Windows防火墙不支持“入站连接跳过规则”，所有流量均需匹配规则；正确做法是配置高优先级的“允许安全连接”规则，结合精确作用域、协议端口限定及网络配置文件启用，实现关键业务可信放行。
windows 防火墙本身没有“入站连接跳过规则”这个官方概念，也不支持所谓“高优先级业务跳过防火墙检查”的操作。这是常见误解，源于对防火墙工作原理或第三方安全产品的混淆。
Windows Defender 防火墙是状态检测型防火墙，所有入站流量都必须经过规则匹配；它不提供“绕过”“跳过”或“免检”机制。所谓“高优先级业务”，实际是通过精确配置高优先级的允许规则来实现快速、稳定、可信的访问，而非跳过检查。
真正可行且符合微软规范的做法，是利用防火墙的规则优先级机制 + 安全连接策略 + 精确作用域控制，让关键业务流量在第一时间被放行，避免被后续更宽泛的阻止规则拦截。
以下是具体配置要点：
1. 使用“允许安全连接”规则类型（最高优先级）
这是 Windows 防火墙中优先级最高的入站规则类型，高于普通“允许连接”和“阻止连接”。它要求通信双方均启用 IPsec 加密与身份验证，天然具备可信性。
- 路径：
wf.msc→ 入站规则 → 新建规则 → 选择“自定义” → 在“操作”页中选“允许安全连接” - 适用场景：域内管理服务（如 WS-Management、SMB over IPsec）、核心监控端口（如 Prometheus 的 9100 端口配合证书双向认证）
- 注意：需提前部署 IPsec 策略或使用组策略配置连接安全性规则（Connection Security Rules）
2. 规则顺序靠前 + 明确协议/端口/程序限定
防火墙按从上到下顺序匹配，越靠前的规则越先生效。将关键业务规则手动置顶，并避免模糊设置：
- 不要用“所有端口”或“任何 IP 地址”
- 指定确切协议（TCP/UDP）、端口号（如
TCP 22、UDP 123）、远程 IP 范围（如10.10.5.0/24） - 若针对程序，务必用完整绝对路径（如
C:\Program Files\MyDB\mysqld.exe），禁用通配符
3. 按网络配置文件精准启用，避免跨环境误判
同一规则可分别对“域”“专用”“公用”三类网络配置文件启用/禁用：
- 生产服务器通常只启用“域”和“专用”，禁用“公用”
- 关键服务规则建议仅在“专用”配置文件启用，防止公网暴露
- 右键规则 → 属性 → “常规”页中确认“已启用此规则”，并在“高级”页中勾选对应配置文件
4. 避免与组策略或云平台安全组冲突
- 企业环境中，域控下发的组策略（GPO）可能覆盖本地防火墙设置，需检查
gpresult /h report.html - 云服务器（如阿里云 ECS、Azure VM）还受云平台安全组控制，必须同步放行对应端口——防火墙规则只是第二道关卡，安全组不通，本地规则无效
配置完成后，可通过以下方式验证是否生效：
- 本机执行
netsh advfirewall firewall show rule name="你的规则名"查看状态与匹配计数 - 从授权客户端执行
telnet 服务器IP 端口或Test-NetConnection -ComputerName IP -Port 端口 - 查看
Windows 安全日志（事件ID 5156）确认连接是否被“允许安全连接”匹配
不复杂但容易忽略。
