windows防火墙入站规则控制外部访问本机，默认拒绝；出站规则控制本机对外连接，默认允许；二者方向不同、策略独立、不可替代，需按网络类型、作用域和启用状态分别配置。
windows 防火墙的入站和出站规则不是“开关式”配置，而是方向明确、默认策略不同、彼此独立的两套控制机制。搞清它们的区别和配合逻辑，才能避免开不了服务或突然断网。
入站规则：决定“谁能连你”
入站规则管的是外部设备访问本机的请求，比如远程桌面连接、别人访问你的网站、Ping 测试、文件共享等。Windows 默认阻止所有入站连接，除非你明确放行。
- 新建规则时常用类型是“端口”，例如开放 TCP 3389 允许远程桌面，或开放 TCP 80/443 运行 Web 服务
- 务必注意“作用域”设置：若只希望局域网内可访问，就在“远程 IP 地址”中限定如 192.168.1.0/24，避免误将端口暴露到公网
- 规则生效前，确认对应网络配置文件（域 / 专用 / 公用）已启用该规则；右键规则→“属性”可查看和切换启用状态
- 优先考虑使用“预定义规则”，如“远程桌面”或“文件和打印机共享”，比手动设端口更稳妥——它自动适配服务依赖项和多端口场景
出站规则：决定“你能连谁”
出站规则管的是本机主动向外发起的连接，比如浏览器访问网页、软件自动更新、数据库客户端连服务器等。Windows 默认允许所有出站连接，所以多数普通用户无需额外配置。
- 典型用途是限制特定程序联网，例如阻止某监控工具上传数据：新建“程序”类型规则，指定其 .exe 路径，动作为“阻止连接”
- 出站规则不会影响入站通信——即使你允许某端口入站，又禁止本机从该端口出站，两者各自生效，互不干扰
- 企业环境中常用于防止恶意软件外联或敏感信息泄露，但需注意：过度限制可能造成软件功能异常（如 Office 激活失败、OneDrive 同步中断）
规则优先级与冲突处理
防火墙按固定顺序匹配规则：显式阻止 > 显式允许 > 默认策略。相同条件下，更具体的规则优先（如单个 IP 地址规则 > IP 段规则）。
- 不要同时设置互相矛盾的规则，例如对同一端口既建“允许入站”又建“阻止入站”，后者会生效并导致服务不可用
- 新建规则默认启用，但有时会被手动关闭——检查“高级安全 Windows 防火墙”界面右侧“启用规则”列是否显示“是”
- 若规则未生效，先确认防火墙本身处于开启状态（三个网络配置文件都需检查），再验证规则作用域和协议类型（TCP/UDP）是否匹配实际流量
配置前必须确认的几件事
动手前花两分钟核对，能避免 90% 的连不上、上不了问题：
- 当前网络类型是“专用”还是“公用”？不同配置文件下规则独立启用，切勿在“公用”配置里配了规则却在“专用”网络下测试
- 目标服务是否已真正运行？例如 IIS 未启动时，即使开了 80 端口入站规则，外部也无法访问
- 是否有多层防护？云服务器还需检查平台安全组（如 Azure NSG、阿里云安全组），本地防火墙只是最后一道防线
- 测试方法要匹配规则方向：入站用另一台机器尝试连接；出站可临时禁用某程序后观察其网络行为是否中断
