如何配置Windows防火墙入站规则仅允许可信IP访问？

Question

如何在Windows防火墙中配置入站规则，仅允许可信IP地址访问特定端口（如RDP的3389）？当尝试阻止非授权IP连接时，常因规则优先级、作用域设置错误或未正确应用“阻止所有其他连接”策略，导致限制失效或误封合法用户。应如何精确设置IP范围、验证规则生效状态，并避免锁定远程管理会话？

Answer 1

一、Windows防火墙中配置基于可信IP的入站规则：从基础到高阶实践

1. 理解Windows防火墙的基本机制与RDP端口安全背景

远程桌面协议（RDP）默认使用TCP 3389端口，是企业远程管理的重要手段。然而，该端口长期暴露在公网中极易成为暴力破解和横向移动的目标。Windows防火墙作为系统级防护组件，支持通过入站规则实现基于IP地址的访问控制。

其核心机制依赖于“规则优先级”、“作用域匹配”和“允许/阻止策略”的组合判断。当多条规则冲突时，Windows按“显式阻止 > 显式允许 > 默认行为”的顺序执行，因此规则设计必须遵循最小权限原则。

• 入站规则决定哪些外部连接可进入主机
• 出站规则控制本地发起的连接
• 每条规则包含协议、端口、操作、作用域和配置文件类型等属性

2. 配置步骤详解：创建仅允许可信IP访问RDP的入站规则

1. 打开“高级安全Windows Defender防火墙”（wf.msc）
2. 选择左侧“入站规则”，点击右侧“新建规则”
3. 选择“端口” → “TCP” → 特定本地端口“3389”
4. 操作选择“允许连接”
5. 在“配置文件”页面勾选域、专用、公用（根据实际环境调整）
6. 为规则命名，如“Allow RDP from Trusted Subnets”
7. 关键步骤：在“作用域”选项卡中，“远程IP地址”选择“下列IP地址”，添加可信IP范围（如192.168.10.0/24, 203.0.113.5）

字段	推荐设置
协议类型	TCP
本地端口	3389
操作	允许连接
配置文件	根据网络环境选择
远程IP地址	指定可信子网或IP列表
规则名称	语义清晰，含目的与范围

3. 规则优先级与“阻止所有其他连接”策略的正确应用

仅创建允许规则不足以实现“仅允许可信IP”，因为默认策略可能仍允许其他连接。必须配合一条高优先级的“阻止”规则来闭合访问面。

正确做法如下：

1. 确保允许规则已正确设置远程IP作用域
2. 创建第二条入站规则：端口3389，操作为“阻止连接”
3. 此阻止规则的作用域设为“任何IP地址”
4. 通过规则属性中的“常规”标签页调整“规则优先级”（数字越小优先级越高），或将允许规则置于阻止规则之前（Windows按顺序评估）

注意：若先定义了宽泛的允许规则（如任意IP可访问3389），后续阻止规则将无效，因允许规则已提前匹配并放行。

4. 精确设置IP范围：CIDR、子网与例外处理

在“作用域”设置中，支持多种格式：

• 单个IP：192.168.1.100
• IP段：192.168.1.1-192.168.1.254
• CIDR表示法：10.0.0.0/8, 172.16.0.0/12
• 多个独立地址：可用逗号分隔

建议使用CIDR而非IP段，便于维护且减少配置错误。例如：

# 示例可信IP范围
10.10.0.0/16
172.16.20.0/24
203.0.113.10

对于需要排除特定IP的情况，应避免在单一规则中混合允许与排除逻辑，而应拆分为多条规则并通过优先级控制。

5. 验证规则是否生效：诊断与测试方法

配置完成后需验证规则实际效果，防止误配导致服务中断或防护失效。

1. 使用wf.msc查看规则状态是否“已启用”
2. 运行命令：netsh advfirewall firewall show rule name="Allow RDP from Trusted Subnets" 检查详细配置
3. 从可信IP尝试RDP连接，确认成功
4. 从非可信IP尝试连接，应被拒绝（连接超时或提示“无法连接”）
5. 启用Windows事件日志中的防火墙日志（高级设置 → 监视 → 日志设置），路径通常为%systemroot%\system32\logfiles\firewall\pfirewall.log
6. 分析日志中关于3389端口的DROP/ALLOW记录，确认来源IP处理行为

6. 避免锁定远程管理会话的关键措施

远程配置防火墙存在极高风险——一旦规则错误可能导致永久失去服务器访问权限。必须采取预防性策略：

• 始终通过本地控制台或带外管理（iDRAC/IPMI）进行首次配置
• 若必须远程操作，先建立备用管理通道（如SSH、带外KVM）
• 设置临时回滚计划：使用schtasks创建延迟任务，在10分钟后自动删除新规则
• 示例命令：

schtasks /create /tn "Rollback RDP Rule" /tr "netsh advfirewall firewall delete rule name=\"Allow RDP from Trusted Subnets\"" /sc once /st 23:50 /f

完成测试后手动删除该计划任务即可。

7. 高级场景：结合组策略与PowerShell自动化部署

在大规模环境中，手动配置不可持续。可通过PowerShell脚本统一部署：

# 创建允许规则
New-NetFirewallRule -DisplayName "Allow RDP from Trusted Networks" `
                    -Direction Inbound `
                    -Protocol TCP `
                    -LocalPort 3389 `
                    -Action Allow `
                    -RemoteAddress 192.168.10.0/24,203.0.113.5 `
                    -Profile Any

# 创建阻止规则（覆盖其余IP）
New-NetFirewallRule -DisplayName "Block RDP from Untrusted Networks" `
                    -Direction Inbound `
                    -Protocol TCP `
                    -LocalPort 3389 `
                    -Action Block `
                    -RemoteAddress Any `
                    -Profile Any

通过组策略偏好（GPO Preferences）或Intune推送脚本，实现全组织策略一致性。

8. 常见错误分析与故障排查流程图

graph TD A[无法连接RDP] --> B{是否刚配置防火墙规则?} B -->|是| C[检查规则是否启用] B -->|否| D[检查网络连通性与NAT] C --> E[确认允许规则的作用域是否包含源IP] E --> F[是否存在更高优先级的阻止规则?] F --> G[查看防火墙日志pfirewall.log] G --> H[确认连接被ALLOW还是DROP] H -->|DROP| I[检查远程IP是否在允许列表] H -->|ALLOW| J[问题可能在RDP服务本身] I --> K[修正IP范围或规则顺序]