每次看到有人直接在防火墙里“咔咔咔”点鼠标删除几个入站规则就觉得有点可惜——不是不能删而是大部分人根本没搞清楚Windows防火墙过滤流量的顺序也不知道“禁用端口”这件事其实有两条完全不同的路。今天就把这个东西彻底捋一遍从规则优先级到具体的图形界面、netsh、PowerShell操作再到生产环境里的真实坑全部摊开讲。先说一个实际场景。某天你发现服务器端口3389被人疯狂扫描或者某个测试环境的业务端口被隔壁项目组误连导致数据互相串了。第一反应可能是把那个端口禁了。但Windows防火墙里禁用端口不是“把耳朵捂住”而是“在大门口立一块牌子——此路不通”而且这块牌子还能分方向、分来源、分协议精确生效。理解这个逻辑后面所有操作都顺了。适合看这篇内容的人运维工程师、安全岗同学、自己搭服务器的小团队甚至只是电脑上某个软件老被外网连、想彻底关掉某个口子的普通用户。不涉及复杂的第三方工具全部使用Windows自带能力完成。1. 先搞清楚Windows防火墙的过滤逻辑再动手1.1 三种配置文件各管各的网络场景Windows防火墙从Vista之后就不是“一个防火墙”而是三套规则并行运行分别对应三种网络位置域配置文件Domain、专用配置文件Private、公用配置文件Public。很多人在家里电脑上配了规则到了公司发现失效或者反过来原因基本都是没注意当前网络被识别成了哪种类型。举个例子。你用笔记本连着公司WiFi网络类型可能被识别为“域”或“专用”在星巴克连WiFi大概率是“公用”。Windows对公用网络的默认策略是最严格的那档——大部分入站连接默认拒绝。而我们在“禁用端口”时最常犯的错就是只给当前生效的配置文件加规则换了个网络环境规则就不生效了。所以操作前第一件事确认当前网络类型。控制面板里打开“网络和共享中心”看“查看活动网络”旁边的文字带“公用”“专用”或“域”字样。命令行里可以用Get-NetConnectionProfile看得更干净。后面加规则时如果拿不准就三个配置文件全部应用保证不因网络切换而漏风。1.2 规则匹配顺序阻止规则优先级很高但有个例外Windows防火墙处理入站流量的基本顺序是如果存在显式的“阻止”规则匹配该流量则直接阻止否则按“允许”规则进行匹配如果都不匹配走默认行为入站默认阻止出站默认允许。这里要特别强调阻止规则并不总是第一位。有一种例外叫“覆盖阻止规则”override block rules通常和IPsec连接安全规则有关。如果你配置了允许经过IPsec认证连接的入站规则某些情况下它会绕过阻断。大多数普通用户碰不到这层但如果你在做了IPsec策略的域环境里工作就得注意这个细节。咱们平时禁用端口直接建阻止规则对普通TCP/UDP流量是100%生效的。还有一个关键点Windows防火墙规则里如果既不勾选“已启用”规则就完全不生效。很多新手建完规则后忘了把规则启用开关打开回头测试端口还是通的以为系统出问题了其实只是规则躺在列表里睡大觉。2. “禁用端口”的三种主流操作路径2.1 图形界面适合少量规则点几下就完事图形界面在“高级安全Windows防火墙”控制台里操作本质上就是给系统多加几条“拒收快递”的指令。按下Win R输入wf.msc回车进入“高级安全Windows防火墙”。左侧选“入站规则”右侧点“新建规则”一路按向导走规则类型选“端口”。协议选“TCP”或“UDP”特定本地端口填上要封的端口号比如135,137-139,445这种多个端口或端口段混合写法都支持。操作选“阻止连接”。配置文件全部勾选为了保险起见域、专用、公用都选上。名称写清楚比如“Block TCP 3389 - 2024-10-08”方便以后排查。图形界面的好处是直观适合在三五条规则以内不需要批量操作的时候用。坏处是你不容易看到每条规则在全量规则里的生效顺序而且Windows防火墙的规则数量一旦上去图形界面翻起来非常痛苦——一台跑了几年、装过各种软件的机器入站规则四五百条一点都不夸张。2.2 netsh老牌命令行脚本里依然能打netsh advfirewall firewall是Windows系统里封端口的经典命令。它的优点是语法稳定、兼容性好从Windows 7到Windows 11甚至Windows Server系里都通用写进批处理脚本里也很稳定。封一个入站TCP端口核心命令如下netsh advfirewall firewall add rule nameBlock TCP 3389 dirin actionblock protocolTCP localport3389关键参数拆解name规则名称必须唯一重名会直接报错。dir方向in入站out出站。默认不带方向很多老手会翻车因为Out方向的规则在入站测试里根本看不到效果。actionblock阻止allow允许。protocolTCP或UDP注意大小写随意但必须是标准协议名。localport本地端口可以是单个端口也可以是逗号分隔的多个端口但不能直接用3389:3395这种范围写法图形界面可以netsh里不行要拆开写多条规则。如果要封UDP端口比如封掉DNS的53端口UDP就把协议换成UDP再来一条。很多人只封TCP不封UDP结果攻击者用UDP照样能进来——这类遗漏在安全审计里非常扎眼。删除规则用netsh advfirewall firewall delete rule nameBlock TCP 3389注意delete rule后面如果只给名称会把同名所有规则全部删掉——包括允许和阻止的。删除时建议把dir、protocol、localport带上比如netsh advfirewall firewall delete rule nameBlock TCP 3389 dirin protocolTCP localport3389这样匹配更精确避免误删。查当前规则用netsh advfirewall firewall show rule nameBlock TCP 3389批量封端口时netsh比较啰嗦一条命令一个端口规则但胜在稳定可靠还能直接写在批处理里一键执行。2.3 PowerShell新一代脚本的首选PowerShell的New-NetFirewallRule是现在的新宠功能比netsh更细腻还支持直接绑定程序路径这对“禁用端口”这件事来说意义很大——有些场景不适合封端口更适合封程序。封端口的基础姿势New-NetFirewallRule -DisplayName Block TCP 3389 -Direction Inbound -Action Block -Protocol TCP -LocalPort 3389 -Profile Any几个关键参数差异-DirectionInbound/Outbound-ActionBlock/Allow-ProfileAny表示所有配置文件也可以写Domain, Private, Public的组合。-LocalPort和netsh一样支持3389也可以写3389,3390但不支持范围。-RemoteAddress这个参数很强可以指定封“来自某个IP的流量”接口白名单场景非常有用。注意一点PowerShell里创建规则的DisplayName不必全局唯一多个规则可以重名。这一点和netsh不同很多人刚切换过来时容易搞混——重名不算错但管理起来会乱建议仍然保持名称风格一致比如加日期后缀。批量封多个端口时PowerShell的循环比netsh自然得多$ports (135,137,138,139,445) foreach ($p in $ports) { New-NetFirewallRule -DisplayName Block TCP $p -Direction Inbound -Action Block -Protocol TCP -LocalPort $p -Profile Any }另一个PowerShell的独有优势是与“程序封禁”的联动。假如你确定某个程序根本不该对外提供服务但它的端口是动态变化的那就别封端口直接封程序New-NetFirewallRule -DisplayName Block Program EvilApp -Direction Inbound -Action Block -Program C:\Evil\app.exe这种“封程序”的方式在应对“进程监听随机端口”的场景里比猜端口封端口高效得多后面实战部分再细说。3. 核心实操从“知道”到“做到”的完整过程3.1 第一步确认到底谁在监听这个端口盲封端口之前先确认端口确实有进程在监听以及这个监听端口到底是不是你想禁的那个。特别是在Windows上有些系统服务会动态占用端口你今天封了明天系统重启换个端口照样活蹦乱跳。查看端口监听状态netstat -ano | findstr 3389结果里会显示协议、本地地址、外部地址、状态LISTENING表示正在监听以及PID。PID是关键接下来用PID反查进程tasklist | findstr 3389如果这个PID对应的是svchost.exe那一般意味着端口由某个Windows服务托管你还得进一步查是哪个服务tasklist /svc /fi PID eq 3389这里的实操心得是封端口前最好先确认这个端口背后的程序/服务否则可能出现两种情况——你想禁掉A服务的端口结果B服务也在用同一个端口这种情况真的会发生不要在惊讶尤其是动态端口范围内或者你封了端口但程序换了个端口继续监听规则白加。3.2 第二步按照场景决定“封端口”还是“封程序”这一步是全文最重要的取舍。场景A清掉高危端口比如135/137/138/139/445。这些端口在域环境下可能被共享、打印机等业务依赖但在非域环境或面向互联网的边界机器上几乎可以无脑封禁。这种场景下按端口封就行简单直接。封了之后Windows网络发现、文件和打印机共享等功能会罢工很多扫描工具对这台机器的渗透路径会明显收窄。场景B某个软件比如旧版数据库或开发工具固定监听一个特定端口但这个端口根本不该对外网暴露。比如Navicat连数据库走了3306团队里其他人都能连但你没装防火墙规则的服务器把3306直接裸奔在公网上——这就不是“不该暴露”级别而是“谁都能来撩”级别。对这种固定端口按端口封、并加上RemoteAddress限制来源IP是更稳妥的方案New-NetFirewallRule -DisplayName Block MySQL 3306 from public -Direction Inbound -Action Block -Protocol TCP -LocalPort 3306 -RemoteAddress Any如果你想更严格从“默认允许该IP”出发反而更安全# 先删除可能的拒绝规则再只放行特定IP Remove-NetFirewallRule -DisplayName Allow MySQL 3306 from Office New-NetFirewallRule -DisplayName Allow MySQL 3306 from Office -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3306 -RemoteAddress 192.168.10.0/24 -Profile Any这里的关键是入站默认阻止意味着不添加任何允许规则时外部根本连不进来。你只需要为可信来源添加放行规则。所谓“配置防火墙”在很多情况下不是把大门焊死而是只给特定的人发钥匙。场景C某些进程动态监听随机端口根本没法用“封某个端口”来管住。比如一些老式软件、P2P程序每次启动端口都不一样。对这种进程直接在New-NetFirewallRule里用-Program参数把整个程序封掉一了百了。还有一种特殊场景应用本身没监听端口但会成为某些攻击链的跳板比如脚本宿主、系统工具被滥用。对这种场景也是封程序而不是封端口。3.3 第三步设置规则时的关键选项详解很多人卡在“为什么我加了一条阻止规则端口依然能被外部访问”十有八九是下面几个选项没搞对。配置文件Profile选错。前面说过Windows会根据网络位置启用不同配置文件。你只勾了“公用”但机器当前网络识别为“专用”规则自然不生效。稳妥做法是全部勾选。当然如果确实想仅在某类网络下生效比如仅公用网络封域内不封那就按需勾选。方向Direction搞反。你要封的是“别人连进来访问你的端口”对应的是“入站规则”。如果你建的是出站规则测试本机访问外部端口可能看到效果但外部访问你的端口完全不受影响。这个方向问题是我见过最多的低级错误。协议Protocol不匹配。有些服务同时使用TCP和UDP监听比如DNS。你只封了TCP的53UDP的53照样通。要封就两个协议都封。还有RPC类服务动态端口走TCP/UDP混合单封一个固定端口根本堵不住这类服务更适合在服务层面禁用。规则状态没有启用。这个前面也提到过创建规则时如果没把“已启用”开启规则就是个摆设。PowerShell的New-NetFirewallRule默认启用netsh的add rule也默认启用但如果你是通过导入XML或组策略的方式下发规则就得留个心眼检查Enabled字段。3.4 第四步验证规则是否真正生效配置完了验证不能省。没有验证的操作等于白做。验证办法有很多种最直接的是从另一台机器扫描这个端口。场景允许的话用Test-NetConnectionTest-NetConnection -ComputerName 目标机器IP -Port 3389该命令会返回TcpTestSucceeded如果为False说明端口已经被封住了。注意Test-NetConnection默认只测TCPUDP没法这样测。本机也可以快速验证规则是否存在并生效Get-NetFirewallRule -DisplayName Block TCP 3389 | Get-NetFirewallPortFilter Get-NetFirewallRule -DisplayName Block TCP 3389 | Get-NetFirewallProfile这两条命令分别查看端口过滤条件和关联的配置文件能帮你确认规则写没写对。还有一种隐蔽验证法给不在白名单里的另一台机器用telnet或nc连一下看是否超时或拒绝。被阻止的端口在TCP层表现通常是“连接超时”而非“连接被拒绝”——因为防火墙直接丢弃了数据包而不是发送RST。这个区别在实际排障中非常关键。4. 封端口这事还有这些隐蔽的坑4.1 防火墙服务没启动一切规则都白搭Windows防火墙依赖“Windows Defender Firewall”服务服务名mpssvc运行。如果这个服务没启动所有防火墙规则都不会生效。很多“优化”软件、精简版系统会把该服务禁用导致防火墙形同虚设。检查服务状态sc query mpssvc如果停着手动启动net start mpssvc这里提醒一句如果你同时开着Windows防火墙和第三方安全软件比如某些国产“安全卫士”的网络防护两边规则可能会互相冲突。第三方软件的网络驱动拦截优先级往往高于系统防火墙你在系统防火墙里封了端口第三方软件可能直接放行或拦截规则冲突。排查“端口没封住”问题之前先确认有没有第二套防火墙在运行。4.2 0x800706d9 错误防火墙服务本身出问题了热词里那个win11防火墙错误代码0x800706d9实际场景就是打开防火墙控制台或新建规则时报这个错原因基本指向mpssvc服务被禁用、崩溃或依赖服务异常。这个错误在Win11上真的常见。很多人装过“优化工具”或第三方管家里面“禁用防火墙”选项其实只是停了服务。等你要加规则时控制台起不来就报0x800706d9。解决思路打开服务管理器services.msc找到Windows Defender Firewall服务。如果服务不是“正在运行”右键启动。如果“启动”按钮灰色先看“启动类型”是否为“禁用”改成“自动”再启动。该服务依赖Base Filtering Engine服务名BFE。如果BFE也挂了先把BFE起来。如果服务起来后依然报错多半是防火墙驱动出了问题——进设备管理器查看“网络适配器”下面有没有名为WFP Native Driver的驱动被禁用或异常。有这个驱动的把它启用即可。这种情况我在Win11上处理过好几次多数根源是“优化”过头。所以给个忠告不要轻易禁用系统防火墙服务你不用它也别停它。4.3 封端口之后业务“神秘”失败别忘了回程流量封了入站端口后别人访问不了你但你自己往外访问也可能受影响虽然这种情况不常见但确实存在——你建的规则如果不小心同时约束了出站方向或你封的是动态RPC端口范围本机某些依赖该端口的服务出站回程也会被卡住。典型例子是Windows的RPC动态端口范围49152-65535。如果你在这个范围里封了某些端口而某个分布式应用的客户端回调使用了同一段端口应用会“莫名其妙”地超时。排查这类问题时看Windows事件日志里的网络相关错误、打开防火墙日志%SystemRoot%\System32\LogFiles\Firewall\pfirewall.log能看到具体被丢弃的包。4.4 直接删默认规则别用新建阻止规则代替有些人为了“彻底禁用”某些默认放行规则比如文件和打印机共享直接去把系统内置规则删掉。这是非常危险的操作——系统规则被删后要么没法还原要么影响了别的依赖项。正确的做法是新建一条禁止规则放在规则列表里靠前的位置让阻止规则优先匹配。4.5 封了端口办公软件却提示“网络不可用”Windows的许多网络发现、时间同步、更新等服务会尝试访问外部端口。如果你封的出站端口恰好在这些服务的使用范围内就会出现“网络正常但软件提示网络不可用”的情况。我的经验是封端口尽量只封入站不要轻易封出站。出站规则使用场景一般是很明确的应用限制比如禁止某软件外联。如果是想“提高安全性”封入站比封出站有效得多也安全得多。5. 生产环境实战封一组高危端口的完整记录最后分享一个真实案例帮大家把前面所有知识串起来。有一次接手一批Windows Server 2019测试机因为长期裸奔扫描结果显示开放了135、139、445、3389等一堆敏感端口。业务方要求外网访问全部封掉但内网运维网的特定IP比如10.10.10.0/24还要保留管理通道。当时我的处理顺序# 先把RPC相关高危端口全部封掉只允许运维网段访问 $ports (135,137,138,139,445) foreach ($p in $ports) { New-NetFirewallRule -DisplayName BLOCK-HIGH-RISK-PORT-$p -Direction Inbound -Action Block -Protocol TCP -LocalPort $p -Profile Any New-NetFirewallRule -DisplayName BLOCK-HIGH-RISK-PORT-$p-UDP -Direction Inbound -Action Block -Protocol UDP -LocalPort $p -Profile Any } # 3389远程桌面只放行运维网段 New-NetFirewallRule -DisplayName ALLOW-RDP-OPS-NET -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3389 -RemoteAddress 10.10.10.0/24 -Profile Any # 验证规则 Get-NetFirewallRule -DisplayName BLOCK-HIGH-RISK-PORT-*这里有个细节值得说135端口比较特殊它属于RPC Endpoint MapperWindows的许多合法服务依赖它封死后某些域功能、WMI管理会受影响。如果在域环境里这个端口通常要保留给域控通信。但在纯测试环境或暴露在公网的独立服务器上封掉135问题不大。封完后用另一台非白名单IP的机器扫描端口确认135/139/445全部超时3389对非白名单也超时而从10.10.10.0/24网段连接3389则正常弹出登录界面——这次才算收工。这个案例想表达的核心经验是先判断业务依赖再决定封禁范围能按来源IP放行的不要无差别封死封完必须从不同来源分别验证。在实际操作中我还发现一个规律很多所谓的“防火墙配置不生效”最后查下来根本不是防火墙的问题而是端口根本没监听服务没启动或者被封的端口根本不是业务实际用的端口。所以动手封端口之前先用netstat -ano把监听关系梳理清楚比什么技巧都重要。
Windows防火墙禁用端口全攻略：规则优先级、三种操作路径与避坑指南
每次看到有人直接在防火墙里“咔咔咔”点鼠标删除几个入站规则就觉得有点可惜——不是不能删而是大部分人根本没搞清楚Windows防火墙过滤流量的顺序也不知道“禁用端口”这件事其实有两条完全不同的路。今天就把这个东西彻底捋一遍从规则优先级到具体的图形界面、netsh、PowerShell操作再到生产环境里的真实坑全部摊开讲。先说一个实际场景。某天你发现服务器端口3389被人疯狂扫描或者某个测试环境的业务端口被隔壁项目组误连导致数据互相串了。第一反应可能是把那个端口禁了。但Windows防火墙里禁用端口不是“把耳朵捂住”而是“在大门口立一块牌子——此路不通”而且这块牌子还能分方向、分来源、分协议精确生效。理解这个逻辑后面所有操作都顺了。适合看这篇内容的人运维工程师、安全岗同学、自己搭服务器的小团队甚至只是电脑上某个软件老被外网连、想彻底关掉某个口子的普通用户。不涉及复杂的第三方工具全部使用Windows自带能力完成。1. 先搞清楚Windows防火墙的过滤逻辑再动手1.1 三种配置文件各管各的网络场景Windows防火墙从Vista之后就不是“一个防火墙”而是三套规则并行运行分别对应三种网络位置域配置文件Domain、专用配置文件Private、公用配置文件Public。很多人在家里电脑上配了规则到了公司发现失效或者反过来原因基本都是没注意当前网络被识别成了哪种类型。举个例子。你用笔记本连着公司WiFi网络类型可能被识别为“域”或“专用”在星巴克连WiFi大概率是“公用”。Windows对公用网络的默认策略是最严格的那档——大部分入站连接默认拒绝。而我们在“禁用端口”时最常犯的错就是只给当前生效的配置文件加规则换了个网络环境规则就不生效了。所以操作前第一件事确认当前网络类型。控制面板里打开“网络和共享中心”看“查看活动网络”旁边的文字带“公用”“专用”或“域”字样。命令行里可以用Get-NetConnectionProfile看得更干净。后面加规则时如果拿不准就三个配置文件全部应用保证不因网络切换而漏风。1.2 规则匹配顺序阻止规则优先级很高但有个例外Windows防火墙处理入站流量的基本顺序是如果存在显式的“阻止”规则匹配该流量则直接阻止否则按“允许”规则进行匹配如果都不匹配走默认行为入站默认阻止出站默认允许。这里要特别强调阻止规则并不总是第一位。有一种例外叫“覆盖阻止规则”override block rules通常和IPsec连接安全规则有关。如果你配置了允许经过IPsec认证连接的入站规则某些情况下它会绕过阻断。大多数普通用户碰不到这层但如果你在做了IPsec策略的域环境里工作就得注意这个细节。咱们平时禁用端口直接建阻止规则对普通TCP/UDP流量是100%生效的。还有一个关键点Windows防火墙规则里如果既不勾选“已启用”规则就完全不生效。很多新手建完规则后忘了把规则启用开关打开回头测试端口还是通的以为系统出问题了其实只是规则躺在列表里睡大觉。2. “禁用端口”的三种主流操作路径2.1 图形界面适合少量规则点几下就完事图形界面在“高级安全Windows防火墙”控制台里操作本质上就是给系统多加几条“拒收快递”的指令。按下Win R输入wf.msc回车进入“高级安全Windows防火墙”。左侧选“入站规则”右侧点“新建规则”一路按向导走规则类型选“端口”。协议选“TCP”或“UDP”特定本地端口填上要封的端口号比如135,137-139,445这种多个端口或端口段混合写法都支持。操作选“阻止连接”。配置文件全部勾选为了保险起见域、专用、公用都选上。名称写清楚比如“Block TCP 3389 - 2024-10-08”方便以后排查。图形界面的好处是直观适合在三五条规则以内不需要批量操作的时候用。坏处是你不容易看到每条规则在全量规则里的生效顺序而且Windows防火墙的规则数量一旦上去图形界面翻起来非常痛苦——一台跑了几年、装过各种软件的机器入站规则四五百条一点都不夸张。2.2 netsh老牌命令行脚本里依然能打netsh advfirewall firewall是Windows系统里封端口的经典命令。它的优点是语法稳定、兼容性好从Windows 7到Windows 11甚至Windows Server系里都通用写进批处理脚本里也很稳定。封一个入站TCP端口核心命令如下netsh advfirewall firewall add rule nameBlock TCP 3389 dirin actionblock protocolTCP localport3389关键参数拆解name规则名称必须唯一重名会直接报错。dir方向in入站out出站。默认不带方向很多老手会翻车因为Out方向的规则在入站测试里根本看不到效果。actionblock阻止allow允许。protocolTCP或UDP注意大小写随意但必须是标准协议名。localport本地端口可以是单个端口也可以是逗号分隔的多个端口但不能直接用3389:3395这种范围写法图形界面可以netsh里不行要拆开写多条规则。如果要封UDP端口比如封掉DNS的53端口UDP就把协议换成UDP再来一条。很多人只封TCP不封UDP结果攻击者用UDP照样能进来——这类遗漏在安全审计里非常扎眼。删除规则用netsh advfirewall firewall delete rule nameBlock TCP 3389注意delete rule后面如果只给名称会把同名所有规则全部删掉——包括允许和阻止的。删除时建议把dir、protocol、localport带上比如netsh advfirewall firewall delete rule nameBlock TCP 3389 dirin protocolTCP localport3389这样匹配更精确避免误删。查当前规则用netsh advfirewall firewall show rule nameBlock TCP 3389批量封端口时netsh比较啰嗦一条命令一个端口规则但胜在稳定可靠还能直接写在批处理里一键执行。2.3 PowerShell新一代脚本的首选PowerShell的New-NetFirewallRule是现在的新宠功能比netsh更细腻还支持直接绑定程序路径这对“禁用端口”这件事来说意义很大——有些场景不适合封端口更适合封程序。封端口的基础姿势New-NetFirewallRule -DisplayName Block TCP 3389 -Direction Inbound -Action Block -Protocol TCP -LocalPort 3389 -Profile Any几个关键参数差异-DirectionInbound/Outbound-ActionBlock/Allow-ProfileAny表示所有配置文件也可以写Domain, Private, Public的组合。-LocalPort和netsh一样支持3389也可以写3389,3390但不支持范围。-RemoteAddress这个参数很强可以指定封“来自某个IP的流量”接口白名单场景非常有用。注意一点PowerShell里创建规则的DisplayName不必全局唯一多个规则可以重名。这一点和netsh不同很多人刚切换过来时容易搞混——重名不算错但管理起来会乱建议仍然保持名称风格一致比如加日期后缀。批量封多个端口时PowerShell的循环比netsh自然得多$ports (135,137,138,139,445) foreach ($p in $ports) { New-NetFirewallRule -DisplayName Block TCP $p -Direction Inbound -Action Block -Protocol TCP -LocalPort $p -Profile Any }另一个PowerShell的独有优势是与“程序封禁”的联动。假如你确定某个程序根本不该对外提供服务但它的端口是动态变化的那就别封端口直接封程序New-NetFirewallRule -DisplayName Block Program EvilApp -Direction Inbound -Action Block -Program C:\Evil\app.exe这种“封程序”的方式在应对“进程监听随机端口”的场景里比猜端口封端口高效得多后面实战部分再细说。3. 核心实操从“知道”到“做到”的完整过程3.1 第一步确认到底谁在监听这个端口盲封端口之前先确认端口确实有进程在监听以及这个监听端口到底是不是你想禁的那个。特别是在Windows上有些系统服务会动态占用端口你今天封了明天系统重启换个端口照样活蹦乱跳。查看端口监听状态netstat -ano | findstr 3389结果里会显示协议、本地地址、外部地址、状态LISTENING表示正在监听以及PID。PID是关键接下来用PID反查进程tasklist | findstr 3389如果这个PID对应的是svchost.exe那一般意味着端口由某个Windows服务托管你还得进一步查是哪个服务tasklist /svc /fi PID eq 3389这里的实操心得是封端口前最好先确认这个端口背后的程序/服务否则可能出现两种情况——你想禁掉A服务的端口结果B服务也在用同一个端口这种情况真的会发生不要在惊讶尤其是动态端口范围内或者你封了端口但程序换了个端口继续监听规则白加。3.2 第二步按照场景决定“封端口”还是“封程序”这一步是全文最重要的取舍。场景A清掉高危端口比如135/137/138/139/445。这些端口在域环境下可能被共享、打印机等业务依赖但在非域环境或面向互联网的边界机器上几乎可以无脑封禁。这种场景下按端口封就行简单直接。封了之后Windows网络发现、文件和打印机共享等功能会罢工很多扫描工具对这台机器的渗透路径会明显收窄。场景B某个软件比如旧版数据库或开发工具固定监听一个特定端口但这个端口根本不该对外网暴露。比如Navicat连数据库走了3306团队里其他人都能连但你没装防火墙规则的服务器把3306直接裸奔在公网上——这就不是“不该暴露”级别而是“谁都能来撩”级别。对这种固定端口按端口封、并加上RemoteAddress限制来源IP是更稳妥的方案New-NetFirewallRule -DisplayName Block MySQL 3306 from public -Direction Inbound -Action Block -Protocol TCP -LocalPort 3306 -RemoteAddress Any如果你想更严格从“默认允许该IP”出发反而更安全# 先删除可能的拒绝规则再只放行特定IP Remove-NetFirewallRule -DisplayName Allow MySQL 3306 from Office New-NetFirewallRule -DisplayName Allow MySQL 3306 from Office -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3306 -RemoteAddress 192.168.10.0/24 -Profile Any这里的关键是入站默认阻止意味着不添加任何允许规则时外部根本连不进来。你只需要为可信来源添加放行规则。所谓“配置防火墙”在很多情况下不是把大门焊死而是只给特定的人发钥匙。场景C某些进程动态监听随机端口根本没法用“封某个端口”来管住。比如一些老式软件、P2P程序每次启动端口都不一样。对这种进程直接在New-NetFirewallRule里用-Program参数把整个程序封掉一了百了。还有一种特殊场景应用本身没监听端口但会成为某些攻击链的跳板比如脚本宿主、系统工具被滥用。对这种场景也是封程序而不是封端口。3.3 第三步设置规则时的关键选项详解很多人卡在“为什么我加了一条阻止规则端口依然能被外部访问”十有八九是下面几个选项没搞对。配置文件Profile选错。前面说过Windows会根据网络位置启用不同配置文件。你只勾了“公用”但机器当前网络识别为“专用”规则自然不生效。稳妥做法是全部勾选。当然如果确实想仅在某类网络下生效比如仅公用网络封域内不封那就按需勾选。方向Direction搞反。你要封的是“别人连进来访问你的端口”对应的是“入站规则”。如果你建的是出站规则测试本机访问外部端口可能看到效果但外部访问你的端口完全不受影响。这个方向问题是我见过最多的低级错误。协议Protocol不匹配。有些服务同时使用TCP和UDP监听比如DNS。你只封了TCP的53UDP的53照样通。要封就两个协议都封。还有RPC类服务动态端口走TCP/UDP混合单封一个固定端口根本堵不住这类服务更适合在服务层面禁用。规则状态没有启用。这个前面也提到过创建规则时如果没把“已启用”开启规则就是个摆设。PowerShell的New-NetFirewallRule默认启用netsh的add rule也默认启用但如果你是通过导入XML或组策略的方式下发规则就得留个心眼检查Enabled字段。3.4 第四步验证规则是否真正生效配置完了验证不能省。没有验证的操作等于白做。验证办法有很多种最直接的是从另一台机器扫描这个端口。场景允许的话用Test-NetConnectionTest-NetConnection -ComputerName 目标机器IP -Port 3389该命令会返回TcpTestSucceeded如果为False说明端口已经被封住了。注意Test-NetConnection默认只测TCPUDP没法这样测。本机也可以快速验证规则是否存在并生效Get-NetFirewallRule -DisplayName Block TCP 3389 | Get-NetFirewallPortFilter Get-NetFirewallRule -DisplayName Block TCP 3389 | Get-NetFirewallProfile这两条命令分别查看端口过滤条件和关联的配置文件能帮你确认规则写没写对。还有一种隐蔽验证法给不在白名单里的另一台机器用telnet或nc连一下看是否超时或拒绝。被阻止的端口在TCP层表现通常是“连接超时”而非“连接被拒绝”——因为防火墙直接丢弃了数据包而不是发送RST。这个区别在实际排障中非常关键。4. 封端口这事还有这些隐蔽的坑4.1 防火墙服务没启动一切规则都白搭Windows防火墙依赖“Windows Defender Firewall”服务服务名mpssvc运行。如果这个服务没启动所有防火墙规则都不会生效。很多“优化”软件、精简版系统会把该服务禁用导致防火墙形同虚设。检查服务状态sc query mpssvc如果停着手动启动net start mpssvc这里提醒一句如果你同时开着Windows防火墙和第三方安全软件比如某些国产“安全卫士”的网络防护两边规则可能会互相冲突。第三方软件的网络驱动拦截优先级往往高于系统防火墙你在系统防火墙里封了端口第三方软件可能直接放行或拦截规则冲突。排查“端口没封住”问题之前先确认有没有第二套防火墙在运行。4.2 0x800706d9 错误防火墙服务本身出问题了热词里那个win11防火墙错误代码0x800706d9实际场景就是打开防火墙控制台或新建规则时报这个错原因基本指向mpssvc服务被禁用、崩溃或依赖服务异常。这个错误在Win11上真的常见。很多人装过“优化工具”或第三方管家里面“禁用防火墙”选项其实只是停了服务。等你要加规则时控制台起不来就报0x800706d9。解决思路打开服务管理器services.msc找到Windows Defender Firewall服务。如果服务不是“正在运行”右键启动。如果“启动”按钮灰色先看“启动类型”是否为“禁用”改成“自动”再启动。该服务依赖Base Filtering Engine服务名BFE。如果BFE也挂了先把BFE起来。如果服务起来后依然报错多半是防火墙驱动出了问题——进设备管理器查看“网络适配器”下面有没有名为WFP Native Driver的驱动被禁用或异常。有这个驱动的把它启用即可。这种情况我在Win11上处理过好几次多数根源是“优化”过头。所以给个忠告不要轻易禁用系统防火墙服务你不用它也别停它。4.3 封端口之后业务“神秘”失败别忘了回程流量封了入站端口后别人访问不了你但你自己往外访问也可能受影响虽然这种情况不常见但确实存在——你建的规则如果不小心同时约束了出站方向或你封的是动态RPC端口范围本机某些依赖该端口的服务出站回程也会被卡住。典型例子是Windows的RPC动态端口范围49152-65535。如果你在这个范围里封了某些端口而某个分布式应用的客户端回调使用了同一段端口应用会“莫名其妙”地超时。排查这类问题时看Windows事件日志里的网络相关错误、打开防火墙日志%SystemRoot%\System32\LogFiles\Firewall\pfirewall.log能看到具体被丢弃的包。4.4 直接删默认规则别用新建阻止规则代替有些人为了“彻底禁用”某些默认放行规则比如文件和打印机共享直接去把系统内置规则删掉。这是非常危险的操作——系统规则被删后要么没法还原要么影响了别的依赖项。正确的做法是新建一条禁止规则放在规则列表里靠前的位置让阻止规则优先匹配。4.5 封了端口办公软件却提示“网络不可用”Windows的许多网络发现、时间同步、更新等服务会尝试访问外部端口。如果你封的出站端口恰好在这些服务的使用范围内就会出现“网络正常但软件提示网络不可用”的情况。我的经验是封端口尽量只封入站不要轻易封出站。出站规则使用场景一般是很明确的应用限制比如禁止某软件外联。如果是想“提高安全性”封入站比封出站有效得多也安全得多。5. 生产环境实战封一组高危端口的完整记录最后分享一个真实案例帮大家把前面所有知识串起来。有一次接手一批Windows Server 2019测试机因为长期裸奔扫描结果显示开放了135、139、445、3389等一堆敏感端口。业务方要求外网访问全部封掉但内网运维网的特定IP比如10.10.10.0/24还要保留管理通道。当时我的处理顺序# 先把RPC相关高危端口全部封掉只允许运维网段访问 $ports (135,137,138,139,445) foreach ($p in $ports) { New-NetFirewallRule -DisplayName BLOCK-HIGH-RISK-PORT-$p -Direction Inbound -Action Block -Protocol TCP -LocalPort $p -Profile Any New-NetFirewallRule -DisplayName BLOCK-HIGH-RISK-PORT-$p-UDP -Direction Inbound -Action Block -Protocol UDP -LocalPort $p -Profile Any } # 3389远程桌面只放行运维网段 New-NetFirewallRule -DisplayName ALLOW-RDP-OPS-NET -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3389 -RemoteAddress 10.10.10.0/24 -Profile Any # 验证规则 Get-NetFirewallRule -DisplayName BLOCK-HIGH-RISK-PORT-*这里有个细节值得说135端口比较特殊它属于RPC Endpoint MapperWindows的许多合法服务依赖它封死后某些域功能、WMI管理会受影响。如果在域环境里这个端口通常要保留给域控通信。但在纯测试环境或暴露在公网的独立服务器上封掉135问题不大。封完后用另一台非白名单IP的机器扫描端口确认135/139/445全部超时3389对非白名单也超时而从10.10.10.0/24网段连接3389则正常弹出登录界面——这次才算收工。这个案例想表达的核心经验是先判断业务依赖再决定封禁范围能按来源IP放行的不要无差别封死封完必须从不同来源分别验证。在实际操作中我还发现一个规律很多所谓的“防火墙配置不生效”最后查下来根本不是防火墙的问题而是端口根本没监听服务没启动或者被封的端口根本不是业务实际用的端口。所以动手封端口之前先用netstat -ano把监听关系梳理清楚比什么技巧都重要。
