如何在Windows系统中查看被封禁IP的连接记录？
美国、香港服务器
如何在Windows系统中查看被封禁IP的连接记录？
11-21 来源:
在 Windows 查看被封禁 IP 的连接记录，优先启用防火墙日志并通过 pfirewall.log 与事件查看器筛选；若为登录类封禁，可结合安全日志与 PowerShell 提取，下面是可直接执行的步骤与命令。🛡️
核心路径对比（快速选择）
路径 适用场景 关键信息 启用前提
pfirewall.log 数据包级 DROP/ALLOW，含 IP / 端口 / 协议 时间、动作、源 IP、目标 IP / 端口 启用 “记录丢弃的数据包”
事件查看器 Firewall 日志 规则触发事件，含规则名与方向 事件描述、规则 ID、源 / 目标 日志已启用
安全日志（4625/4624 等） 登录尝试 / 失败（如 RDP/SSH） 登录类型、IP、账户 审计策略开启
方法一：pfirewall.log（数据包级，推荐）
启用日志（必做）
Win+R → wf.msc → 右键 “高级安全 Windows 防火墙” → 属性 → 对域 / 专用 / 公用配置文件，在 “日志记录” 点 “自定义” → 勾选 “记录丢弃的数据包”，按需勾选 “记录成功的连接”，指定路径与最大大小 → 确定。默认路径：% SystemRoot%\System32\LogFiles\Firewall\pfirewall.log。
直接查看与筛选
用 Notepad++ 以管理员身份打开 pfirewall.log；被占用时先复制到桌面再打开。
典型条目格式：日期 时间 动作 协议 源 IP 源端口 目标 IP 目标端口 …，关键字 DROP 即为被封禁的数据包。
PowerShell 实时筛选（推荐）
以管理员身份打开 PowerShell，执行以下命令：
powershell
# 实时监控 DROP 并筛选目标 IP/端口
Get-Content "$env:SystemRoot\System32\LogFiles\Firewall\pfirewall.log" -Wait | Select-String -Pattern "DROP"
# 按指定 IP 筛选
Get-Content "$env:SystemRoot\System32\LogFiles\Firewall\pfirewall.log" | Select-String -Pattern "192.168.1.100"
# 按端口筛选（如 3389）
Get-Content "$env:SystemRoot\System32\LogFiles\Firewall\pfirewall.log" | Select-String -Pattern "DROP.*TCP.*3389"
方法二：事件查看器（规则触发与系统事件）
打开事件查看器
Win+R → eventvwr.msc → 展开 应用程序和服务日志 → Microsoft → Windows → Windows Firewall with Advanced Security → Firewall 日志。
筛选封禁相关事件
右侧 “筛选当前日志” → 输入关键词（如 “阻止”“denied”“rejected”），或按事件 ID / 时间范围过滤。
双击事件查看详情，可获取触发的规则名称、连接方向、源 / 目标 IP 与端口，便于定位对应封禁规则。
监控面板快速查看
在 wf.msc 左侧选择 “监控” → “防火墙”，可查看当前活动规则与近期被阻止的连接摘要，适合快速排查。
方法三：安全日志（登录类封禁，如 RDP/SSH）
适用场景
若封禁是因频繁登录失败（如 RDP 暴力破解），可通过安全日志提取攻击 IP。
筛选事件 ID
事件查看器 → Windows 日志 → 安全 → 筛选事件 ID：4625（登录失败）、4624（登录成功）。
双击事件，在详情中查找 “IpAddress” 字段，获取攻击 IP。
PowerShell 批量提取（管理员）
powershell
$start=(Get-Date).AddHours(-24)
Get-WinEvent -FilterHashtable @{LogName="Security"; Id=4625; StartTime=$start} -ErrorAction SilentlyContinue | ForEach-Object {
$xml = [xml]$_.ToXml()
$ip = $xml.SelectSingleNode("//*[@Name="IpAddress"]")?.InnerText
if ($ip -and $ip -ne "-") { [PSCustomObject]@{TimeCreated=$_.TimeCreated; IpAddress=$ip} }
} | Group-Object IpAddress | Sort-Object Count -Descending
常见问题与排查
日志为空：确认已启用 “记录丢弃的数据包”，并切换到对应配置文件（如公用网络）；以管理员身份打开日志文件。
找不到目标 IP：扩大时间范围，用通配符筛选；检查是否为出站封禁，调整筛选方向。
日志轮转：设置合理的最大日志大小，避免旧记录被覆盖；定期备份重要日志。
第三方杀软 / 防火墙：部分安全软件会接管系统防火墙，需在其控制台查看拦截日志。
进阶：导出与可视化
导出为 CSV（PowerShell）：将筛选结果通过 Export-Csv -Path "C:\temp\blocked_ips.csv" -NoTypeInformation 导出，便于后续分析。
实时监控：用 Get-Content -Wait 实时跟踪 pfirewall.log，搭配 Select-String 过滤关键词，快速发现新的攻击 IP。
小结
优先启用 pfirewall.log 记录丢弃数据包，用 PowerShell 按 IP / 端口 / 协议筛选；规则级触发看事件查看器 Firewall 日志；登录类封禁查安全日志 4625。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
