必须在“计算机配置→策略→windows设置→安全设置→windows defender防火墙与高级安全”节点配置，导出.wfw文件后通过gpo导入，区分程序/端口/服务规则适用场景，并验证配置文件、启用状态、安全筛选及gpupdate生效。
在域环境中，通过 gpo 管理 windows 高级安全防火墙是统一、可靠且可审计的标准做法。关键不是“能不能配”，而是“在哪配、怎么配、配完为什么没生效”。核心路径只有一条，偏离就会失败。
必须用对策略位置
所有规则配置必须落在：
- 计算机配置 → 策略 → Windows 设置 → 安全设置 → Windows Defender 防火墙与高级安全
这个节点支持新建入站/出站规则、导入策略文件、配置IPsec等完整能力。不要误入“管理模板 → 网络 → 网络连接 → Windows 防火墙”——它只能开关防火墙或设默认行为，无法添加端口、程序或服务例外，属于旧版兼容路径，不适用于现代防火墙管理。
推荐批量部署方式：先导出，再导入
手动在每台机上点选“新建规则”不可控、难复现、易遗漏。生产环境应采用模板化流程：
- 在一台干净测试机上用 wf.msc 配好全部规则（含作用域、配置文件、启用状态）
- 在控制台菜单选择 文件 → 导出策略，保存为 .wfw 文件
- 在 GPO 的“Windows Defender 防火墙与高级安全”节点右键 → 导入策略，指向该文件
注意：导入会完全覆盖目标计算机上已有的所有高级安全规则，部署前务必确认环境或提前备份原策略。
三类规则的适用逻辑要分清
程序、端口、服务规则不是功能重复，而是解决不同问题：
- 程序规则：指定绝对路径（如 "C:\Program Files\MyApp\server.exe"），适合安装路径固定的第三方应用；注意 x64/x86 架构和空格路径需加英文引号
- 端口规则：明确协议+端口（如 TCP 1433），适合数据库、Web 服务等标准通信；可在“作用域”中限制源 IP 段，提升安全性
- 服务规则：直接填 Windows 服务名（如 wuauserv），不依赖路径或端口，适合系统服务；但仅对注册到 INetCfg 的服务有效，多数第三方服务不支持
规则生效的隐藏条件
即使 GPO 已链接并刷新，规则仍可能不工作，常见卡点有：
- 当前网络类型是否匹配规则的配置文件（域/专用/公用）——域成员机通常只认“域配置文件”，可用 netsh advfirewall show currentprofile 快速验证
- 规则本身是否设为已启用（禁用状态不会被推送）
- GPO 是否启用了安全筛选——目标计算机账户（如 Domain Computers）必须有“读取”和“应用组策略”权限，默认 Authenticated Users 已具备，但若手动删过则需补回
- 客户端是否执行了 gpupdate /force，并重启防火墙服务（net stop mpssvc && net start mpssvc）或重启机器；后台自动刷新默认 90 分钟，不能等
