最小权限配置windows防火墙需默认拒绝所有连接，仅按需放行特定ip、端口与协议；禁用系统宽泛规则，通过高级安全控制台手动创建作用域精确的入站/出站规则，并用组策略统一管控。

在网络隔离环境下配置 windows 防火墙的最小权限，核心是“只放行必要通信、默认拒绝一切”，而不是简单关闭防火墙或开放大段端口。关键不在于功能多全，而在于规则够细、作用域够窄、权限够严。

明确隔离边界与通信需求

先梳理清楚：哪些设备/网段必须访问本机？访问什么服务（如 SMB、RDP、HTTP）？用什么协议和端口？是否需双向通信？例如：

• 仅允许内网管理网段 10.10.20.0/24 通过 TCP 3389 远程桌面管理服务器
• 仅允许数据库服务器 10.10.30.5 通过 TCP 1433 访问 SQL Server
• 禁止所有公网 IP、无线访客网段、非授权办公子网发起任何入站连接

没有这张清单，后续所有规则都可能过度宽松。

用高级安全控制台创建精准入站规则

避免使用“文件和打印机共享”等系统预设规则——它们通常作用域宽泛、难以审计。应手动新建规则：

Handsfree Windows Control

通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。

下载

• 打开 高级安全 Windows 防火墙 → 右键“入站规则” → “新建规则”
• 规则类型选“端口”，协议选 TCP/UDP，填具体端口号（如 3389、1433）
• 操作选“允许连接”，但务必勾选“仅适用于以下配置文件”中的“域”或“专用”（禁用“公用”）
• 作用域中，“远程 IP 地址”选“下列 IP 地址”，手动添加允许的单个 IP 或子网（如 10.10.20.0/24），不要选“任何 IP 地址”
• 命名清晰，如 Allow-RDP-From-Admin-Network，便于后期维护

禁用默认规则 + 设置全局默认策略

系统自带规则常含隐式宽松逻辑，必须清理：

• 在“入站规则”列表中，找到并禁用所有以“文件和打印机共享”“网络发现”“Core Networking”开头的规则（除非业务强依赖且已单独加固）
• 右键左侧“高级安全 Windows 防火墙” → “属性” → 切换到各配置文件（域/专用/公用）选项卡
• 将“入站连接”设为“阻止”（这是最小权限基石）
• 将“出站连接”也设为“阻止”，再按需为必需出站服务（如 WSUS 更新、时间同步、日志上报）逐条新建出站允许规则

结合组策略统一管控（适用于域环境）

单机配置易遗漏、难审计；域内应通过 GPO 强制下发：

• 在组策略管理编辑器中，定位到：
  计算机配置 → Windows 设置 → 安全设置 → 高级安全 Windows 防火墙 → 高级安全 Windows 防火墙
• 启用“Windows 防火墙：保护所有网络连接”策略，并设为“已启用”
• 导入已测试好的入站/出站规则集（可导出为 .wfw 文件后批量导入）
• 启用“Windows 防火墙：不允许例外”策略（防止用户绕过）
• 对高价值资产（如域控、数据库服务器），额外启用“IPsec 要求身份验证”增强层保护

不复杂但容易忽略