用 Windows 防火墙按配置文件放行或阻断入站、出站流量

适用场景

本机端口在 localhost 正常但其他机器连不上、需要临时开放程序或端口、撤销过期规则时使用。不要在服务器上直接关闭防火墙来“验证网络”：远程操作时先放行 RDP 或管理端口，再启用防火墙，否则会把自己锁在机器外。

前置条件

• 管理员权限；修改规则需要提升的命令行或 wf.msc。
• 明确程序或端口、协议、方向、作用域和配置文件（域/专用/公用）。
• 先 netsh advfirewall export 备份当前策略，服务器和多规则机器尤其重要。
• 确认没有第三方防火墙/EDR 同时接管规则，避免两边冲突。

操作步骤

1. 图形界面

Win+R 输入 wf.msc，在“入站规则/出站规则”右侧“新建规则”，选程序或端口，设置允许/阻止、配置文件、作用域，规则名带业务和日期便于回收。

2. 查看当前策略

C:\> netsh advfirewall show allprofiles
C:\> netsh advfirewall firewall show rule name=all dir=in

3. 放行、删除和备份

C:\> netsh advfirewall firewall add rule name="MyApp TCP 8443" dir=in action=allow protocol=TCP localport=8443 profile=domain,private remoteip=192.168.1.0/24
C:\> netsh advfirewall firewall delete rule name="MyApp TCP 8443"
C:\> netsh advfirewall export C:\backup\fw.wfw
C:\> netsh advfirewall import C:\backup\fw.wfw

影响范围：规则立即生效；profile=public 会把端口暴露在不可信网络。只开必要端口，优先用 remoteip 限制来源，并记录申请人和到期时间。

4. PowerShell 对照

PS C:\> Get-NetFirewallRule -DisplayName "MyApp*" | Format-Table DisplayName,Enabled,Direction,Action
PS C:\> New-NetFirewallRule -DisplayName "MyApp TCP 8443" -Direction Inbound -Protocol TCP -LocalPort 8443 -Action Allow -Profile Domain,Private
PS C:\> Remove-NetFirewallRule -DisplayName "MyApp TCP 8443"

netsh advfirewall set allprofiles state off 会关闭全部防火墙，只应在隔离测试环境短时使用。

验证

• netsh advfirewall firewall show rule name="MyApp TCP 8443" 显示 Enabled: Yes。
• netstat -ano | findstr :8443 确认进程监听，再从另一台机器用 Test-NetConnection 或 telnet 测试。
• 安全日志筛选 5152（阻止入站）和 5157（阻止出站），确认没有残留拦截。

回滚与风险

• 删除误加规则用同名 delete rule；删除前先 show rule 记录完整参数。
• 批量改动前 netsh advfirewall export，回滚用 import 覆盖；导入会替换当前策略。
• 放行 3389/445/5985 或关闭防火墙会扩大攻击面；公网机器用 VPN、堡垒机或固定来源 IP。
• 阻止规则优先于允许规则；同名规则可能存在于不同配置文件，删除前按方向筛选。

相关命令

• netsh — 防火墙、接口和网络配置
• netstat — 确认端口监听和连接
• telnet — 从客户端测试端口
• ipconfig — 确认网卡、网关和 DNS
• iptables — Linux 包过滤对照
• network-troubleshooting-cheatsheet — 分层排查网络

参考链接

• Microsoft Learn: netsh advfirewall
• Microsoft Learn: New-NetFirewallRule

读完自测

合上页面，先回答，再展开对照。

1. 放行端口时 profile 选错会有什么后果？
2. 批量修改防火墙前怎样备份和回滚？
3. 为什么不能靠“关掉防火墙能连上”结束排障？