如何配置Windows Server2012的高级防火墙？
美国、香港服务器
如何配置Windows Server2012的高级防火墙？
09-21 来源:
## 一、打开高级防火墙控制台（图形界面）
方式 1：服务器管理器 → 工具 → **具有高级安全性的 Windows 防火墙**
方式 2：Win+R，输入 `wf.msc` 直接打开（最快）
### 第一步：修改防火墙默认行为（最重要）右侧【Windows 防火墙属性】
1. 域配置文件、专用配置文件、**公用配置文件**（服务器上网卡一般是公用）
- 入站连接：**阻止**
- 出站连接：允许（一般保持允许）
- 防火墙状态：**启用**
## 二、图形界面新建白名单规则（高防回源 80/443/FTP）
1. 左侧【入站规则】→ 右侧【新建规则】
2. 规则类型：**自定义** → 下一步
3. 程序：所有程序 → 下一步
4. 协议和端口：TCP；本地端口：80,443 → 下一步
5. **范围（关键）**
- 远程 IP 地址：选择【这些 IP 地址】→ 添加高防服务商给你的回源 IP 段（支持单个 IP、CIDR 网段如 `1.1.1.0/24`）
6. 操作：**允许连接**
7. 配置文件：勾选【域、专用、公用】全部
8. 名称：`Allow-高防回源-80-443`，填写描述，完成
同理新建：
- FTP 21 端口规则，只放行高防回源 IP
> - RDP 3389 远程桌面，**只放行你自己的运维公网 IP，禁止 0.0.0.0/0 全网开放**
## 三、PowerShell 一键命令（推荐，复制管理员终端直接跑，适合批量维护）
替换脚本里 `1.1.1.0/24` 为你的高防回源网段；多个网段用逗号隔开 `1.1.1.0/24,2.2.2.0/24`
# 1.放行高防回源访问80端口
New-NetFirewallRule -DisplayName "Allow-Defense-80" -Direction Inbound -LocalPort 80 -Protocol TCP -RemoteAddress "1.1.1.0/24" -Action Allow -Profile Any
# 2.放行高防回源访问443端口
New-NetFirewallRule -DisplayName "Allow-Defense-443" -Direction Inbound -LocalPort 443 -Protocol TCP -RemoteAddress "1.1.1.0/24" -Action Allow -Profile Any
# 3.放行FTP 21端口（按需开启）
New-NetFirewallRule -DisplayName "Allow-Defense-FTP21" -Direction Inbound -LocalPort 21 -Protocol TCP -RemoteAddress "1.1.1.0/24" -Action Allow -Profile Any
# 4.放行RDP远程桌面，仅你的运维IP（替换为你本地公网IP）
New-NetFirewallRule -DisplayName "Allow-RDP-Admin" -Direction Inbound -LocalPort 3389 -Protocol TCP -RemoteAddress "22.22.22.22/32" -Action Allow -Profile Any
### 查看所有防火墙规则
Get-NetFirewallRule | Select DisplayName,Enabled,Direction,Action
### 删除旧规则示例
Remove-NetFirewallRule -DisplayName "Allow-Defense-80"
## 四、拦截无用协议（抗 DDoS 辅助）
### 屏蔽 ICMP ping 洪水（阻止外部 ping 服务器，按需）
New-NetFirewallRule -DisplayName "Block-ICMP-In" -Direction Inbound -Protocol ICMPv4 -Action Block -Profile Any
关闭 ping 后，外部无法 ping 探测服务器，但你自己内网 / 运维 IP 依然可以单独放行 ICMP。
### 关闭所有不必要 UDP 端口，只保留业务需要端口。
四层 UDP 洪水攻击，直接在防火墙拦截非业务 UDP。
## 五、防火墙日志开启（攻击排查必备）
在防火墙属性 → 公用配置文件 → 日志自定义
- 日志路径：`C:\Windows\System32\logfiles\firewall\pfirewall.log`
- 记录丢包：**记录被丢弃的数据包**，方便查看哪些 IP 在扫描 / 攻击服务器
日志可以看到被防火墙拦截的源 IP，排查攻击来源。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
