Windows防火墙需手动配置入站、出站及ICMP规则：入站开放端口（如TCP 3389）、出站阻止程序（如WeChat.exe）、ICMP仅允回显请求/应答；注意作用域、配置文件、组策略覆盖及云安全组协同。
入站规则：开放端口让别人能连上你的服务
windows 默认拒绝所有入站连接，所以哪怕你本地跑着 web 服务、数据库或远程桌面，外部设备也连不上——除非你手动放行对应端口或程序。
关键操作路径是：wf.msc → 左侧“入站规则” → 右键“新建规则”。别用控制面板里的基础防火墙界面，它不支持端口/协议级配置。
- 选“端口”类型最常用：比如开放
TCP 3389允许远程桌面，或TCP 8080暴露本地开发服务 - “作用域”页必须检查：若只希望局域网内访问，把“远程 IP 地址”设为
192.168.1.0/24这类子网，别留默认的“任何 IP”，否则可能意外暴露到公网 - 优先点“预定义规则”再找对应项（如“文件和打印机共享”），比手动填端口更安全——它已自动适配依赖的端口和协议
- 新建后规则默认启用，但右键查看属性时务必确认“启用规则”是勾选状态，常见误操作是建完忘了启用
出站规则：禁止某个程序偷偷联网
出站默认全放行，所以普通用户很少需要配；但当你想阻止某软件上传数据、弹广告或自动更新时，就得加出站阻止规则。
路径同上，只是进“出站规则” → “新建规则”，类型选“程序”。
- 必须精确定位
.exe文件路径，比如微信是C:\Program Files\WeChat\WeChat.exe，不能只写目录或用通配符 - “操作”页选“阻止连接”，不是“不允许连接”——后者是向导里的误导性文案，实际按钮文字是“阻止连接”
- “配置文件”页建议三者（域、专用、公用）全勾，否则换网络类型（比如从公司 Wi-Fi 切到手机热点）规则就失效
- 规则名别用“禁止微信”，而要写成
禁止 WeChat.exe 出站_202604，避免后期重复创建时混淆
ICMP 规则：允许 ping 但别开太宽
想让别人能 ping 通你的机器，得单独开 ICMP 入站规则。Windows 不把它归在“端口”里，而是作为协议类型处理。
走“新建规则” → “自定义” → “协议和端口”页 → 协议类型选 ICMPv4（IPv6 环境另加 ICMPv6 规则）。
- 不要直接选“所有 ICMP 类型”，尤其公网服务器——这等于开放时间戳请求、地址掩码请求等老旧且有风险的类型
- 只勾
回显请求（类型 8）和回显应答（类型 0）就够了，对应标准 ping 行为 - 同样注意“作用域”，生产环境建议限制来源 IP 段，避免被用于网络探测
- ICMP 规则对出站一般不用设，除非你明确要禁 ping 外部主机（极少见）
规则冲突与覆盖：组策略可能让你白配
本地在 wf.msc 里配的规则，可能根本不起作用——因为企业环境中，域控通过组策略（GPO）强制下发了更高优先级的防火墙策略。
验证方法：运行 gpresult /h report.html 查看“计算机配置 → 策略 → Windows 设置 → 安全设置 → 高级安全 Windows 防火墙”是否被应用。
- 组策略里的规则优先级高于本地 GUI 创建的规则，哪怕本地显示“已启用”，实际也被覆盖
- 本地规则名如果和 GPO 规则名重复，后者会静默接管，且你在 GUI 里看不到任何提示
- 云服务器（如阿里云、腾讯云）还需额外配安全组，Windows 防火墙只是第二道关，缺一不可
- 改完规则不用重启系统，但若发现不生效，先检查 Windows Firewall 服务是否在运行（
services.msc中查Windows Firewall）
实际配的时候，最容易漏掉的是“作用域”和“配置文件”两处，默认值看着省事，但恰恰是外网暴露或跨网络失效的根源。
