Windows Defender防火墙规则限制远程访问

Windows Defender防火墙的规则限制远程访问，本质上是在系统网络层面对入站和出站流量进行精细化管控。很多人遇到远程桌面连不上、Ping不通、共享文件夹无法访问，第一反应是关闭防火墙，这其实是最危险的做法。正确思路是：明确你需要放行哪个远程服务，然后为该服务创建一条最小权限的防火墙规则，仅开放必要的端口和IP地址范围。

当你启用远程桌面（RDP）时，系统通常会自动在防火墙中添加入站规则，但这条默认规则往往允许所有IP连接，或者在某些优化软件、组策略干预后被禁用。如果你的远程访问突然失效，第一步应该检查防火墙中是否存在名为“远程桌面 - 用户模式(TCP-In)”的规则，并确认其处于启用状态。如果规则不存在，就需要手动创建一条精确的入站规则，将本地端口限定在3389，协议选择TCP，作用域部分建议直接指定允许连接的远程IP地址段，而不是选择“任何IP地址”。

对于使用非标准端口的远程桌面，比如你把RDP端口改成了53389，那么除了在注册表中修改PortNumber键值外，还必须在防火墙中单独建立一条对应53389端口的入站规则。很多人只改了注册表，重启后发现连不上，就是因为防火墙仍然只放行默认的3389。创建规则时，选择“端口”，填入53389，其余配置与标准RDP规则一致。同时，建议把那条默认的3389规则直接禁用，减少被扫描的风险。

真正安全的远程访问策略，绝不是把端口暴露给整个互联网。在Windows Defender防火墙的规则属性中，点击“作用域”选项卡，在“远程IP地址”部分选择“下列IP地址”，然后添加你公司或家庭的公网IP地址段。如果你通过VPN获取固定内网IP，也可以在这里填入内网地址范围。这样配置后，只有来自这些指定IP的请求才能到达RDP服务端口，其他所有来源的流量在防火墙层面就会被直接丢弃，连登录界面都看不到。这比依赖RDP自身的账户密码保护要安全得多，因为暴力破解工具根本连建立连接的机会都没有。

SMB协议（445端口）是内网文件共享的核心，也是勒索病毒传播的主要通道。在防火墙中，你应该创建一条入站规则，允许445端口的TCP流量，但在作用域里严格限制为内网IP段，比如192.168.1.0/24或者10.0.0.0/8。对于出站方向的445流量，同样建议建立规则进行控制，防止内网主机主动向外部可疑地址发起SMB连接。如果你的电脑不需要向其他设备提供文件共享，最彻底的做法是直接在“高级安全Windows Defender防火墙”中禁用“文件和打印机共享”相关的所有入站规则，并在网络适配器属性中取消勾选“Microsoft网络的文件和打印机共享”。

WinRM（Windows远程管理）使用5985（HTTP）和5986（HTTPS）端口，是PowerShell远程会话和服务器管理的基础。在域环境或运维场景中，你需要对WinRM的访问来源做严格限制。在防火墙中创建入站规则时，除了限定远程IP地址，还可以在“程序和服务”选项中指定仅允许svchost.exe中承载的WinRM服务，避免其他程序滥用该端口。同时，建议在出站方向也创建一条阻止规则，禁止WinRM流量流向非授权的外部网络，防止被控主机通过WinRM反向连接外部的恶意控制端。

批量部署或脚本化运维时，用图形界面逐台配置防火墙规则效率太低。PowerShell的NetSecurity模块可以精准地创建、修改和删除规则。下面这条命令创建一条名为“RDP-Limited”的入站规则，仅允许来自192.168.1.100的TCP流量访问本地3389端口：

New-NetFirewallRule -DisplayName "RDP-Limited" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 192.168.1.100 -Action Allow

如果需要限制一个IP范围，可以把RemoteAddress参数写成"192.168.1.0/24"。如果要同时限制多个离散的IP，可以用逗号分隔并加引号，例如"192.168.1.100","10.0.0.50"。通过PowerShell还可以一次性导出当前所有防火墙规则，用Compare-Object对比不同时间点的规则变化，快速发现异常新增的规则。

大多数人只关注入站规则，忽视了出站规则的重要性。假设一台内网主机被植入后门程序，它可能会主动向外网某个IP的特定端口发起出站连接，形成一个反向Shell。通过在Windows Defender防火墙中配置严格的出站规则，可以阻断这类异常流量。你可以将出站默认行为设置为“阻止”，然后逐条添加必要的放行规则，比如允许浏览器访问80和443端口，允许DNS查询访问53端口，允许企业内部系统的业务端口。任何未明确允许的出站连接都会被拦截，这能有效阻止数据外泄和远程控制通道的建立。

对于高安全需求的远程访问场景，单纯的IP地址限制还不够，因为IP可以被伪造。Windows Defender防火墙支持IPsec集成，你可以在创建规则时要求连接必须经过IPsec加密和身份验证。在规则属性的“常规”选项卡中勾选“只允许安全连接”，然后点击“自定义”设置身份验证方法，可以要求使用预共享密钥或证书。这样即使攻击者伪造了源IP地址，也无法完成IPsec握手，连接会被直接拒绝。这种配置在站点到站点的VPN隧道或敏感服务器管理场景中非常实用。

配置完规则后，必须开启防火墙日志来验证规则是否生效，以及是否有异常流量被触发。在“高级安全Windows Defender防火墙”的属性中，可以为域配置文件、专用配置文件和公用配置文件分别设置日志路径。建议将日志文件大小限制在4096KB以上，并勾选“记录丢弃的数据包”和“记录成功的连接”。通过分析日志文件，你可以看到哪些IP在尝试连接被阻止的端口，从而及时调整规则或封禁恶意IP。定期导出防火墙规则列表，与基线配置进行比对，也是发现配置漂移和未授权变更的有效手段。

在域环境下，通过组策略集中管理防火墙规则可以确保所有计算机遵循统一的安全策略。在组策略管理编辑器中，依次展开“计算机配置”-“策略”-“Windows设置”-“安全设置”-“高级安全Windows Defender防火墙”，你可以在这里创建入站和出站规则，并指定规则应用到哪些配置文件。组策略部署的防火墙规则在客户端上会显示为只读状态，普通用户无法修改或删除，这能防止终端用户自行关闭防火墙或添加过于宽松的规则。结合WMI筛选器，你还可以针对特定操作系统版本或特定OU的计算机应用不同的防火墙策略。

Windows Defender防火墙的规则处理顺序是先匹配阻止规则，再匹配允许规则，最后匹配默认行为。但规则本身的优先级由“组”和具体规则的顺序决定。如果你创建了一条允许某端口的规则，同时又有一条更宽泛的阻止规则覆盖了相同端口，最终结果取决于哪条规则更精确、排序更靠前。建议在创建规则时使用“组”参数对规则进行分类，并明确每条规则的意图。定期使用Get-NetFirewallRule命令检查规则列表，确认没有冗余或冲突的规则存在。对于临时测试用的规则，务必设置过期时间或及时删除，避免留下安全隐患。

防火墙规则限制远程访问的核心思路始终是“最小权限原则”：只开放必要的端口，只允许信任的源IP，只放行经过认证的连接，并持续监控和审计规则变化。把这条原则落实到每一条防火墙规则的配置中，你的Windows系统就能在开放远程访问便利性的同时，保持足够坚固的网络安全防线。