Windows防火墙日志必须设为8MB起、启用自动轮转并指定覆盖天数，路径移至独立盘（如D:\FirewallLogs），授予NETWORK SERVICE写入权限，用PowerShell统一配置三类网络配置文件，并配合磁盘监控形成闭环管理。
windows 防火墙日志默认大小为 4mb，若服务器流量较大或长期运行，极易快速写满并覆盖旧日志，更严重的是可能挤占系统盘空间，影响系统稳定性。关键不是“能不能设”，而是“必须设、合理设、持续管”。
明确日志文件最大容量并启用自动轮转
防火墙日志本身支持按大小限制 + 覆盖旧记录机制，但该功能需手动开启且不能依赖默认值：
- 日志最大大小建议设为 8192 KB（8MB）起步，高并发服务器可设为 16384 KB（16MB）甚至更高；低于 4096 KB 在多数业务场景下易被数小时内填满
- 必须勾选“当达到最大日志大小时，覆盖早于指定天数的事件”选项，并填入合理天数（如 7 或 30），否则日志写满后将直接停止记录，且无任何告警
- 路径不要保留在
C:\Windows\System32\LogFiles\Firewall\默认位置——该目录属系统分区，权限复杂且易受系统更新干扰；推荐改至独立数据盘，例如D:\FirewallLogs\pfirewall.log
确保日志目录具备正确写入权限
即使配置了路径和大小，若 Windows 防火墙服务（Network Service 账户）无写入权限，日志会静默失效，不报错也不生成文件：
windows-shell
下载
Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。
- 手动创建目标文件夹（如
D:\FirewallLogs），右键属性 → “安全”选项卡 → 编辑权限 - 添加 NETWORK SERVICE 用户，并赋予“修改”和“写入”权限；同时保留 SYSTEM 和 Administrators 的完全控制权
- 禁用继承权限后重新应用，避免上级策略意外屏蔽写入能力
通过 PowerShell 批量验证与固化设置
图形界面易漏配某类网络配置文件（域/专用/公用），推荐用 PowerShell 一次性统一设置并立即检查：
- 以管理员身份运行 PowerShell，执行：
Set-NetFirewallProfile -Profile Domain,Private,Public -LogAllowed True -LogBlocked True -LogFileName "D:\FirewallLogs\pfirewall.log" -LogMaxSizeKilobytes 16384 - 随后运行：
Get-NetFirewallProfile | Format-List Name,LogAllowed,LogBlocked,LogFileName,LogMaxSizeKilobytes
确认三项配置文件均显示一致且非空值 - 再执行：
Get-Content "D:\FirewallLogs\pfirewall.log" -Tail 5 -ErrorAction SilentlyContinue
查看是否已有有效日志条目（含日期、动作、协议、IP等字段）
配合系统磁盘监控形成闭环防护
仅靠日志自身轮转不够，需叠加系统级空间预警：
- 在 Windows 事件查看器中，定期检查“Security”日志里 ID 为 4608（日志清除）或 1102（安全日志被覆盖）的事件，它们可能暗示防火墙日志也已异常中断
- 使用任务计划程序，每天执行脚本检查
D:\FirewallLogs\占用空间，若超过阈值（如 1.5GB）则自动压缩归档旧日志或发邮件告警 - 对生产服务器，建议将该目录加入 Windows Server 的“存储感知”白名单，并启用“清理临时文件”自动任务（路径需匹配）
