Windows 7防火墙规则设置

Windows XP集成的防火墙常被视为鸡肋，但现在的WIN7防火墙强悍的功能也有了点“专业”的味道。今天教和大家一起来看看该如何使用WIN7防火墙。

与Vista相同的是，可以通过访问控制面板程序对Windows 7 firewall进行基础配置。与Vista不同的是，你还可以通过访问控制面板的方式对其进行高级配置（包括对出站连接过滤器的配置），而不是一定要创 建空白MMC并加入嵌入式管理单元来实现。只是点击一下左侧面板里的高级配置选项。

Vista 防火墙允许你去选择是在公共网格上还是在专用网络中，而在Windows 7中你有三个选择－－公用网络、家庭网络、办公网络。后两个选项是专用网络的细化。

如果你选择了“家庭网络”选项，你将可以建立一个“家庭组”。在这种环境中，“网路发现”会自动启动，你将可以看到网络中其它的计算机和设备，同时他 们也将可以看到你的计算机。隶属于“家庭组”的计算机能够共享图片、音乐、视频、文档库以及如打印机这样的硬件设备。如果有你不想共享的文件夹在文档库 中，你还可以排除它们。

如果你选择的是“工作网络”，“网路发现”同样会自动启动，但是你将不能创建或是加入“家庭组”。如果你的计算机加入了Windows域（通过控制面 板－－系统和安全－－系统－－高级系统配置－－计算机名 选项卡）并通过DC验证，那么防火墙将自动识别网络类型为域环境网络。 而“公用网络”类型是当你在机场、宾馆、咖啡馆或使用移动宽带网络联通公共wi-fi网络时的适当选择，“网路发现”将默认关闭，这样其它网络中的计 算机就不会发现你的共享而你也将不能创建或加入“家庭组”。

在全部的网络模式中，Windows 7 firewall都将在默认情况下拦截任何发送到不属于白名单中应用程序的连接。Windows 7允许你对不同网络类型分别配置。 多重作用防火墙策略

在Vista中，尽管你有公用网络和私用网络两个配置文件，但是只会有一个在指定的时间内起作用。所以如果你的计算机发生要同时连接两个不同网络的情 况，那你就要倒霉啦。最严格的那条配置文件会被用户到所有的连接上，这意味着你可能无法在本地（私用）网络中做你想做的事，因为你是在公用网络在规则下操 作。而在Windows 7 (和 Server 2008 R2)中，不同网络适配器上可以使用不同的配置文件。也就是说专用网络之间的网络连接受专用网络规则支配，而与公用网络之间的流量则应用公用网络规则。

起作用的是那些不显眼的小事

在很多事例中，更好的可用性往往取决于小的改变，MS听取了用户的意见并将一些“不显眼而又起作用小东西”加入了Windows 7 firewall之中。比如，在Vista中当你创建防火墙规则时，必须分别列出各个IP地址和端口。而现在你只需要指定一个范围，这样一来用在执行一般 管理任务上的时间就被大大缩短了。

你还可以在防火墙控制台中创建连接安全规则（Connection Security Rules）来指定哪些端口或协议有使用IPsec的需求，而不必再使用netsh命令，对于那些喜欢GUI的人，这是一个更方便的改进。

连接安全规则（Connection Security Rules）还支持动态加密。意思是如果服务器收到一个客启端发出的未加密（但是通过了验证）的信息，安全关联会通过已议定的“运行中”来要求加密，以建 立更安全的通讯。

在“高级设置”中对配置文件进行配置

使用“高级设置”控制面板，你可以对每一个网络类型的配置文件进行设置. 对配置文件，你可以进行如下设置： * 开启/关闭防火墙

* （拦截、拦截全部连接或是允许）入站连接

* （允许或拦截）出部连接

* （在有程序被拦截后是否通知你）通知显示 * 允许单播对多播或广播响应

* 除组策略防火墙规则以外允许本地管理员创建并应用本地防火墙规则 关于用netsh.exe配置系统防火墙 (1).查看、开启或禁用系统防火墙

打开命令提示符输入输入命令“netsh firewallshow state”然后回车可查看防火墙的状态，从显示结果中可看到防火墙各功能模块的禁用及启用情况。命令“netsh firewall set opmode disable”用来禁用系统防火墙，相反命令“netsh firewall set opmode enable”可启用防火墙。 (2).允许文件和打印共享

文件和打印共享在局域网中常用的，如果要允许客户端访问本机的共享文件或者打印机，可分别输入并执行如下命令：

netsh firewall add portopening UDP 137 Netbios-ns (允许客户端访问服务器UDP协议的137端口)

netsh firewall add portopening UDP 138 Netbios-dgm (允许访问UDP协议的138端口)

netsh firewall add portopening TCP 139 Netbios-ssn (允许访问TCP协议的139端口)

netsh firewall add portopening TCP 445 Netbios-ds (允许访问TCP协议的445端口)

命令执行完毕后，文件及打印共享所须的端口都被防火墙放行了。 (3).允许ICMP回显

默认情况下，Windows 7出于安全考虑是不允许外部主机对其进行Ping测试的。但在一个安全的局域网环境中，Ping测试又是管理员进行网络测试所必须的，如何允许 Windows 7的ping测试回显呢?

当然，通过系统防火墙控制台可在“入站规则”中将“文件和打印共享(回显请求– ICMPv4-In)”规则设置为允许即可(如果网络使用了 IPv6，则同时要允许 ICMPv6-In 的规则。)。不过，我们在命令行下通过netsh命令可快速实现。执行命令“netsh firewall set icmpsetting 8”可开启ICMP回显，反之执行“netsh firewall set icmpsetting 8 disable”可关闭回显。

Windows 7防火墙规则设置

第一部分：win7系统墙概要

位置：控制面板-windows防火墙

打开后：

点击高级设置：

里面默认有3种配置文件供你使用，一个是域配置文件，一个是专用配置文件，一个是公用配置文件。一个配置文件可以解释成为一个特定类型的登录点所配置的规则设置文件，他取决于你在哪里登录网络。

域：连接上一个域

专用：这是在可信网络里面使用的，如家庭的网络，资源共享是被允许的。

公用：直接连入Internet或者是不信任的网络，或者你想和网络里面的计算机隔离开来。

当你第一次连接上网络的时候，windows会检测你的网络的类型。如果是一个域的话，那么对应的配置文件会被选中。如果不是一个域，那么防火墙会有一个弹窗，让你选中是“公用的”还是“专用的”，这样你就能决定使用哪个配置文件。如果你在选择后改变了主意，想改变其，那么你就得去“网络和共享”那里。这我们会在后面提到。 在我们进一步深入之前，我们得学会怎样进行出站控制。 选中高级设置图片中的属性（上图打框的那里）

详细如下：

前三个标签是显示各个配置文件的基本设置，每个配置文件的入站/出站，日志等的设置都可能不同。所以现在让我们看看他们是怎样设置的。

防火墙状态：就是改变配置文件是开启还是关闭（既是使用与否） 入站连接：

阻止（默认）：没有指定的所有连接都会被阻止。如果你设置了某个规则允许入站，例如共享文件和游戏服务，那么就要在这里选择。

阻止所有连接：这样的设置会使得防火墙“阻止所有，而且没有例外”。所以，如果你有入站的允许规则，那么这里就会被阻止。

允许：会允许所有没有具体阻止规则的连接。如果没有入站的阻止规则，那么所有的入站连接都会被允许。 出站连接：

允许（默认）：会允许那些没有具体的阻止规则的连接出站 阻止：没有指定允许规则的出站连接都会被阻止。 设置：点击自定义

这些设置的说明，只要点击了解这些设置的详细信息即可。 日志：选择日志的自定义

详情看了解日志的详细信息。 IPSEC标签：

这一部分是为了安全连接设置的。在后面建立规则的时候会详细提到。现在让我们看看防火墙的预定制的规则。现在先看看出站规则。

在防火墙主界面选择出站规则：

在这里你看到很多的规则，那些绿色勾的表示规则已经激活（正在使用），那些灰色的说明是禁用的规则。为了更好的理解规则，最好先看看组那一栏。你会发现多个规则集中在一个组里面，例如文件和打印机共享和远程协助。用户至少会知道这些指的是什么，不然也该花一点时间上网查查。如果你看看配置文件一栏也会有益处的。

你会发现每个规则都会被指派给一个或者多个配置文件。只有当相应的配置文件在使用中的时候这个规则才会被激活。 为了知道哪些规则正在使用，去监视-防火墙就可以知道。这里会显示当前使用的配置文件所有激活了的入站和出站规则。

第二部分：规则建立的基本理论知识和实例 一、出站规则

添加出站规则：

这是许多用户想知道的。所以我会一步步的把过程详细说明出来。

假如一个用户想启用“文件和打印机共享”，那么在防火墙主界面你有两个选择。你在列表中找到他并且启用他，或者你可以建立一个新规则。

选择“预定义”，并选择“文件和打印机共享”，然后按下一步：

他会显示你需要的规则，然后你可以选择想启用的规则。

这比去”网络和共享”中心去启用方便多了。 二、添加应用程序规则 为一个应用程序添加规则

添加一个应用程序规则分为两个部分，他取决于你想要的规则的严格程度。 现在让我们为chrome浏览器添加一个规则吧 在防火墙主界面选择出站-新建规则 选择“程序”

选择“此程序路径”然后选择应用程序，例如chrome

选择“允许连接”

你可以选择你想添加的配置文件。

然后填写规则的名称和描述。完成。

三、添加限制规则

这样你就得到了一个允许chrome外联的规则。对于一些用户，他们需要更多的控制。如果你想限制程序，那么再次编辑规则。

双击刚才建立的chrome规则来添加限制。

选择“协议和端口”。协议类型选择TCP，添加远程端口80,443

如果你想添加一个端点限制，只有哪些IP才能够连接，那么把这些IP添加到“远程IP地址”里面：

第三部分：实战，添加特殊的规则 为服务添加规则 为svchost添加规则

当对一些服务添加规则的时候有许多英国注意的地方。例如，当为windows updates添加规则的时候，这时需要为远程端口 80/443建立规则。试图添加一些限制可能导致问题，由于系统需要的一个镜像站点的数量一直在改变。在防火墙，你可以为一些服务添加到规则里面。

当我们为chrome做这些的时候，首先为svchost建立应用程序出站规则，在这个过程中我们会收到一个警告的弹窗。

这时不用担心，双击你建立的规则然后选择规则属性，选择自定义服务标签，然后选择服务设置，在弹窗选择“应用于下面服务”，然后选择“windows update”，然后确定：

然后切换到“协议和端口”标签，选择TCP协议和相应的远程端口。

添加ICMP规则 如何建立ICMP规则？

在防火墙的主界面，选择新建规则然后选择自定义，如图：

然后选择一个应用从小，但是我习惯把ICMP的规则应用于整个系统，所以我选择所有程序：

协议类型选择ICMPV4，然后单击自定义：

这里有许多ICMP类型可供选择，例如允许一个“回显请求”。如果你想要的ICMP不在这里，那么你可以在窗口的底端选择ICMP的类型和代码，然后选择添加，这样这种类型的ICMP就会添加入列表中。

本文来源：https://www.bwwdw.com/article/jjq.html