默认阻止入站是最小动作
Windows 防火墙的三档案各自独立生效，加固的最小动作是把三个档案全部打开，并把默认动作设为入站阻止、出站允许，然后按业务逐条放行。这个姿态的意义在于：新增的监听端口不会自动可达，任何对外开放都必须是显式动作，暴露面不再靠人工记忆维持。
基本信息
| 加固项 | 默认阻止入站 |
|---|---|
| 适用平台 | Windows 10/11 与 Windows Server 2016+ |
| 风险等级 | 高 |
| 基线 | 三个档案启用，入站默认阻止、出站默认允许 |
| 执行权限 | 需要管理员权限 |
典型使用场景
- 终端加固基线：批量下发统一的防火墙默认动作
- 服务器交付核查：确认三个档案都处于启用状态
- 事件后收紧：发现主机被横向访问后立即调整默认动作
- 变更复核：远程调整前确认放行规则已存在，避免断连
- 合规测评：防火墙启用与默认拒绝是固定检查项
启用与设置默认策略
启用与设置默认策略
netsh advfirewall set allprofiles state on
netsh advfirewall set allprofiles firewallpolicy blockinbound,allowoutbound
Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled True -DefaultInboundAction Block
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction # 复核
netstat -ano | findstr LISTENING | Select-Object -First 10 # 抽查监听端口三个档案的含义
| 档案 | 适用网络 | 注意点 |
|---|---|---|
| Domain | 加入域且能连通域控时生效 | 域内机器以组策略下发为主 |
| Private | 标记为专用网络时生效 | 办公网络常用，规则按业务放行 |
| Public | 标记为公用网络时生效 | 公共场所默认使用，最容易被漏配 |
远程改完设置后立刻用第二个会话验证远程管理端口是否仍可达：相关放行规则若不存在，改完即断连，而这类主机往往没有带外通道可救。正确顺序是先确认放行规则已就位，再调整默认动作。
域内机器的策略常由组策略统一下发，本地改动可能不会生效或被覆盖。改完用组策略结果查询确认最终来源，避免出现「本地显示已阻止、实际策略来自域控」的矛盾结论。
放行规则怎么加
默认阻止之后，业务放行要写成明确规则：指明程序或端口、方向、协议以及适用范围（档案与远程地址）。管理类端口建议把远程地址限制到管理网段或堡垒机地址，而不是留空。规则命名保持统一前缀，便于后续批量核查时一眼识别出哪些是自建规则、哪些是系统默认规则。