防火墙组策略未生效，关键在落地环节：先用gpresult确认GPO是否Applied，再查wf.msc中规则是否启用、netsh验证配置文件匹配，接着排查端口格式、协议类型、程序路径等细节，并确保mpssvc/gpsvc服务运行、时间同步、DNS解析及安全通道正常。
防火墙组策略下发后客户端未按预期生效，问题往往不在gpo配置本身，而在策略落地过程中的匹配、加载或执行环节。重点不是“有没有配”，而是“有没有被认出来、加进去、用起来”。
确认策略是否真正应用到客户端
运行 gpresult /h report.html（管理员权限），打开报告检查：
- “计算机配置 → 高级安全 Windows 防火墙”下是否有目标 GPO 显示为“Applied”
- “计算机配置 → 管理模板 → 网络 → 网络连接 → Windows 防火墙”是否被启用或禁用——该节点已弃用，若存在，可能干扰新规则
- 右下角“筛选状态”是否为“Applied”，若显示“Denied”或“Not Applied”，需点开原因（如“安全筛选不匹配”“WMI 筛选器返回 False”）
检查防火墙规则是否实际加载并启用
即使 GPO 已应用，规则也可能处于禁用、错配或未激活状态：
- 打开 wf.msc，在“入站规则”或“出站规则”中，勾选“启用列”，筛选 Enabled = False 的规则（很多 GPO 创建的规则默认禁用）
- 运行 netsh advfirewall show allprofiles，确认当前激活的网络配置文件（Domain/Private/Public）与 GPO 中绑定的配置文件一致
- 执行 Get-NetFirewallRule | Where-Object {$_.DisplayName -like "*GPO*"}（PowerShell），查看规则是否存在、是否启用、作用域是否覆盖当前 Profile
排查端口与协议配置细节错误
看似正确的规则，常因微小输入问题失效：
- 检查 GPO 中“端口”字段：逗号分隔时是否误加空格（如 3389 , 1433），Server 2008 R2 及部分旧版客户端会因此忽略整条规则
- 确认协议类型是否匹配：TCP 规则不放行 UDP 流量，反之亦然；若需两者，必须分别创建或使用“Any”协议
- 验证程序路径规则是否指向正确可执行文件（含完整路径和大小写），且客户端上该程序真实存在
验证底层依赖是否正常
防火墙策略依赖基础服务与通信能力：
- 确保 Windows Firewall 服务（mpssvc） 和 Group Policy Client（gpsvc） 均为“正在运行”
- 检查时间同步：w32tm /query /status，偏移超过 5 分钟将导致 Kerberos 认证失败，继而组策略无法拉取
- 确认 DNS 正确解析域控制器：nslookup 域名，且能访问 SYSVOL 共享（dir \域名SYSVOL）
- 运行 nltest /sc_query:域名，验证客户端与域的安全通道是否正常
