可通过三种方法查看windows防火墙拦截记录：一、启用pfirewall.log基础日志；二、在事件查看器中筛选id为5157的安全事件；三、用powershell批量配置并验证日志状态。
如果您希望确认 Windows 防火墙是否阻止了特定连接，或排查网络访问异常问题，则需查看防火墙生成的拦截与放行记录。Windows 提供多种日志机制，分别对应不同粒度和启用条件。以下是三种独立且可操作的方法：
一、启用并读取 Windows Defender 防火墙基础日志文件
该方法通过启用内置的 pfirewall.log 文件记录被丢弃或允许的连接事件，日志以纯文本格式存储，便于直接查看源IP、目标端口、协议及行为结果。日志默认关闭，必须手动开启各网络配置文件（域、专用、公用）的日志功能。
1、按下 Win + R 组合键，输入 wf.msc 并回车，打开“高级安全 Windows 防火墙”管理控制台。
2、在左侧面板中，右键单击“高级安全 Windows 防火墙（本地）”，选择“属性”。
3、依次切换至“域配置文件”、“专用配置文件”、“公用配置文件”三个选项卡。
4、在每个选项卡的“日志”区域，点击“自定义”按钮。
5、勾选“记录被丢弃的数据包”和“记录成功的连接”，将日志路径设为 C:\Windows\System32\LogFiles\Firewall\pfirewall.log，设置日志文件最大大小不低于 4096 KB。
6、逐个点击“确定”保存各配置文件设置，确保三者均完成配置。
7、等待若干分钟产生日志后，在资源管理器中直接访问 C:\Windows\System32\LogFiles\Firewall\pfirewall.log，用记事本或 Notepad++ 打开查看。
二、通过事件查看器检索 Windows 筛选平台（WFP）拦截事件
该方式无需预先启用防火墙日志，而是依赖系统安全日志中由 WFP 内核组件自动记录的连接决策事件。事件 ID 5157 明确标识被阻止的连接，包含应用程序路径、筛选器名称、源/目标地址与端口等完整上下文，适合定位具体被拦进程。
1、右键点击“此电脑”，选择“管理”，进入“计算机管理”界面。
2、展开左侧树形菜单：系统工具 → 事件查看器 → Windows 日志 → 安全。
3、在右侧操作面板中，点击“筛选当前日志”。
4、在“事件ID”文本框中输入 5157，点击“确定”。
5、列表中显示所有被阻止连接事件；双击任一事件，在“详细信息”选项卡中查看 XML 或常规视图，重点关注 SourceAddress、DestinationPort、ApplicationPath、FilterName 字段。
三、使用 PowerShell 启用日志并快速验证配置状态
该方法适用于批量配置或脚本化运维场景，通过 PowerShell 命令一次性为全部网络配置文件启用日志，并立即查询当前策略是否生效，避免图形界面操作遗漏某一个配置文件。
1、以管理员身份运行 PowerShell。
2、执行命令启用日志：Set-NetFirewallProfile -Profile Domain,Private,Public -LogAllowed True -LogBlocked True -LogFileName "%systemroot%\System32\LogFiles\Firewall\pfirewall.log"。
3、执行命令验证配置：Get-NetFirewallProfile | Format-List Name,LogAllowed,LogBlocked,LogFileName。
4、检查输出中三项配置文件的 LogBlocked 值是否均为 True，且 LogFileName 指向预期路径。
5、若需立即触发日志写入以测试，可临时运行一条被防火墙规则明确拒绝的连接（如 telnet 到一个未开放且无例外规则的端口），随后检查日志文件末尾是否新增含 DROP 行为的条目。
