三个档案为什么都要看
Windows 防火墙按域、专用、公用三个网络档案分别生效，同一台机器在不同网络位置下套用不同规则。最常见的隐性缺口是只配置了一个档案：办公网里一切正常，笔记本带到其他网络后自动切到公用档案，而该档案仍是默认的宽松状态。核查顺序是先确认三个档案都启用，再看各自的默认动作与放行规则。
基本信息
| 加固项 | 防火墙档案状态核查 |
|---|---|
| 适用平台 | Windows 10/11 与 Windows Server 2016+ |
| 风险等级 | 高 |
| 基线 | 三个档案均处于启用状态 |
| 执行方式 | 图形界面、命令与组策略三选一，域内推荐组策略 |
典型使用场景
- 基线核查：确认三个档案的状态与默认动作
- 移动设备治理：笔记本常切换网络，档案配置尤其重要
- 域内统一：通过组策略下发，避免逐台手工配置产生漂移
- 事件排查：确认主机是否曾在某个档案下失去防护
- 合规测评：防火墙启用状态是固定检查项
查看三档案与默认策略
查看三档案与默认策略
get-netfirewallprofile | select-object Name,Enabled,DefaultInboundAction,DefaultOutboundAction
netsh advfirewall show allprofiles state
netsh advfirewall show allprofiles firewallpolicy
Get-NetConnectionProfile | Select-Object Name,NetworkCategory # 查看当前网络位置档案与判读
| 档案 | 触发条件 | 判读要点 |
|---|---|---|
| 域 | 能连通域控时生效 | 域内以组策略下发为准，本地只读 |
| 专用 | 标记为专用网络时生效 | 办公与家庭网络，按业务放行 |
| 公用 | 标记为公用网络时生效 | 容易被忽略，必须与另两个档案一致 |
| 当前网络位置 | 由系统判定并写入配置 | 位置判错会让机器套用非预期档案 |
域内机器的常见做法是用组策略统一开启三个档案，本地设置只读不改：这样既是统一基线，也避免每台机器各自漂移。若必须本地配置，配置完成后用组策略结果查询确认最终生效来源，避免本地与域策略冲突导致结论矛盾。
第三方安全软件接管防护时，系统查询仍可能显示防火墙已启用，但实际拦截由第三方组件负责：此时不能只看状态字段，必须用实际连通性测试校验防护是否真的生效，否则会把「显示正常」当成「确实受保护」。
报告怎么写
建议按档案分三行记录：档案名称、是否启用、默认入站动作，再加一行说明当前网络位置与判定依据。若主机由组策略管理，额外注明策略来源与最后应用时间。这样一张小表既能支撑合规结论，也能在排查「为什么这台机器规则与其它不同」时立刻给出方向。