配置windows defender防火墙时须严守五项禁忌：一、禁止同时关闭专用、公用、域三类网络配置文件；二、禁止放行未知或未签名程序；三、禁止无ip限制地开放21/22/23/135–139/445/3389等高危端口；四、禁止禁用日志记录功能；五、禁止使用弱口令或空口令管理策略。
如果您正在配置电脑防火墙，但担心因操作失误导致安全漏洞或网络功能异常，则需特别注意多项常见设置禁忌。以下是规避风险的具体方法：
一、禁止完全关闭所有网络配置文件的防火墙
Windows Defender 防火墙为不同网络类型（专用、公用、域）分别维护独立策略。同时关闭全部配置文件将使系统完全暴露于未过滤流量之下，失去基础防护能力。
1、打开“Windows 安全中心” → 点击“防火墙和网络保护”。
2、逐一检查“专用网络”“公用网络”“域网络”三类页面顶部开关状态。
3、确认至少一项配置文件处于开启状态，严禁三项全部设为“关”。
二、禁止在无验证前提下放行未知程序
允许未经签名或来源不明的应用通过防火墙，可能为木马、后门程序提供合法通信通道，导致数据外泄或远程控制风险。
1、进入“允许应用或功能通过Windows Defender 防火墙”。
2、点击“更改设置”，查看列表中所有已勾选项目。
3、对名称模糊、发布者为“未知”或路径含临时目录（如Temp、AppData\Local\Temp）的条目，执行取消勾选并点击确定。
三、禁止开放高危端口且不限制访问源
直接开放21（FTP）、22（SSH）、23（Telnet）、135–139（NetBIOS）、445（SMB）、3389（RDP）等端口，且未限定远程IP范围，极易被暴力破解或漏洞利用。
1、进入“高级设置” → 左侧选择“入站规则”。
2、在右侧列表中查找规则名称含“File and Printer Sharing”“Remote Desktop”“FTP Server”等关键词的启用项。
3、双击该规则 → 切换至“作用域”选项卡 → 在“远程IP地址”区域选择下列IP地址 → 点击“添加”输入可信管理IP（如192.168.1.100）→ 确认保存。
四、禁止禁用日志记录功能
关闭安全日志将导致无法追溯入侵尝试、异常连接或策略误配行为，丧失事后分析与响应依据。
1、在“高级设置”界面 → 右键左侧“Windows Defender 防火墙属性”。
2、分别选择“域配置文件”“专用配置文件”“公用配置文件”选项卡。
3、滚动至底部“日志”区域 → 勾选记录被丢弃的数据包和记录成功的连接 → 设置日志路径为非系统盘（如D:\FirewallLog.log）→ 确认应用。
五、禁止使用弱口令或空口令管理防火墙策略
若通过组策略或第三方防火墙软件进行集中管理，管理员账户使用简单密码（如123456、admin）或未设密码，攻击者可轻易获取控制权并篡改全部规则。
1、按下Win + R → 输入gpedit.msc → 以管理员身份运行组策略编辑器。
2、导航至“计算机配置 → Windows设置 → 安全设置 → 账户策略 → 密码策略”。
3、双击“密码必须符合复杂性要求” → 设为已启用；双击“密码长度最小值” → 设为不少于8个字符。
