应精准放行负载均衡器健康检查流量：依据监听器类型（四层tcp/udp或七层http/https）确认探测端口、路径及固定源ip段（如100.64.0.0/10），在高级安全windows防火墙中创建限定源ip的入站规则，禁用宽泛策略。
要让 windows 系统的防火墙允许负载均衡器发起的健康检查心跳探测，关键不是“开放所有端口”，而是精准放行探测流量来源、协议和端口。多数误判问题其实源于防火墙默认拦截了探测包，而非后端服务本身异常。
确认健康检查使用的协议和端口
负载均衡器的探测方式取决于监听器类型：
- 四层（TCP/UDP）监听器通常用 TCP SYN 包或 UDP 报文探测指定端口（如 80、443、8080）
- 七层（HTTP/HTTPS）监听器会发送 HTTP GET 请求到指定路径（如
/health），目标端口一般是应用实际监听的端口 - 部分云厂商（如腾讯云、阿里云）使用固定源 IP 段（如
100.64.0.0/10）发起探测，而非负载均衡 VIP
因此，你需要先在负载均衡控制台查看当前监听器配置的健康检查方式、端口、路径及源 IP 范围，再针对性配置防火墙。
在 Windows 防火墙中创建入站规则放行探测流量
推荐使用“高级安全 Windows 防火墙”（wf.msc）操作，确保规则生效于对应网络配置文件（域、专用、公用）：
- 打开
wf.msc→ 左侧选“入站规则” → 右侧点“新建规则” - 类型选“端口”，下一步
- 协议选 TCP 或 UDP，填写健康检查实际使用的端口（如 80；若未指定则填后端服务端口）
- 动作选“允许连接”
- 在“作用域”页中，重点配置“远程 IP 地址”：添加负载均衡器的健康探测源网段（例如
100.64.0.0/10），不要选“任何 IP” - 配置文件按需勾选（生产环境建议仅勾选“域”或“专用”）
- 命名规则如
Allow-CLB-HealthCheck-TCP80，便于识别和后续维护
若使用 HTTP 健康检查且路径含特定 URI（如 /actuator/health），Windows 防火墙本身不解析 HTTP 内容，只需确保端口连通即可；真正影响返回状态码的是 IIS、Nginx 或应用本身。
windows-shell
下载
Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。
避免常见配置陷阱
- ❌ 不要依赖“允许应用通过防火墙”界面（控制面板里的简易设置），它无法指定源 IP，容易放行不可信流量
- ❌ 不要关闭防火墙或启用“允许所有入站连接”，这等于放弃主机层防护
- ❌ 不要在规则中设置过于宽泛的作用域（如
0.0.0.0/0），尤其当服务器暴露在公网时 - ✅ 建议同时检查 Windows 系统服务状态：确保
Windows Firewall服务正在运行，且未被组策略强制禁用 - ✅ 若服务器加入域，确认没有域级 GPO 覆盖本地防火墙策略（可通过
gpresult /h report.html查看生效策略）
配置完成后，可在后端服务器上用 netstat -an | findstr : 验证端口是否监听在 0.0.0.0 或内网地址，并用 telnet 从负载均衡同VPC内另一台机器测试连通性——这比等待健康检查结果更快定位问题。
