在许多情况下，管理员的第一步是使用防火墙 规则自定义防火墙配置文件，以便他们可以使用应用程序或其他类型的软件。 例如，管理员或用户可以选择添加规则以容纳程序、打开端口或协议，或允许预定义类型的流量。

本文介绍创建和管理防火墙规则的概念和建议。

在许多情况下，应用程序在网络中运行需要允许特定类型的入站流量。 在配置入站异常时，管理员应记住以下规则优先行为：

由于 1 和 2，在设计一组策略时，应确保没有其他可能无意重叠的显式阻止规则，从而阻止希望允许的流量流。

注意

Windows 防火墙不支持管理员分配的加权规则排序。 可以通过记住所描述的少数一致和逻辑规则行为来创建具有预期行为的有效策略集。

首次安装时，网络应用程序和服务会发出 侦听调用 ，指定它们正常运行所需的协议/端口信息。 由于 Windows 防火墙中存在默认 阻止 操作，因此必须创建入站异常规则以允许流量。 应用或应用安装程序本身通常都会添加这一防火墙规则。 否则，用户（或代表用户的防火墙管理员）需要手动创建规则。

如果没有活动应用程序或管理员定义的允许规则 () ，则会在首次启动应用或尝试在网络中通信时提示用户允许或阻止应用程序的数据包：

在这两种情况下，添加规则后，必须删除这些规则才能再次生成提示。 否则，将继续阻止流量。

注意

防火墙的默认设置旨在为你提供安全。 默认情况下允许所有入站连接，会给网络带来各种各样的威胁。 因此，对于来自非 Microsoft 软件的入站连接创建例外，应由受信任的应用开发人员、用户或代表用户的管理员决定。

Windows 防火墙支持在防火墙规则中使用Windows Defender应用程序控制 (WDAC) 应用程序 ID (AppID) 标记。 借助此功能，Windows 防火墙规则可以通过引用进程标记将范围限定为一个应用程序或一组应用程序，而无需使用绝对路径或降低安全性。 此配置有两个步骤：

规则合并 策略设置控制如何组合来自不同策略源的规则。 管理员可以为 域、 专用和公共 配置文件配置不同的合并行为。

除了从 CSP 或 GPO 获取的规则之外，规则合并策略设置还允许或阻止本地管理员创建自己的防火墙规则。

管理员可以在高安全性环境中禁用 LocalPolicyMerge，以保持对终结点的更严格控制。 此设置可能会影响某些在安装时自动生成本地防火墙策略的应用程序和服务。

重要提示

如果禁用了本地策略合并，则任何需要入站连接的应用都需要集中部署规则。

请务必创建和维护此类应用的列表，包括用于通信的网络端口。 通常，可以在应用的网站上找到必须为给定服务打开的端口。 对于更复杂的部署，可能需要使用网络数据包捕获工具进行全面分析。

通常，为了保持最大安全性，管理员只应为确定用于合法用途的应用和服务部署防火墙例外。

注意

应用程序规则不支持使用通配符模式，例如 C:\*\teams.exe 。 只能使用应用程序 () 的完整路径创建规则。

下面是设计防火墙规则时的建议列表：

为网络设计一组防火墙策略时，建议为主机上部署的任何网络应用程序配置 允许规则 。 在用户首次启动应用程序之前设置规则有助于确保无缝体验。

缺少这些分步规则并不一定意味着应用程序最终将无法在网络上进行通信。 但是，在运行时自动创建应用程序规则所涉及的行为需要用户交互和管理权限。 如果设备预期由非管理用户使用，你应该遵循最佳做法，即在应用程序首次启动之前提供这些规则，以避免遇到意外的网络问题。

若要确定阻止某些应用程序在网络中进行通信的原因，请检查以下实例：

管理员也可以使用“设置”应用或策略设置来禁止在运行时创建应用程序规则。

以下是配置出站规则时需要遵循的几条一般准则。

了解用于配置 Windows 防火墙和防火墙规则的工具：

配置工具 >