Windows防火墙加固需遵循默认拒绝、显式放行原则：统一将域/专用/公用配置文件的入站连接设为“阻止”，仅对必要端口（如3389、443）按源IP限制放行；禁用SMBv1、LLMNR/NetBIOS广播及ICMPv4回显；强制IPsec加密关键管理流量；启用全连接日志并集中收集。
windows 防火墙是系统第一道网络防线，但默认配置并不足够安全。加固不是简单“开启防火墙”，而是按安全基线要求重构其行为逻辑：默认拒绝、显式放行、协议收敛、日志可溯。
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
启用默认入站拒绝策略
默认情况下，Windows 防火墙在“专用”和“域”配置文件中允许大部分入站连接（仅“公用”配置为默认拒绝）。基线要求所有配置文件（域、专用、公用）都启用默认入站规则为“阻止”：
- 打开“高级安全 Windows 防火墙” → 左侧“Windows 防火墙属性”
- 对每个配置文件（域、专用、公用），将“入站连接”设为“阻止”
- 仅对确需对外提供服务的端口（如 RDP 的 3389、HTTPS 的 443），手动创建带源 IP 限制的允许规则（例如仅允许运维网段访问）
关闭高危协议与旧版服务端口
防火墙本身不禁止协议，但可通过规则阻断其通信路径，从而消除攻击面：
- 禁用 SMBv1 入站/出站：创建出站规则，目标端口 445 + 协议 SMBv1（或直接通过组策略禁用 SMBv1 功能）
- 阻止 LLMNR/NetBIOS 广播响应：新建入站规则，协议类型选“UDP”，本地端口 137（NetBIOS Name Service）、5355（LLMNR），操作设为“阻止”
- 关闭 ICMPv4 回显请求（Ping）响应：在入站规则中禁用“文件和打印机共享(回显请求 - ICMPv4-In)”规则（非必需时）
强制启用连接安全规则（IPsec）
对关键管理流量（如域控制器通信、远程管理），不能只靠端口开放，还需加密与身份验证：
- 在“连接安全规则”节点下，新建规则，选择“服务器身份验证”模式
- 要求使用计算机证书或 Kerberos进行身份核验
- 加密算法设为 AES-GCM 128 或更高，禁用 NULL/RC4/MD5 等弱算法
- 应用于域内服务器间通信（如 DC ↔ 成员服务器、DC ↔ DNS）
开启并集中收集防火墙日志
默认日志仅记录“丢弃”事件且保存时间短，基线要求可审计、可关联：
- 进入“Windows 防火墙属性” → 每个配置文件的“记录”页签
- 勾选“记录被丢弃的连接”和“记录成功的连接”（后者对溯源横向移动至关重要）
- 日志路径保持默认（%systemroot%\system32\logfiles\firewall\pfirewall.log），但需通过 GPO 或 Intune 配置：
• 最大日志大小 ≥ 128 MB
• 启用“日志满时覆盖旧事件”
• 将日志转发至 SIEM（如通过 Windows Event Forwarding 或 NXLog）
