netsh

按上下文查询和修改 IP、DNS、防火墙与 WLAN 配置。

补充说明

netsh 是上下文式网络配置工具：netsh interface ipv4 管地址和 DNS，netsh advfirewall 管防火墙，netsh wlan 管无线配置，netsh interface portproxy 做 TCP 端口转发。进入上下文后可用 show 查询、set/add/delete 修改；多数修改需要管理员权限。

边界：它是传统工具，输出是本地化文本，不适合脚本解析；PowerShell 的 Get-NetIPConfiguration、New-NetFirewallRule、Get-NetFirewallRule 等更结构化。netsh advfirewall 与旧的 netsh firewall 不是一回事，后者已不推荐。netsh interface ip reset 和 netsh winsock reset 属于破坏性修复，会重置网络栈并要求重启。

Windows 10/11 都保留 netsh，但不同版本支持的上下文和参数有差异；netsh wlan 依赖 WLAN AutoConfig 服务，portproxy 依赖 IP Helper 服务。修改前先用 show 记录现状；修改后用同样的 show 验证，不要只看命令有没有报错。

涉及 netsh advfirewall 的修改时，必须先确认远程管理通道，避免把自己锁在外面：确认 RDP/SSH/WinRM 已有放行规则、当前有控制台或带外管理、并先执行 netsh advfirewall export 备份策略。影响范围可能覆盖所有配置文件；回滚用 netsh advfirewall import 导入备份，或删除刚加的规则。不要远程执行 netsh advfirewall set allprofiles state off。

常用示例

# 1. 查看指定网卡的地址、网关和 DNS，先记录现状
C:\> netsh interface ipv4 show config name="Ethernet"

# 2. 列出接口名称和索引，确认要改哪块网卡
C:\> netsh interface ipv4 show interfaces

# 3. 受控修改：设静态地址和首选 DNS；回滚见下一条
C:\> netsh interface ipv4 set address name="Ethernet" static 192.168.1.10 255.255.255.0 192.168.1.1
C:\> netsh interface ipv4 set dnsservers name="Ethernet" static 1.1.1.1 primary

# 4. 回滚到 DHCP 地址和自动 DNS
C:\> netsh interface ipv4 set address name="Ethernet" source=dhcp
C:\> netsh interface ipv4 set dnsservers name="Ethernet" source=dhcp

# 5. 查看防火墙三个配置文件状态，并导出策略备份
C:\> netsh advfirewall show allprofiles
C:\> netsh advfirewall export "C:\backup\firewall.wfw"

# 6. 放行 SSH 入站，仅限专用网络；修改前先确认远程管理通道，避免把自己锁在外面
C:\> netsh advfirewall firewall add rule name="Allow SSH 22" dir=in action=allow protocol=TCP localport=22 profile=private

# 7. 本机 8080 转发到内网 80，查询规则并确认 IP Helper 已运行
C:\> netsh interface portproxy add v4tov4 listenaddress=127.0.0.1 listenport=8080 connectaddress=192.168.1.20 connectport=80
C:\> netsh interface portproxy show v4tov4
C:\> sc query iphlpsvc

# 8. 查看已保存的 Wi-Fi 配置；key=clear 会显示明文密码，注意终端记录
C:\> netsh wlan show profile name="MyWiFi" key=clear

易错点与排错

• 防火墙修改最怕把自己锁在外面：开启阻止策略或关闭防火墙前，先确认远程管理通道（RDP/SSH/WinRM 规则、控制台、带外管理），导出 .wfw 备份；回滚用 netsh advfirewall import "C:\backup\firewall.wfw" 或删除新规则。影响范围可能是全部配置文件。
• netsh int ip reset 会重写 TCP/IP 注册表设置，可能清掉静态地址、路由和自定义参数，并要求重启；netsh winsock reset 会重置 Winsock 目录，可能影响第三方网络过滤驱动。两者都要先建还原点或导出配置，重启后重新检查网络。
• 网卡名称写错会报“没有与指定名称匹配的接口”；先用 show interfaces 看确切名称，名称含空格时保留引号，别把 Idx 当名称。
• portproxy 只转发 TCP，不是通用反向代理，也不是安全边界；监听 0.0.0.0 前要先加防火墙限制。它依赖 IP Helper（iphlpsvc），服务未运行或规则未生效时连接会失败。
• netsh wlan show profile ... key=clear 会输出 Wi-Fi 明文密码，需要管理员权限；不要把输出贴到工单或聊天里，排查完清理终端记录。
• netsh advfirewall firewall 与旧命令 netsh firewall 的语法和规则模型不同；在 Windows 10/11 上统一用 advfirewall，不要混用旧文档。
• netsh 的返回码和输出不一定能可靠表示成功，尤其是本地化环境；修改后必须用 show 命令复核实际状态。
• 在 PowerShell 里调用 netsh 时，= 和引号的解析规则与 CMD 不同，容易把参数拆错；本页示例在 CMD 中执行，跨 shell 时先小步验证。

相关命令

• ip — Linux 下地址、链路和路由的统一管理
• route — 路由表查看与修改
• ss — 验证监听端口和转发是否生效
• curl — 从客户端验证放行或转发后的服务

参考链接

• Microsoft Learn: netsh
• Microsoft Learn: netsh advfirewall
• Microsoft Learn: netsh interface portproxy

读完自测

合上页面，先回答，再展开对照。

1. 修改 netsh advfirewall 前必须做哪三件事来避免把自己锁在外面？
2. netsh interface ip reset 和 netsh winsock reset 各有什么影响？为什么都要先备份？
3. portproxy 为什么不是安全边界？它还依赖哪个服务？