netsh advfirewall来控制 Windows 防火墙行为

摘要

netsh advfirewall防火墙命令行上下文在 Windows Server 2012 R2 中可用。 此上下文提供用于控制防火墙上下文提供的 Windows 防火墙行为的 netsh firewall 功能。

此上下文还提供更精确地控制防火墙规则的功能。 这些规则包括以下按配置文件设置：

  • Domain
  • 私人
  • 公共

将来 netsh firewall 版本的 Windows 操作系统中可能会弃用命令行上下文。 建议使用 netsh advfirewall 防火墙上下文来控制防火墙行为。

 重要

如果你是管理员组的成员，并且在计算机上启用了用户帐户控制，请从具有提升权限的命令提示符运行命令。 若要使用提升的权限启动命令提示符，请找到用于启动命令提示符会话的图标或“开始”菜单条目，右键单击它，然后单击 “以管理员身份运行”。

下表提供了一些常用命令示例。 可以使用这些示例来帮助你从旧 netsh firewall 上下文迁移到新的 netsh advfirewall 防火墙上下文。

此外， netsh advfirewall 还提供了可用于获取详细内联帮助的命令。

命令示例 1：启用程序

旧命令 新建命令
netsh firewall add allowedprogram C:\MyApp\MyApp.exe "My Application" ENABLE netsh advfirewall firewall add rule name="My Application" dir=in action=allow program="C:\MyApp\MyApp.exe" enable=yes
netsh firewall add allowedprogram program=C:\MyApp\MyApp.exe name="My Application" mode=ENABLE scope=CUSTOM addresses=157.60.0.1,172.16.0.0/16,LocalSubnet profile=Domain netsh advfirewall firewall add rule name="My Application" dir=in action=allow program= "C:\MyApp\MyApp.exe" enable=yes remoteip=157.60.0.1,172.16.0.0/16,LocalSubnet profile=domain
netsh firewall add allowedprogram program=C:\MyApp\MyApp.exe name="My Application" mode=ENABLE scope=CUSTOM addresses=157.60.0.1,172.16.0.0/16,LocalSubnet profile=ALL 运行以下命令：
netsh advfirewall firewall add rule name="My Application" dir=in action=allow program= "C:\MyApp\MyApp.exe" enable=yes remoteip=157.60.0.1,172.16.0.0/16,LocalSubnet profile=domain
netsh advfirewall firewall add rule name="My Application" dir=in action=allow program="C:\MyApp\MyApp.exe" enable=yes remoteip=157.60.0.1,172.16.0.0/16,LocalSubnet profile=private

有关如何添加防火墙规则的详细信息，请运行以下命令：

控制台

netsh advfirewall firewall add rule ?

命令示例 2：启用端口

旧命令 新建命令
netsh firewall add portopening TCP 80 "Open Port 80" netsh advfirewall firewall add rule name= "Open Port 80" dir=in action=allow protocol=TCP localport=80

有关如何添加防火墙规则的详细信息，请运行以下命令：

控制台

netsh advfirewall firewall add rule ?

命令示例 3：删除已启用的程序或端口

旧命令 新建命令
netsh firewall delete allowedprogram C:\MyApp\MyApp.exe netsh advfirewall firewall delete rule name= rule name program="C:\MyApp\MyApp.exe"
delete portopening protocol=UDP port=500 netsh advfirewall firewall delete rule name= rule name protocol=udp localport=500

有关如何删除防火墙规则的详细信息，请运行以下命令：

控制台

netsh advfirewall firewall delete rule ?

命令示例 4：配置 ICMP 设置

旧命令 新建命令
netsh firewall set icmpsetting 8 netsh advfirewall firewall add rule name="ICMP Allow incoming V4 echo request" protocol=icmpv4:8,any dir=in action=allow
netsh firewall set icmpsetting type=ALL mode=enable netsh advfirewall firewall add rule name= "All ICMP V4" protocol=icmpv4:any,any dir=in action=allow
netsh firewall set icmpsetting 13 disable all netsh advfirewall firewall add rule name="Block Type 13 ICMP V4" protocol=icmpv4:13,any dir=in action=block

有关如何配置 ICMP 设置的详细信息，请运行以下命令：

控制台

netsh advfirewall firewall add rule ?

命令示例 5：设置日志记录

旧命令 新建命令
netsh firewall set logging %systemroot%\system32\LogFiles\Firewall\pfirewall.log 4096 ENABLE ENABLE 运行以下命令：
netsh advfirewall set currentprofile logging filename %systemroot%\system32\LogFiles\Firewall\pfirewall.log
netsh advfirewall set currentprofile logging maxfilesize 4096
netsh advfirewall set currentprofile logging droppedconnections enable
netsh advfirewall set currentprofile logging allowedconnections enable

有关详细信息，请运行以下命令：

控制台

netsh advfirewall set currentprofile ?

如果要为特定配置文件设置日志记录，请使用以下选项之一， currentprofile 而不是选项之一：

  • Domainprofile
  • Privateprofile
  • Publicprofile

命令示例 6：启用 Windows 防火墙

旧命令 新建命令
netsh firewall set opmode ENABLE netsh advfirewall set currentprofile state on
netsh firewall set opmode mode=ENABLE exceptions=enable 运行以下命令：
Netsh advfirewall set currentprofile state on
netsh advfirewall set currentprofile firewallpolicy blockinboundalways,allowoutbound
netsh firewall set opmode mode=enable exceptions=disable profile=domain 运行以下命令：
Netsh advfirewall set domainprofile state on
netsh advfirewall set domainprofile firewallpolicy blockinbound,allowoutbound
netsh firewall set opmode mode=enable profile=ALL 运行以下命令：
netsh advfirewall set domainprofile state on
netsh advfirewall set privateprofile state on

有关详细信息，请运行以下命令：

控制台

netsh advfirewall set currentprofile ?

如果要为特定配置文件设置防火墙状态，请使用以下选项之一， currentprofile 而不是选项之一：

  • Domainprofile
  • Privateprofile
  • Publicprofile

命令示例 7：还原策略默认值

旧命令 新建命令
netsh firewall reset netsh advfirewall reset

有关详细信息，请运行以下命令：

控制台

netsh advfirewall reset ?

命令示例 8：启用特定服务

旧命令 新建命令
netsh firewall set service FileAndPrint netsh advfirewall firewall set rule group="File and Printer Sharing" new enable=Yes
netsh firewall set service RemoteDesktop enable netsh advfirewall firewall set rule group="remote desktop" new enable=Yes
netsh firewall set service RemoteDesktop enable profile=ALL 运行以下命令：

netsh advfirewall firewall set rule group="remote desktop" new enable=Yes profile=domain

netsh advfirewall firewall set rule group="remote desktop" new enable=Yes profile=private

命令行界面配置方案

由于在Windows 7系统下setsh firewall 这个命令已经被弃用，因此，这里我使用Windows Server 2008进行操作。

允许被Ping, 命令：

netsh firewall set icmpsetting 8

禁止被Ping, 命令：

netsh firewall set icmpsetting 8 disable

使用 netsh advfirewall 防火墙上下文 – Windows Server | Microsoft Learn