添加或编辑防火墙规则

可以为入站通信或出站通信创建规则。可以配置规则，以指定程序、服务、协议或端口。当 IT 环境更改时，可以更改、创建或删除规则。

防火墙规则按以下优先级顺序应用：

• 经过身份验证的绕过（覆盖阻止规则的规则）
  
  
• 阻止连接
  
  
• 允许连接
  
  

由于具有高级安全性的 Windows 防火墙在默认情况下阻止所有未经请求的 TCP/IP 传入通信，所以，可能需要对充当服务器、侦听程序或者对等端的程序或服务配置程序、端口和系统服务规则。当服务器角色或配置更改时，必须根据实际情况对程序、端口和系统服务规则进行管理。

	重要
	设置防火墙规则可以为连接请求与规则进行匹配所依据的条件增加了限制级别。例如，如果未在“程序和服务”选项卡中指定程序或服务，将允许所有与其他条件相匹配的程序和服务连接。因此，添加更详细的条件会使规则变得越来越严格，因此，匹配的可能性也就越小。

若要向规则列表中添加程序，必须指定该程序使用的可执行 (.exe) 文件的完整路径。在其自己唯一的 .exe 文件中运行且不是由服务容器托管的系统服务被视为程序，可以将其添加到规则列表中。同样，对于功能与系统服务类似且无论用户是否登录到计算机都会运行的程序，只要该程序在其自己唯一的 .exe 文件中运行，也会被视为程序。

	小心
	如果将托管服务的程序（例如 Svchost.exe、Dllhost.exe 和 Inetinfo.exe）添加到规则中没有进一步限制的规则列表中，可能会使计算机受到安全威胁。同样，添加这些程序还可能与运行 Windows Server 2008 R2 或 Windows Server 2008 的计算机上的其他服务强化策略发生冲突。

将程序添加到规则列表中之后，具有高级安全性的 Windows 防火墙将动态打开（取消阻止）和关闭（阻止）程序所需的端口。如果程序正在运行并侦听传入通信，具有高级安全性的 Windows 防火墙将打开所需端口；当程序未在运行或未在侦听传入通信时，具有高级安全性的 Windows 防火墙将关闭这些端口。由于此动态行为，推荐的方法是将程序添加到规则列表中，以允许未经请求的传入通信通过具有高级安全性的 Windows 防火墙。

	注意
	只有在程序使用 Windows 套接字 (Winsock) 创建端口分配时，才可以使用程序规则来允许未经请求的传入通信通过具有高级安全性的 Windows 防火墙。如果程序不使用 Winsock 分配端口，则必须确定程序使用的端口并将这些端口添加到规则列表中。

在某些情况下，如果无法将程序或系统服务添加到规则列表中，必须确定程序或系统服务使用的端口，然后将相应端口添加到具有高级安全性的 Windows 防火墙规则列表中。

在“协议和端口”选项卡上，可以从最常用协议及其关联协议号列表中进行选择。如果需要添加的协议不在列表中，则可以选择“自定义”并指定协议号。

如果选择 TCP 或 UDP 协议，则可以指定将应用规则的本地和远程端口。将 TCP 或 UDP 端口添加到规则列表中后，只要具有高级安全性的 Windows 防火墙正在运行，无论是否有程序或系统服务在该端口侦听传入通信，该端口都会处于打开（取消阻止）状态。因此，如果需要允许未经请求的传入通信通过具有高级安全性的 Windows 防火墙，应创建程序规则而不是端口规则。

使用“范围”选项卡可指定 IP 地址、子网或 IP 地址范围。可以使用 IPv4 地址和 IPv6 IP 地址。