PowerShell可批量验证网络配置合规性：检查IP是否静态（PrefixOrigin=Manual）、DNS是否为授权地址、默认网关是否唯一（仅1个0.0.0.0/0路由）、网络发现与SSDP/UPnP服务是否禁用。
powershell 是 windows 环境下验证网络配置合规性的高效工具，无需安装额外软件，可批量检查关键参数是否符合安全策略或基线标准（如 cis、等保要求）。重点在于用原生命令精准提取配置，并结合逻辑判断输出是否合规。
检查 IP 地址与子网掩码是否为静态分配
动态获取（DHCP）在部分安全场景中不被允许。可通过 Get-NetIPConfiguration 获取接口信息，再检查 PrefixOrigin 和 SuffixOrigin 属性是否为 "Manual"：
- Get-NetIPConfiguration | Where-Object {$_.IPv4Address -and $_.NetAdapter.Status -eq 'Connected'} | ForEach-Object {
- $ip = $_.IPv4Address; $addr = $ip.IPAddress; $prefix = $ip.PrefixLength;
- $origin = (Get-NetIPAddress -AddressFamily IPv4 -AddressState Preferred | Where-Object {$_.IPAddress -eq $addr}).PrefixOrigin;
- [PSCustomObject]@{Interface = $_.NetAdapter.Name; IPAddress = $addr; PrefixLength = $prefix; IsStatic = ($origin -eq 'Manual')}
- }
输出中 IsStatic = True 表示该 IPv4 配置为手动设定，满足静态地址合规要求。
验证 DNS 服务器是否指向授权地址
非授权 DNS 可能导致数据泄露或解析劫持。使用 Get-DnsClientServerAddress 获取 IPv4 DNS 列表，并比对白名单：
- $allowedDNS = '10.1.1.10', '10.1.1.11';
- Get-DnsClientServerAddress -AddressFamily IPv4 -PolicyStore ActiveStore |
- Where-Object {$_.ServerAddresses} |
- ForEach-Object {
- $iface = $_.InterfaceAlias; $servers = $_.ServerAddresses;
- $compliant = ($servers | ForEach-Object {$_ -in $allowedDNS}) -notcontains $false;
- [PSCustomObject]@{Interface = $iface; DNS = $servers -join ','; Compliant = $compliant}
- }
若 Compliant = False，说明存在未授权 DNS 地址，需修正。
确认默认网关是否唯一且非空
多默认网关易引发路由混乱，缺失则影响外网通信。通过 Get-NetRoute 过滤目标为 0.0.0.0/0 的 IPv4 路由：
- Get-NetRoute -DestinationPrefix '0.0.0.0/0' -AddressFamily IPv4 |
- Group-Object -Property ifIndex |
- ForEach-Object {
- $iface = (Get-NetAdapter | Where-Object ifIndex -eq $_.Group[0].ifIndex).Name;
- $count = $_.Count;
- [PSCustomObject]@{Interface = $iface; DefaultGatewayCount = $count; Status = if($count -eq 1) {'OK'} else {'Violation'}}
- }
合规要求通常为 DefaultGatewayCount = 1；大于 1 或为 0 均需干预。
检查网络发现与文件共享是否禁用（针对高安全区域）
启用网络发现可能暴露主机信息。使用 Get-NetFirewallRule 和 Get-Service 综合判断：
- $discoveryEnabled = Get-NetFirewallRule -DisplayName "Network Discovery*" | Where-Object Enabled -eq True;
- $ssdpEnabled = Get-Service ssdpsrv, upnphost | Where-Object Status -eq 'Running';
- [PSCustomObject]@{
- NetworkDiscoveryFirewall = if($discoveryEnabled) {'Enabled'} else {'Disabled'};
- SSDPAndUPnPServices = if($ssdpEnabled) {'Running'} else {'Stopped'}
- }
高敏感环境要求两者均为 Disabled / Stopped，否则视为配置不合规。
