Windows防火墙配置详解

Windows防火墙配置详解（含实战命令与工具用法）

防火墙是Windows系统安全的第一道防线，它通过规则控制网络流量的进出，保护系统免受未授权访问。本文将详细介绍Windows防火墙的核心概念、命令行配置工具netsh advfirewall的使用方法，以及辅助诊断工具（psping、nslookup）的实战技巧，附带完整操作示例，帮助读者快速掌握防火墙管理技能。

一、防火墙基础概念

1. 防火墙分类与规则方向

防火墙按形态可分为软件防火墙（如Windows自带防火墙、WAF）和硬件防火墙（如企业级独立设备）；按防护范围可分为主机类防火墙（防护单台主机）和网络类防火墙（防护整个网络出口）。两者可配合使用，形成多层防护。

防火墙规则按数据流向分为：

• 入站规则（Inbound）：控制外部网络到本机的流量（“允许别人访问我”），例如允许外部访问本机的80端口（HTTP服务）。
• 出站规则（Outbound）：控制本机到外部网络的流量（“允许我访问别人”），例如允许本机访问DNS服务器的53端口。

二、命令行配置工具：netsh advfirewall

Windows防火墙的图形化界面操作简单，但命令行工具netsh advfirewall更适合高效配置、批量部署和自动化脚本，尤其在远程管理场景中不可或缺。

1. 工具核心优势

• 高效配置：减少鼠标操作，通过命令快速完成规则增删改查。
• 脚本化支持：可编写批处理脚本，实现多台服务器防火墙规则的统一部署。
• 场景适应性强：在图形界面不可用（如远程命令行、系统故障）时仍能正常操作。

2. 核心命令：netsh advfirewall firewall

（1）基础命令结构及动作

netsh advfirewall firewall 是管理防火墙规则的核心命令，规则的基本语法为：

netsh advfirewall firewall [add|delete|set|show] inboundrule [参数]

• 动作：add（添加）、delete（删除）、set（修改）、show（查看）。
• 核心参数：用于定义规则的条件（如端口、程序、协议等）。

该命令用于管理防火墙的入站/出站规则，支持新增、删除、修改、查看等操作，具体功能如下：

子命令	功能说明	实战示例
Add	新增规则（允许/阻止特定端口、协议）	netsh advfirewall firewall add rule name=ettest dir=in action=allow protocol=tcp localport=3389 （新增名为ettest的规则，允许TCP 3389端口入站，用于远程桌面）
Delete	删除指定名称的规则	netsh advfirewall firewall delete rule name=ettest （删除名为ettest的规则）
Set	修改现有规则属性（如端口、协议）	netsh advfirewall firewall set rule=ettest new localport=33890 （将ettest规则的端口从3389修改为33890）
Show	查看规则详情（单个或所有规则）	netsh advfirewall firewall show rule name=ettest （查看ettest规则的详细配置） netsh advfirewall firewall show rule name=all > c:\1.txt （将所有规则导出到C盘1.txt文件，方便批量查看）

⚠️注意事项

1. 权限要求：必须以 管理员身份 运行命令提示符（CMD/PowerShell），否则会提示权限不足。
2. 规则冲突：若多条规则匹配同一流量，阻止规则优先级高于允许规则。
3. 网络配置文件：默认规则适用于所有网络（profile=any），建议根据场景限制（如仅私有网络）。
4. 备份与恢复：修改前可导出防火墙配置备份：

   netsh advfirewall export "C:\firewall-backup.wfw"
   

   恢复时使用：

   netsh advfirewall import "C:\firewall-backup.wfw"
   

（2）高级参数说明

参数	作用	示例值
enable	启用/禁用规则（默认启用）	enable=yes 或 enable=no
profile	适用的网络配置文件（多选项用逗号分隔）	profile=domain,private（域、私有网络）
remoteip	允许/阻止的远程IP	10.0.0.0/8 或 any（全部）
localip	本地IP（默认 any）	192.168.1.1
edge	是否允许边缘 traversal（如NAT穿越）	edge=yes

3. 规则查询示例

执行netsh advfirewall firewall show rule name=all可查看所有规则，以下是部分输出（以eNSP相关规则为例）：

C:\Users\L>netsh advfirewall firewall show rule name=all规则名称:                             eNSP
----------------------------------------------------------------------
已启用:                               是
方向:                                 入
配置文件:                             公用
分组:
本地 IP:                              任何
远程 IP:                              任何
协议:                                 UDP
本地端口:     　                      任何
远程端口: 　     　                   任何
边缘遍历:                             遵从用户
操作:                                 允许规则名称:                             eNSP
----------------------------------------------------------------------
已启用:                               是
方向:                                 入
配置文件:                             公用
分组:
本地 IP:                              任何
远程 IP:                              任何
协议:                                 TCP
本地端口:     　                      任何
远程端口: 　     　                   任何
边缘遍历:                             遵从用户
操作:                                 允许

若查询指定规则（如eNSP），执行netsh advfirewall firewall show rule name="eNSP"，输出将仅包含该规则的TCP和UDP配置详情。

netsh advfirewall 是 Windows 系统中用于配置高级防火墙的命令行工具，功能强大且灵活。以下是使用该工具配置入站规则的详细指南，包括常用命令、参数说明及示例。

4、常用规则配置示例

1. 添加入站规则（允许特定端口）

允许来自外部的 TCP 流量通过 3389 端口（远程桌面默认端口）：

netsh advfirewall firewall add inboundrule name="允许远程桌面(TCP-3389)" dir=in action=allow protocol=TCP localport=3389

• 参数说明：
  • name：规则名称（自定义，需唯一）。
  • dir=in：指定为入站规则（out 为出站）。
  • action=allow：匹配时允许连接（block 为阻止）。
  • protocol：协议类型（TCP/UDP/ICMPv4 等）。
  • localport：本地端口（可指定范围，如 1000-2000）。

2. 添加入站规则（允许特定程序）

允许 C:\Program Files\MyApp\app.exe 接收入站连接：

netsh advfirewall firewall add inboundrule name="允许MyApp程序" dir=in action=allow program="C:\Program Files\MyApp\app.exe"

• 关键参数：program 直接指定程序路径，无需配置端口。

3. 添加入站规则（限制特定IP）

仅允许来自 192.168.1.100 的 IP 访问 80 端口（HTTP）：

netsh advfirewall firewall add inboundrule name="允许特定IP访问HTTP" dir=in action=allow protocol=TCP localport=80 remoteip=192.168.1.100

• remoteip 支持格式：
  • 单个IP：192.168.1.100
  • IP范围：192.168.1.1-192.168.1.10
  • 子网：192.168.1.0/24
  • 全部：any（默认）

4. 添加入站规则（阻止特定协议）

阻止所有入站的 ICMP 协议（即禁止ping）：

netsh advfirewall firewall add inboundrule name="阻止ICMP(ping)" dir=in action=block protocol=ICMPv4

5. 删除入站规则

删除名称为“允许远程桌面(TCP-3389)”的规则：

netsh advfirewall firewall delete inboundrule name="允许远程桌面(TCP-3389)"

6. 修改入站规则（修改端口或动作）

将已存在的“允许HTTP”规则端口从 80 修改为 8080：

netsh advfirewall firewall set inboundrule name="允许HTTP" new localport=8080

• 若需将规则从“允许”改为“阻止”：

  netsh advfirewall firewall set inboundrule name="允许HTTP" new action=block
  

7. 查看入站规则

• 查看所有入站规则：

  netsh advfirewall firewall show inboundrule
  

• 按名称筛选规则：

  netsh advfirewall firewall show inboundrule name="允许远程桌面(TCP-3389)"
  

三、辅助诊断工具

配置防火墙后，需验证规则是否生效，psping和nslookup是两款实用的诊断工具。

1. psping：网络连通性与端口测试工具

psping是微软Sysinternals套件中的工具，功能远超传统ping，支持ICMP、TCP、UDP端口的连通性测试，适合验证防火墙端口规则是否生效。

工具特点

• 需手动下载：从微软官网获取，解压后放入系统路径（如C:\Windows\System32）即可直接使用。
• 支持端口测试：不仅能测试主机连通性，还能直接检测特定端口是否开放。

实战用法示例

命令	功能说明
psping -t 192.168.1.1	持续通过ICMP协议测试192.168.1.1的连通性（类似ping -t，但输出更详细）
psping -t baidu.com:80	持续测试百度80端口（TCP）是否可达，验证防火墙是否允许该端口出站
psping -t -u 114.114.114.114:53	持续测试DNS服务器114.114.114.114的53端口（UDP），验证UDP规则是否生效

2. nslookup：DNS解析诊断工具

nslookup是系统自带的DNS查询工具，用于查询域名与IP的对应关系，辅助排查因DNS解析问题导致的网络不通（需结合防火墙规则判断是否为端口阻塞）。

核心功能

• 正向解析：查询域名对应的IP地址（IPv4/IPv6）。
• 反向解析：通过IP地址查询对应的域名。
• 指定DNS服务器查询：验证不同DNS服务器的解析结果是否一致。

实战用法示例

命令	功能说明
nslookup baidu.com	正向解析：查询百度域名对应的IP地址，输出类似： 服务器: public1.114dns.com Address: 114.114.114.114 非权威应答: 名称: baidu.com Addresses: 180.101.50.242 180.101.50.188
nslookup -type=A google.com	指定查询A记录（IPv4地址），获取谷歌的IPv4地址
nslookup baidu.com 8.8.8.8	指定谷歌DNS服务器（8.8.8.8）解析百度域名，对比不同DNS的解析结果
nslookup 114.114.114.114	反向解析：查询114.114.114.114对应的域名，输出： 名称: public1.114dns.com Address: 114.114.114.114

四、总结

Windows防火墙通过netsh advfirewall命令行工具可实现高效配置，本文中的ettest规则示例展示了从新增到修改、删除的完整流程；psping和nslookup则是验证规则有效性的利器，帮助快速定位网络问题。

实际应用中，建议遵循“最小权限原则”：仅开放必要的端口和服务，默认拒绝其他流量，同时定期备份和更新规则，确保系统安全性与业务可用性。