要限制Windows防火墙仅允许特定IP访问，需通过创建高优先级允许规则+默认拒绝策略实现，关键在于精确配置作用域IP范围并确保规则优先级正确，避免因配置错误导致防护失效或服务中断。

一、核心配置步骤

1. 基础认知：防火墙工作原理

Windows防火墙采用显式拒绝默认策略，但系统预置规则（如RDP默认规则）通常允许任意IP访问，新规则若未置顶则永不生效。必须理解：

• 规则匹配顺序：自上而下、首条匹配即终止
• 入站/出站独立：RDP等服务需配置入站规则
• 作用域关键性：必须同时配置"本地IP"与"远程IP"，否则可能误阻断本机连接

2. 图形界面配置（推荐新手）

步骤1：创建允许规则

1. 打开高级防火墙：Win+R输入wf.msc → 左侧"入站规则" → 右键"新建规则"
2. 选择端口：协议选TCP → 输入目标端口（如3389）
3. 设置操作：选择"允许连接"（非"允许连接如果安全"）
4. 配置文件：勾选域、专用、公用（根据实际环境）
5. 命名规则：使用语义化名称（如RDP-ALLOW-192.168.1.100-TCP3389-In）
6. 关键作用域配置：
   • 远程IP地址：添加指定IP（如192.168.1.100）
   • 同时添加本地回环：127.0.0.1和::1（避免误阻断本机测试）
   • 禁用IPv6绕过：勾选"阻止所有IPv6连接"或显式添加::/0到"除外"

步骤2：调整规则优先级

• 创建后右键规则 → 上移至顶部（确保最高优先级）
• 检查是否有更高优先级的"允许任意IP"规则（如系统默认RDP规则），如有则禁用或删除

步骤3：设置默认拒绝策略

• 进入"Windows Defender防火墙属性" → 将"入站连接"设置为"阻止（默认）"
• 此步骤至关重要，否则仅创建允许规则不足以实现"仅允许可信IP"

3. 命令行/PowerShell配置（适合批量部署）

使用PowerShell脚本（幂等式部署）

# 先删除可能存在的旧规则（避免冲突） Get-NetFirewallRule -DisplayName "RDP-ALLOW-192.168.1.100-TCP3389-In" -ErrorAction SilentlyContinue | Remove-NetFirewallRule # 创建新规则 New-NetFirewallRule ` -DisplayName "RDP-ALLOW-192.168.1.100-TCP3389-In" ` -Direction Inbound ` -Protocol TCP ` -LocalPort 3389 ` -RemoteAddress 192.168.1.100 ` -LocalAddress 127.0.0.1,::1 ` -Action Allow ` -Profile Domain,Private,Public ` -Enabled True ` -Group "RDP Access" ` -Description "仅允许192.168.1.100通过3389端口访问RDP" # 设置规则优先级（数字越小优先级越高） Set-NetFirewallRule -DisplayName "RDP-ALLOW-192.168.1.100-TCP3389-In" -Priority 1

使用netsh命令

netsh advfirewall firewall add rule name="RDP-Whitelist" dir=in action=allow protocol=TCP localport=3389 remoteip=192.168.1.100 profile=private,domain

二、关键验证要点

1. 规则状态验证

• 检查规则是否启用：Get-NetFirewallRule -DisplayName "*RDP-ALLOW*" | fl DisplayName,Enabled,Profile
• 确认作用域配置：Get-NetFirewallRule -DisplayName "RDP-ALLOW-192.168.1.100-TCP3389-In" | Get-NetFirewallAddressFilter

2. 连接测试方法

3. 防火墙日志分析

• 启用日志记录：高级设置 → 监视 → 日志设置 → 勾选"记录丢弃的数据包"
• 日志路径：%systemroot%\system32\logfiles\firewall\pfirewall.log
• 关键分析：搜索DROP记录，确认来源IP是否被正确拦截

三、常见问题及解决方案

1. 典型失效场景

问题：规则配置后仍可从任意IP访问

• 原因：存在更高优先级的"允许任意IP"规则
• 解决：禁用系统默认RDP规则或将允许规则置顶

问题：本地回环无法连接

• 原因：未在"本地IP地址"中添加127.0.0.1和::1
• 解决：编辑规则作用域，添加本机回环地址

问题：IPv6绕过限制

• 原因：未配置IPv6规则或未禁用IPv6
• 解决：创建独立IPv6规则或勾选"阻止所有IPv6连接"

2. 安全加固最佳实践

• 命名规范：采用"动作-目标-端口-来源"格式（如Allow-AppServer-To-SQL1433）
• 白名单策略：先创建允许规则 → 再设置默认拒绝，而非仅依赖单条规则
• 多网卡处理：为不同网卡接口分配正确的网络配置文件（域/专用/公用）
• 云服务器注意：安全组优先级高于系统防火墙，需在云平台同步配置IP限制

四、高级场景配置

1. IP白名单+默认拒绝组合

1. 创建允许规则：指定可信IP段（如192.168.10.0/24）
2. 创建阻止规则：远程IP设为"任何IP地址"，操作选"阻止连接"
3. 确保允许规则优先级高于阻止规则

2. 动态IP更新方案

• 使用脚本定期更新：通过PowerShell获取动态IP并更新规则
• 结合DNS名称：允许特定域名（需确保DNS解析稳定）
• 企业级方案：通过**组策略（GPO）**集中管理防火墙规则