必须手动开启高级安全Windows防火墙日志功能才能记录拦截或放行行为；启用pfirewall.log可记录源IP、端口、协议、动作等字段，需配置域/专用/公用三类配置文件并重启mpssvc服务；也可通过事件查看器筛选ID 5156/5157实时查看WFP决策日志。
要让Windows系统记录防火墙拦截或放行连接的详细行为，必须手动开启高级安全Windows防火墙的日志功能，否则所有决策都无声发生，无法追溯异常连接或确认程序是否被静默阻止。
启用pfirewall.log文本日志
这是最直接、可读性最强的日志方式，生成纯文本文件，包含源IP、端口、协议、动作（DROP/ALLOW）等字段，适合排查扫描攻击或验证规则生效。
1、按 Win + R 键打开运行框，输入 wf.msc 并回车，启动“高级安全 Windows 防火墙”控制台。
2、在左侧面板中，右键点击顶层节点“高级安全 Windows 防火墙（本地）”，选择“属性”。
3、依次切换至“域配置文件”“专用配置文件”“公用配置文件”三个选项卡——三者必须全部配置，缺一不可，否则对应网络类型下的拦截行为将不记日志。
4、在每个选项卡的“日志”区域，点击“自定义”按钮。
5、勾选“记录被丢弃的数据包”（关键！这是识别攻击请求的核心开关）；可选勾“记录成功的连接”用于建立基线比对。
6、日志路径保持默认：C:\Windows\System32\LogFiles\Firewall\pfirewall.log；最大大小设为 8192 KB 或更高，避免高频拦截下日志被覆盖清空。
7、每配完一个配置文件，点“确定”保存；三个都完成后，关闭窗口。
8、以管理员身份运行命令提示符，执行：net stop mpssvc && net start mpssvc，强制重启防火墙服务使配置立即生效——这一步跳过会导致日志静默失败。
通过事件查看器查看WFP实时决策日志
该方式无需预启日志功能，依赖Windows筛选平台（WFP）内核组件自动写入安全日志，记录粒度更细，含进程路径、筛选器名称等上下文，适合定位具体被拦程序。
方法一：快速筛选拦截事件（ID 5157）
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
1、右键“此电脑”→“管理”→进入“计算机管理”。
2、展开左侧：系统工具 → 事件查看器 → Windows 日志 → 安全。
3、右侧点击“筛选当前日志”，在“事件ID”栏输入 5157，点击确定。
方法二：同时查看放行与拦截（ID 5156/5157）
1、同上路径进入安全日志后，筛选时输入 5156,5157。
2、双击任一事件，在“详细信息”选项卡中切换至XML视图，重点检查 SourceAddress、ApplicationPath、FilterName 字段——若 ApplicationPath 为空，说明是内核层拦截，非应用发起的连接。
注意：若筛选后无结果，需确认本地组策略中“审核对象访问”已启用（路径：计算机配置→Windows设置→安全设置→高级审核策略配置→系统审计策略→对象访问→“审核其他对象访问事件”设为“成功和失败”）。
验证日志是否真实生效
1、用另一台机器执行：telnet [本机IP] 12345（选一个未开放的端口），等待约90秒。
2、回到本机，打开资源管理器，访问 C:\Windows\System32\LogFiles\Firewall\pfirewall.log。
3、若文件末尾出现含 DROP 字样的新行，且字段完整（日期 时间 协议 源IP 目的IP 源端口 目的端口），说明日志已真实写入。
4、同时在事件查看器安全日志中刷新，应能看到新增的事件ID 5157条目。
