Windows 防火墙规则完整指南

Windows 防火墙是系统安全的第一道防线，但默认规则往往不够精细。本指南将带你从零掌握 Windows 防火墙的规则配置——从基础概念到高级场景，覆盖入站出站规则、程序放行与端口封锁，以及常见问题排查。读完你能够独立制定一套贴合自身网络环境的安全策略。

开始前确认的环境条件

在执行防火墙规则配置之前，建议先确认当前 PC 的状态。下方检查项能减少因环境不一致导致的失败：

下一步：安全中心警告处理、安全中心警告处理操作步骤

• Windows 版本与版本号：按下 Win + R 输入 winver，确认系统是 Windows 10（版本 22H2 及以上）或 Windows 11（当前稳定版）。防火墙管理控制台在高版本中入口统一，但旧版（如 Windows 10 21H2 以下）可能缺少部分高级安全选项。
• 账户权限：防火墙规则的新增与修改需要管理员权限。使用标准管理员账户登录，普通用户账户在尝试保存规则时会弹出 UAC 确认框，若点击后无反应，先退出再以管理员身份重新打开管理控制台。
• 网络环境认知：明确当前网络类型（域、专用、公用）和各规则的作用范围。在同一台移动办公设备上，公用网络通常需要更严格的入站规则。
• 备份当前规则：在批量修改前，建议通过命令行导出全部规则。具体操作：以管理员身份打开 PowerShell，执行 netsh advfirewall export "C:\backup\fwpolicy.wfw"。如需恢复，使用 netsh advfirewall import 命令。

防火墙规则基础概念

Windows 防火墙基于以下四个核心维度来判断流量放行或阻止：

| 维度 | 说明 | 示例 | |------|------|------| | 方向 | 入站（外来连接请求）或出站（本机发起的连接） | 入站规则控制他人能否连到你；出站规则控制本机程序能否访问外网 | | 动作 | 允许或阻止 | 允许特定端口入站，阻止某个程序联网 | | 协议 | TCP、UDP、ICMP 等 | 用于区分网页流量（TCP 80/443）和网络诊断流量（ICMP） | | 配置文件 | 域、专用、公用 | 根据不同网络环境应用不同规则集 |

每个规则都可以指定作用范围——可以是所有 IP 地址，也可以限定特定远程 IP 或本地 IP。这对需要严格访问控制的企业环境尤其关键。

实操流程操作步骤

以下以四个典型场景为例，展示 Windows 防火墙规则从创建到验证的完整流程。每一步都包含准备、操作、验证和回退说明。

任务一：开放特定 TCP 端口（以允许远程桌面为例）

适用场景：需要从局域网其他设备远程管理本机，或临时开放端口以便调试服务。

按 Win + R 输入 wf.msc，回车。如果提示权限不足，右键选择"以管理员身份运行"。 备用路径：控制面板 > 系统和安全 > Windows Defender 防火墙 > 高级设置。 常见错误：直接在"设置"中搜索"防火墙"然后点开的是基础界面，没有规则新建入口。务必使用 wf.msc 命令进入高级安全控制台。

• 打开高级安全控制台

在左侧导航树中选中"入站规则"，然后在右侧操作面板中点击"新建规则"。

• 新建入站规则

在向导中选择"端口"，下一步。

• 选择规则类型

选择"TCP"，然后在"特定本地端口"中输入 3389（远程桌面默认端口）。如果想开放多个端口，用逗号分隔，如 3389, 3390。

• 指定协议和端口

选择"允许连接"。如需更安全的方式，可选择"只允许安全连接"（需要 IPsec 策略配合）。

• 选择操作

根据需求勾选：专用网络适用家庭或办公内网，公用网络适用于咖啡馆或公共场所。远程桌面通常只需在专用网络中启用。

• 指定配置文件

输入一个可辨识的名称，如"允许远程桌面 - TCP 3389"，并可添加描述便于后期管理。点击"完成"。

• 命名规则

在另一台同网络设备上，使用远程桌面客户端（mstsc）尝试连接本机 IP。如果连接成功，规则生效。 命令行验证：在本机上以管理员身份运行 netstat -ano | findstr :3389，查看该端口是否处于 LISTENING 状态。

• 验证

在"入站规则"列表中找到刚创建的规则，右键选择"禁用"或"删除"。禁用后远程桌面连接应立即中断。

• 回退

任务二：阻止某个程序联网（出站规则）

适用场景：禁止特定应用程序访问互联网（如禁用内置应用更新、阻止已知间谍软件联网）。

右键该程序的桌面快捷方式，选择"打开文件所在位置"，复制完整的安装路径（如 C:\Program Files\ExampleApp\example.exe）。 注意：部分程序会在后台有多个子进程，需确认主程序的确切文件名和位置。

• 确认程序路径

在高级安全控制台中选择"出站规则"，然后点击"新建规则"。

• 新建出站规则

在向导中选择"程序"，然后在"此程序路径"中输入第一步复制的完整路径。如果程序路径中包含空格，必须使用引号包裹。

• 选择程序

选择"阻止连接"。

• 选择操作

全选三个配置文件（域、专用、公用），确保所有网络环境下该程序都无法联网。

• 指定配置文件

输入如"阻止 ExampleApp 联网"。点击"完成"。

• 命名规则

启动该程序，尝试其联网功能（如检查更新、加载在线内容）。如果提示无网络连接或超时，则出站规则生效。 命令行验证：在程序运行期间，使用 netstat -ano 查看该程序进程是否建立了外部 TCP 连接。如果没有任何 ESTABLISHED 状态的外连，说明规则已拦截。

• 验证

在出站规则列表中找到该规则，禁用或删除。程序在网络受限期间产生的错误提示可能需要重启程序才能消失。

• 回退

任务三：创建自定义 ICMP 规则（允许 Ping 响应）

适用场景：默认情况下 Windows 允许本机响应外部 Ping 请求，但部分安全策略或系统优化工具可能将其禁用。需要手动放行 ICMP 回显请求。

进入高级安全控制台，选择"入站规则"，点击"新建规则"。

• 新建入站规则

在规则类型中选择"自定义"，下一步。

• 选择自定义

选择"所有程序"，这样 Ping 响应不受具体程序限制。下一步。

• 指定程序

在"协议类型"下拉列表中选择"ICMPv4"。点击"自定义"按钮，在"ICMP 设置"中勾选"回显请求"，确定后回到向导。 注意：如果只需响应来自内网的 Ping，可在"作用域"中限定本地 IP 地址范围。

• 配置协议和端口

选择"允许连接"。

• 选择操作

根据实际需求勾选。如果在家庭内网需启用，建议仅针对专用网络。

• 指定配置文件

输入如"允许 ICMPv4 回显请求（Ping 响应）"。

• 命名规则

从同网络的其他设备执行 ping <本机IP>。如果返回正常的 TTL 和延迟数据，规则生效。 命令行自检：在本机上运行 netsh advfirewall firewall show rule name="允许 ICMPv4 回显请求（Ping 响应）"，确认规则状态为 Enabled。

• 验证

禁用该规则，其他设备将再次收到"请求超时"的 Ping 结果。

• 回退

任务四：按时间条件限制访问（高级场景）

适用场景：限制子账号或特定程序在非工作时间无法访问互联网（如儿童电脑、办公电脑的娱乐软件）。

Windows 防火墙高级安全控制台本身不支持按时间段启用/禁用规则。需要配合任务计划程序或 PowerShell 脚本实现定时切换。

• 了解限制条件

在桌面新建文本文件，输入以下命令，然后保存为 fw_toggle.ps1：

• 创建计划任务的 PS1 脚本

在另一时间重新启用（此示例通过计划任务参数控制时间点） ```

更实用的方式是在任务计划程序中创建两个任务——一个在 22:00 执行启用规则脚本，一个在 08:00 执行禁用规则脚本。

按 Win + R 输入 taskschd.msc，创建基本任务。触发器设置为每日特定时间，操作为启动程序 powershell.exe，参数为 -ExecutionPolicy Bypass -File "C:\path\to\fw_toggle.ps1"。

• 在任务计划程序中创建触发器

等待预定的时间点到来，检查目标程序的联网状态是否与计划一致。也可以手动运行一次该任务进行即时测试。

• 验证

删除对应的计划任务，同时在防火墙控制台中恢复相关规则的启用状态。

• 回退

验证操作是否成功

• 对于端口放行任务：在外部设备上使用 telnet <本机IP> <端口号> 或 Test-NetConnection <本机IP> -Port <端口号> 检查端口连通性。
• 对于程序放行/阻止任务：直接操作对应程序，观察其联网状态是否与你设定的规则一致（允许则正常联网，阻止则提示网络错误）。
• 对于 Ping 响应任务：使用 ping 命令检查响应情况。
• 重启测试：部分规则修改后防火墙服务不会立即刷新缓存。建议执行 gpupdate /force 或重启防火墙服务（net stop mpssvc && net start mpssvc）。如果仍不生效，直接重启系统。
• 规则优先级检查：若一条规则放行某程序、另一条规则阻止同一程序，Windows 会按"更具体的规则优先"原则处理。具体优先级从高到低：针对特定程序的规则 > 针对端口和协议的规则 > 默认规则。可通过控制台右侧的"属性"检查规则的"操作"和"作用域"是否有相互冲突。

常见错误与处理

| 错误场景 | 可能原因 | 解决方法 | |----------|----------|----------| | 新建规则后程序仍然被阻止 | 规则未应用到正确的配置文件；或存在更高优先级的阻止规则 | 检查规则的应用配置文件是否匹配当前网络类型；在日志中查看是否有其他规则先匹配 | | 删除规则后端口仍未开放 | 防火墙服务未及时刷新；或其他安全软件也管理了防火墙规则 | 重启防火墙服务或重启系统；检查第三方安全软件的防火墙模块 | | 规则列表中找不到刚创建的规则 | 错误选择了规则类型（如将出站规则创建到入站规则列表中） | 确认当前查看的是"入站规则"还是"出站规则"列表；使用右上角的筛选功能 | | PowerShell 脚本运行时提示权限不足 | 执行策略限制脚本运行 | 以管理员身份运行 PowerShell，先执行 Set-ExecutionPolicy RemoteSigned -Scope CurrentUser | | 远程桌面连接无法建立 | 防火墙阻止了 3389 端口；目标设备未启用远程桌面；或路由器拒绝了端口转发 | 在高级安全控制台中确认入站规则存在且启用；检查系统设置中的远程桌面开关 |

进阶建议与最佳实践

对于关键服务，不要仅靠端口放行。同时设置针对该服务程序的出站规则，防止恶意程序利用开放端口发起外连。

• 按端口和程序双重控制

在规则名称前加上前缀（如"业务系统_"或个人_"），并按功能分类（如远程访问_、更新_、打印_）。后期管理和排查更高效。

• 合理利用规则分组

在高级安全控制台中右键"属性"，选择"防火墙属性" > "记录"选项卡，将"记录被丢弃的数据包"和"记录成功的连接"都设为"是"。日志文件路径通常为 %windir%\system32\LogFiles\Firewall\pfirewall.log，定期检查可发现异常连接尝试。

• 启用日志记录

入站规则遵循"默认拒绝"原则——只放行必要的服务。出站规则可酌情放行所有流量，但针对已知恶意或非必要程序单独配置阻止规则。

• 严格限制入站、细粒度控制出站

每季度检查一次现有规则，删除不再使用的临时规则和长期处于禁用状态的规则。规则数量过多会降低防火墙处理效率，也增加配置冲突风险。

• 定期审核规则列表

小结与延伸阅读

Windows 防火墙规则配置的核心逻辑并不复杂：确认环境状态 → 在高级安全控制台中新建对应方向、协议和范围的规则 → 验证生效 → 做好回退准备。关键在于理解入站与出站的区别、规则优先级的判定逻辑，以及各个配置文件与当前网络类型的匹配关系。

配置过程中，如果遇到规则不生效或操作受阻的问题，优先检查账户权限和当前网络类型。在批量修改或尝试不熟悉的高级功能时，务必提前导出规则备份（netsh advfirewall export）并创建系统还原点。

相关阅读

• 参见我们的 Windows 系统设置教程 深入了解其他系统管理项
• 阅读 Windows 防火墙日志解读与异常检测 掌握利用日志进行安全审计的方法
• 了解 组策略中的 Windows 防火墙集中管理 适合企业网络管理员批量部署规则

Windows 防火墙规则 FAQ

问：新建的规则为什么没有立即生效？

答：通常有四种情况：① 规则应用配置文件与当前网络类型不匹配（如在专用网络中设置了仅应用于域的规则）；② 规则位置被更高优先级的阻止规则覆盖（检查其他规则的优先级）；③ 防火墙服务需要刷新，尝试执行 gpupdate /force 或重启 mpssvc 服务；④ 第三方安全软件接管了 Windows 防火墙的管理权（将其暂时禁用即可排查）。

问：如何知道当前正在使用的是哪个网络配置文件？

答：打开"设置 > 网络和 Internet > Wi-Fi（或以太网）"，点击当前连接的网络名称，查看"网络配置文件类型"。如果是"专用网络"，则防火墙规则中只勾选"专用"配置文件的规则才会生效。

问：规则数量过多会影响性能吗？

答：会。防火墙需要在每次网络连接建立时逐条匹配规则，数千条规则会明显增加延迟。建议保持规则数量在百条以内，定期清理新建测试规则和已删除程序的残留规则。可以使用 Get-NetFirewallRule | Measure-Object 命令查看当前规则总数。

问：能否把 Windows 防火墙规则配置导出并在另一台电脑上使用？

答：可以。使用 netsh advfirewall export "C:\backup\fwpolicy.wfw" 导出，在目标电脑上用 netsh advfirewall import 导入。注意：不同版本的 Windows 之间可能存在不完全兼容的情况，导入后需逐条检查规则状态，尤其注意程序路径和版本差异。

问：开放的端口如何确认只有受信任的 IP 能访问？

答：在端口规则的"作用域"中可以限定远程 IP 地址范围。选择"这些远程 IP 地址"，然后添加允许的 IP 地址段（如单个 IP / CIDR 网段）。未在范围内的 IP 尝试连接该端口时，系统会自动丢弃请求。

继续阅读

• 适合搭配参考 Windows 更新备份完整指南。
• 需要时再对照 Windows 隐私设置实战案例。
• 可以继续看 Windows 账户权限实战案例。