Windows防火墙高级安全规则的核心不只是允许或阻止程序连接网络，而是在操作系统网络栈的过滤层上按协议、端口、作用域和配置文件进行精细匹配。很多管理员在创建基础规则后仍然遇到连接失败，问题往往出在配置文件不匹配或作用域范围设置错误。本文将结合图形界面、PowerShell和netsh三种方式，完整演示高级安全规则的创建过程。
一、通过图形界面创建高级安全规则
高级安全规则的管理入口是WFAS控制台，其可执行文件位于C:\Windows\System32\wf.msc。可以通过Win+R输入wf.msc直接打开，也可以在控制面板中进入Windows Defender防火墙后点击高级设置。该控制台左侧分为入站规则、出站规则、连接安全规则和监视四个节点。入站规则控制外部主机向本机发起的连接，出站规则控制本机主动发出的连接。默认策略为入站全部阻止，出站全部允许，因此如果需要对外提供Web服务、远程桌面或文件共享，必须创建对应的入站允许规则。
以允许远程桌面仅来自内网网段为例，右键点击入站规则，选择新建规则。规则类型选择端口，下一步协议选择TCP，本地端口输入3389。远程桌面服务默认监听TCP 3389，如果修改过注册表端口，需要填写实际端口。作用域页面是本规则的关键，在远程IP地址处选择下列IP地址并添加192.168.1.0/24，意味着只有该子网内的设备可以连接。如果还需要限制来源，可以在本地IP地址处指定本机监听地址。操作页面选择允许连接，配置文件建议只勾选域或专用网络，不要勾选公用网络，以免在咖啡厅或机场热点下暴露远程桌面端口。最后输入规则名称，例如Allow RDP from LAN。创建完成后可以在规则列表中看到绿色勾选图标。
如果需要限制某个程序只能访问特定远端端口，可以选择程序类型规则。在程序路径中填写C:\Program Files\MyApp\app.exe，协议和端口可以指定目标TCP 443，作用域中远程IP地址可以留空表示所有地址，也可以限制到特定CDN网段。程序规则比端口规则更精确，但它只监控该程序进程产生的流量，如果程序通过子进程或服务名称不同，可能需要额外创建服务规则。图形界面创建适合少量规则和验证场景，批量部署还是应使用命令行。
二、使用PowerShell创建高级防火墙规则
PowerShell中的NetSecurity模块提供了完整的防火墙管理cmdlet。使用New-NetFirewallRule可以一条命令完成图形向导中的所有设置。创建允许RDP来自内网网段的入站规则可以使用以下命令：
New-NetFirewallRule -DisplayName "Allow RDP from LAN" `
-Direction Inbound `
-Action Allow `
-Protocol TCP `
-LocalPort 3389 `
-RemoteAddress 192.168.1.0/24 `
-Profile Private,Domain `
-Enabled True
代码中的反引号用于换行续接，在PowerShell脚本中可以省略换行直接写成一行。RemoteAddress参数接受IP地址、子网或范围，多个值可以用逗号分隔。Profile参数指定规则生效的配置文件，如果省略则默认所有配置文件。创建出站阻止规则同样简单，例如阻止某个程序访问网络：
New-NetFirewallRule -DisplayName "Block App Outbound" `
-Direction Outbound `
-Action Block `
-Program "C:\Program Files\MyApp\app.exe" `
-Profile Any `
-Enabled True
注意路径中的反斜杠必须保留，PowerShell字符串中反斜杠不是转义字符，因此可以直接书写。除了新建规则，还可以使用Get-NetFirewallRule查看现有规则，使用Set-NetFirewallRule修改规则属性，使用Remove-NetFirewallRule删除规则。例如要禁用某条规则，可以运行Set-NetFirewallRule -DisplayName 规则名 -Enabled False。对于需要批量创建多端口规则，可以使用数组结合循环。PowerShell方法的优点是脚本可重复执行、适合自动化部署，并且可以结合远程管理，通过Invoke-Command在多台服务器上统一配置防火墙。
三、使用netsh命令创建和管理防火墙规则
netsh advfirewall firewall命令是经典的命令行管理方式，在早期Windows版本中广泛使用。虽然PowerShell是推荐方式，但netsh命令语法简短、兼容性好，尤其是在批处理脚本中仍然方便。添加一条入站允许规则：
netsh advfirewall firewall add rule name="Allow RDP from LAN" dir=in action=allow protocol=TCP localport=3389 remoteip=192.168.1.0/24 profile=private,domain
命令中的name参数用于标识规则，dir=in表示入站，action=allow表示允许，协议和端口与图形界面一致。如果要禁止某个程序出站，可以使用program参数：
netsh advfirewall firewall add rule name="Block MyApp Out" dir=out action=block program="C:\Program Files\MyApp\app.exe" enable=yes
删除规则使用netsh advfirewall firewall delete rule name=规则名称。查看规则使用netsh advfirewall firewall show rule name=规则名称 verbose。这些命令在命令提示符和PowerShell中都可运行，但在PowerShell中如果需要使用变量，需要适当转义双引号。netsh命令还支持从XML文件导入和导出防火墙策略，适合统一配置管理。导出当前策略可以运行netsh advfirewall export C:\firewall-policy.wfw，导入则使用netsh advfirewall import C:\firewall-policy.wfw。策略文件包含所有规则和全局设置，在多台计算机上可以快速恢复。不过需要注意导入会覆盖现有策略，操作前应做好备份。
四、理解高级安全规则的匹配逻辑
Windows防火墙规则并不是简单的先来后到，而是按照阻止优先于允许的顺序处理。也就是说，如果同时存在一条允许所有入站TCP流量的规则和一条阻止特定端口的规则，阻止规则会优先生效。因此当允许规则看似正确但连接仍然失败时，应优先检查是否存在范围更广的阻止规则。在wf.msc控制台中，可以通过筛选功能按协议、端口或服务快速定位冲突规则。规则的配置文件也会影响生效：域、专用、公用三种配置文件分别对应不同的网络位置，必须确保创建的规则启用了正确的配置文件。
作用域中的IP地址可以使用单个IP、子网、IP范围或关键字，如LocalSubnet、DNS、DHCP等。使用LocalSubnet代表仅允许与本地计算机处于同一子网的地址，适合限制共享服务。对于需要限制到特定计算机或用户的高级场景，可以在规则属性中的用户和计算机选项卡里设置仅允许某些安全组或用户，这要求网络环境启用IPsec或基于用户的防火墙策略。这些配置在图形界面中隐藏较深，但通过PowerShell中的-User和-RemoteUser参数可以快速设置。
排错时还应该检查防火墙日志。日志默认存储路径为C:\Windows\System32\LogFiles\Firewall\pfirewall.log，需要在高级设置的防火墙属性中启用日志记录。日志文件会记录被阻止的连接以及规则ID，通过分析可以确认连接是否被防火墙拦截。如果是入站规则允许了服务但连接仍失败，可以查看服务实际监听地址和端口，使用netstat -ano命令定位进程PID，确认防火墙规则中的端口和服务是否一致。高级安全规则还涉及连接安全规则（IPsec），但那是另一层安全控制，不应与基本入站出站规则混淆。
掌握Windows防火墙高级安全规则的创建与管理，对于服务器加固和终端防护至关重要。无论是图形界面、PowerShell还是netsh，本质都是对同一套过滤平台下规则的配置，选择哪种方式取决于部署规模和自动化需求。建议在修改生产环境前先在测试机或虚拟机中验证规则效果，并使用netsh advfirewall export定期备份防火墙策略，以便在出现意外时快速回滚。
Windows防火墙高级安全规则防火墙规则创建修改时间：2026-08-24 15:05:55