组策略分发Windows防火墙入站规则是企业统一管控核心方式，通过GPO自动推送至域内计算机，支持端口（如1433、3389）、作用域（如192.168.10.0/24）及网络配置文件（域/专用/公用）精细化配置，并可用PowerShell脚本批量部署与验证。
直接通过组策略分发windows防火墙入站规则，是企业环境中统一管控、避免手动配置遗漏的核心方式。它不依赖本地操作，而是将规则定义为gpo策略，推送到域内计算机自动生效，适合sql server、web服务、远程管理等需跨多台设备开放端口的业务场景。
准备前提：域环境与权限要求
确保已部署Active Directory域控制器，且你拥有组策略创建与链接权限（如Domain Admin或Group Policy Creator Owners）。目标计算机必须加入该域，并能正常接收组策略更新（默认每90分钟刷新一次，可手动运行gpupdate /force触发）。
- 使用gpmc.msc（组策略管理控制台）新建GPO，例如命名为“Allow-Business-Ports-Inbound”
- 右键该GPO → “编辑”，导航至：计算机配置 → 策略 → Windows设置 → 安全设置 → Windows Defender 防火墙与高级安全 → Windows Defender 防火墙与高级安全（本地）
- 注意：此处显示的是“本地”节点，但实际配置会通过GPO下发并覆盖本地策略
配置入站规则：图形化向导式设置
在GPO编辑器中，展开右侧“入站规则”，右键 → “新建规则…”启动向导：
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 规则类型选“端口”，下一步
- 协议选TCP或UDP，填入业务所需端口，如1433（SQL Server）、8080（内部API）、3389（远程桌面）；多个端口用英文逗号分隔
- 操作选“允许连接”，下一步
- 作用域页可精准控制访问来源：在“远程IP地址”中选择“下列IP地址”，添加业务系统所在网段（如192.168.10.0/24），避免全网开放
- 配置文件保持“域”勾选（生产服务器通常只在域网络下启用），专用/公用按需调整
- 命名建议含端口+用途+环境，如Allow-SQL-1433-TCP-Domain-Only
命令行方式：批量部署与脚本集成
若需大规模部署或纳入自动化流程，可在GPO的“计算机配置 → 策略 → Windows设置 → 脚本（启动/关机）”中调用PowerShell脚本：
- 脚本内容示例（管理员权限执行）：
New-NetFirewallRule -DisplayName "Allow-API-8080" -Direction Inbound -Protocol TCP -LocalPort 8080 -RemoteAddress 192.168.20.0/24 -Profile Domain -Action Allow -Enabled True - 该命令明确限定仅来自192.168.20.0/24的请求可在域网络下访问8080端口
- 配合netsh advfirewall firewall add rule亦可，但PowerShell更易读、支持管道和条件判断
验证与排错关键点
策略部署后不能仅看GPO是否链接成功，必须验证终端实际状态：
- 在目标计算机上运行Get-NetFirewallRule -DisplayName "Allow-API-8080" | Select Enabled, Profile, Direction，确认Enabled=True且Profile=Domain
- 检查规则是否被更高优先级的阻止规则覆盖：运行Get-NetFirewallRule | Where-Object {$_.Enabled -eq 'True'} | Sort-Object -Property DisplayName，留意是否存在名称含“Block”或作用域更具体的冲突规则
- 用Test-NetConnection 192.168.10.50 -Port 1433从授权客户端测试连通性，同时确认SQL Server服务本身正在监听（netstat -ano | findstr :1433）
