitelisting)?

Это режим максимальной безопасности, когда сотруднику запрещен весь интернет, кроме 3-5 строго разрешенных рабочих сайтов (например, сайт банка, портал Госуслуг и 1С).