三个档案都要看
Windows 防火墙按网络档案分别生效：域、专用、公用各有独立状态与默认动作。核查时最容易出问题的是「只看一个档案」——例如只在域档案里做了限制，机器一旦切到公用档案就完全不设防；再比如某台机器因为网络位置被判错而落到公用档案，策略与预期不符。核查的目标是三个档案都处于启用状态，且入站默认动作是阻止。
基本信息
| 加固项 | 主机防火墙配置 |
|---|---|
| 适用平台 | Windows 10/11 与 Windows Server 2016+ |
| 风险等级 | 高 |
| 判读 | 三个档案全部启用，入站默认阻止 |
| 执行权限 | 建议以管理员身份运行 |
典型使用场景
- 交付核查：确认设备在三个网络档案下都有防护
- 事件排查：确认主机是否曾经处于防护关闭状态
- 变更复核：远程调整规则后确认档案状态与放行范围
- 合规测评：防火墙启用与默认拒绝是固定检查项
- 批量巡检：多台终端横向对比，找出配置漂移的机器
核查命令
核查命令
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction,DefaultOutboundAction
netsh advfirewall show allprofiles state # 传统命令交叉确认
netsh advfirewall show allprofiles firewallpolicy
Get-NetFirewallRule -Enabled True -Direction Inbound -Action Allow | Select-Object -First 20 DisplayName,Profile
Get-NetFirewallRule -Enabled True -Direction Inbound -Action Allow | Group-Object Profile | Select-Object Count,Name关键字段读法
| 字段 | 含义 | 判读要点 |
|---|---|---|
| Name | 档案名称：域、专用、公用 | 三个档案都要逐个确认，不能只看一个 |
| Enabled | 档案是否启用 | 任一为 False 都属不符合 |
| DefaultInboundAction | 入站默认动作 | 应为阻止，其余放行靠规则显式添加 |
| DefaultOutboundAction | 出站默认动作 | 通常允许，按组织策略评估 |
| 放行规则清单 | 启用且放行的入站规则 | 逐条确认业务归属与远程地址限制 |
云主机要对照安全组：报告建议分「本机防火墙」与「云侧安全组」两栏，注明各自的覆盖范围。很多暴露问题并不是本机防火墙没开，而是云侧放行了全部来源，两栏并列陈述才能看清责任边界。
网络位置切换会让机器落到不同档案：笔记本带出办公网络后自动切到公用档案，只在域档案做过限制的机器此时几乎不设防。核查与整改都要求三个档案一致，而不是只处理当前生效的那个。
规则与档案一起看
默认动作决定姿态，放行规则决定细节。核查时先把三个档案的状态拿出来，再统计启用中的入站放行规则，重点关注远程地址为空（即任意来源）的管理类端口规则。两步合起来才能回答「这台机器实际开放了什么」，单看任何一步都会留下判断盲区。