使用 PowerShell 配置 Windows 防火墙规则

本文介绍如何使用 PowerShell 管理具有高级安全性的内置 Windows Defender 防火墙的设置和规则的基础知识。我们将考虑如何为不同的网络配置文件启用/禁用防火墙、创建或删除防火墙规则并编写一个小 PS 脚本以获得显示当前活动防火墙规则集的便捷表格。

您可以从图形控制台管理 Windows 防火墙设置：控制面板 -> 系统和安全 -> Windows Defender 防火墙。但是，从 Windows 8.1 (Windows Server 2012 R2) 开始，您可以使用内置的 NetSecurity PowerShell 模块来管理防火墙。

以前，以下命令用于管理 Windows 防火墙规则和设置：

netsh advfirewall firewall

Windows 10 上的 NetSecurity 模块中有 85 个可用命令。您可以显示整个列表：

Get-Command -Module NetSecurity

如何从 PowerShell 管理 Windows 防火墙网络配置文件？

Windows 防火墙中有三种类型的网络配置文件：

• 域 - 应用于 Active Directory 域中的计算机

• 私人 - 家庭或公司网络

• 公共 - 公共网络

网络位置感知 (NLA) 将有关网络类型的信息保存在其数据库中。如果检测不正确，您可以更改网络配置文件（位置）。

每个网络配置文件（位置）可能因所使用的防火墙规则集而异。默认情况下，计算机的所有网络接口都受防火墙保护，并且所有三种类型的配置文件都应用于它们。

要启用所有三个网络配置文件：域、公共和专用，请使用以下命令：

Set-NetFirewallProfile -All -Enabled True

或者设置特定配置文件而不是全部：

Set-NetFirewallProfile -Profile Public -Enabled True

要禁用所有三个网络位置的防火墙，请使用以下命令：

Set-NetFirewallProfile -All -Enabled False

使用 Set-NetFirewallProfile cmdlet，您可以更改配置文件选项（默认操作、日志记录、日志文件的路径和大小、通知设置等）。

您可能知道，在现代操作系统版本中，所有配置文件都启用了 Windows 防火墙。在配置文件设置中，允许所有出站连接，并阻止所有入站连接（允许的连接除外）。

让我们更改公共配置文件的默认操作以阻止所有入站连接。

Set-NetFirewallProfile -Name Public -DefaultInboundAction Block

您可以显示当前的配置文件设置，如下所示：

Get-NetFirewallProfile -Name Public

如果您使用 GPO 管理 Windows 防火墙设置，则可以显示当前生成的配置文件设置，如下所示：

Get-NetFirewallProfile -policystore activestore

确保所有防火墙设置都应用于计算机的所有网络接口。

Get-NetFirewallProfile -Name Public | fl DisabledInterfaceAliases

如果所有接口都受到保护，该命令将返回以下内容：

DisabledInterfaceAliases : {NotConfigured}

您可以禁用特定的接口配置文件（要显示接口名称列表，请使用 Get-NetIPInterface）：

Set-NetFirewallProfile -Name Public -DisabledInterfaceAliases "Ethernet0"

如您所见，公共配置文件不再应用于Ethernet0：

DisabledInterfaceAliases : {Ethernet0}

您可以在配置文件级别设置网络连接日志记录选项。默认情况下，Windows 防火墙日志存储在%systemroot%\system32\LogFiles\Firewall 中，文件大小为4MB。您可以启用所有连接日志记录并更改最大文件大小：

Set-NetFireWallProfile -Profile Domain -LogBlocked True -LogMaxSize 20000 -LogFileName ‘%systemroot%\system32\LogFiles\Firewall\pfirewall.log’

如何使用 PowerShell 创建、编辑或删除 Windows 防火墙规则？

有 9 个 cmdlet 可以管理您的防火墙规则：

New-NetFirewallRule
Copy-NetFirewallRule
Disable-NetFirewallRule
Enable-NetFirewallRule
Get-NetFirewallRule
Remove-NetFirewallRule
Rename-NetFirewallRule
Set-NetFirewallRule
Show-NetFirewallRule

让我们考虑一些如何在 Windows 防火墙中打开端口的简单示例。

例如，如果您想要允许域和专用配置文件到端口 80 和 443 的入站 TCP 连接，请使用以下命令：

New-NetFirewallRule -DisplayName 'HTTP-Inbound' -Profile @('Domain', 'Private') -Direction Inbound -Action Allow -Protocol TCP -LocalPort @('80', '443')

您可以允许或阻止应用程序的网络访问。例如，您想要阻止 Firefox 的出站连接：

New-NetFirewallRule -Program “C:\Program Files (x86)\Mozilla Firefox\firefox.exe” -Action Block -Profile Domain, Private -DisplayName “Block Firefox browser” -Description “Block Firefox browser” -Direction Outbound

仅允许来自一个 IP 地址的端口 3389 上的入站 RDP 连接：

New-NetFirewallRule -DisplayName "AllowRDP" -RemoteAddress 192.168.2.200 -Direction Inbound -Protocol TCP -LocalPort 3389 -Action Allow

要允许对指定 IP 子网或 IP 范围中的地址进行 ping (ICMP)，请使用以下命令：

$ips = @("192.168.2.15-192.168.2.40", "192.168.100.15-192.168.100.200", ”10.1.0.0/16”)
New-NetFirewallRule -DisplayName "Allow inbound ICMPv4" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress $ips -Action Allow
New-NetFirewallRule -DisplayName "Allow inbound ICMPv6" -Direction Inbound -Protocol ICMPv6 -IcmpType 8 -RemoteAddress $ips -Action Allow

在上一篇文章中，我们展示了如何使用 PowerShell 通过 IP 地址和域/站点 DNS 名称阻止站点访问。

为了编辑现有的防火墙规则，可以使用 Set-NetFirewallRule cmdlet。例如，要允许来自先前创建的规则的指定 IP 地址的入站连接：

Get-NetFirewallrule -DisplayName 'HTTP-Inbound' | Get-NetFirewallAddressFilter | Set-NetFirewallAddressFilter -RemoteAddress 192.168.1.10

如果要将多个 IP 地址添加到防火墙规则中，请使用以下脚本：

$ips = @("192.168.2.15", "192.168.2.17",”192.168.100.15”)
Get-NetFirewallrule -DisplayName 'WEB-Inbound'|Set-NetFirewallRule -RemoteAddress $ips

要显示防火墙规则中的所有 IP 地址：

Get-NetFirewallrule -DisplayName 'Allow inbound ICMPv4'|Get-NetFirewallAddressFilter

您可以使用 Disable-NetFirewallRule 和 Enable-NetFirewallRule cmdlet 启用/禁用防火墙规则。

Disable-NetFirewallRule -DisplayName 'WEB-Inbound'

要允许 ICMP (ping)，请运行以下命令：

Enable-NetFirewallRule -Name FPS-ICMP4-ERQ-In

要删除防火墙规则，请使用Remove-NetFirewallRule cmdlet。

使用 PowerShell 列出 Windows 防火墙规则

您可以显示入站流量的活动防火墙规则列表，如下所示：

Get-NetFirewallRule | where {($_.enabled -eq $True) -and ($_.Direction -eq "Inbound")} |ft

如果要显示出站阻止规则列表：

Get-NetFirewallRule -Action Block -Enabled True -Direction Outbound

要在规则中显示应用程序名称：

Get-NetFirewallRule -Action Block -Enabled True -Direction Outbound | %{$_.Name; $_ | Get-NetFirewallApplicationFilter}

如您所见，Get-NetFirewallRule cmdlet 不显示防火墙规则的网络端口和 IP 地址。要以更方便地显示端口号的方式显示有关允许的入站（出站）连接的详细信息，请使用以下 PowerShell 脚本：

Get-NetFirewallRule -Action Allow -Enabled True -Direction Inbound |
Format-Table -Property Name,
@{Name='Protocol';Expression={($PSItem | Get-NetFirewallPortFilter).Protocol}},
@{Name='LocalPort';Expression={($PSItem | Get-NetFirewallPortFilter).LocalPort}},
@{Name='RemotePort';Expression={($PSItem | Get-NetFirewallPortFilter).RemotePort}},
@{Name='RemoteAddress';Expression={($PSItem | Get-NetFirewallAddressFilter).RemoteAddress}},
Enabled,Profile,Direction,Action

PowerShell 提供了充足的机会从命令提示符管理 Windows 防火墙规则。如果发生某些事件，您可以自动运行 PowerShell 脚本来打开/关闭端口。在下一篇文章中，我们将考虑一种基于 PowerShell 和 Windows 防火墙的简单解决方案，用于自动阻止尝试通过 Windows VDS 服务器上的 RDP 远程暴力破解密码的 IP 地址。