Windows Server 开放端口完全指南，从基础到高级安全配置

本指南全面阐述了在 Windows Server 上开放端口的方法，涵盖从基础的防火墙图形界面配置到使用命令行（如 netsh）的高级操作，深入讲解了如何设置安全策略、创建自定义规则及防止未授权访问，旨在帮助管理员高效管理网络流量并确保系统安全。

在管理 Windows Server 系统时，由于安全策略的默认设置，许多端口是处于关闭状态的，这意味着只有特定的服务（如远程桌面 RDP）可以通过默认端口进行访问，而其他服务（如 Web 服务器、数据库或自定义应用）需要管理员手动“开放端口”才能被外部网络或内网客户端访问。

本文将详细介绍如何在 Windows Server 上通过图形界面和命令行工具开放端口，并附上验证方法与安全建议。

为什么需要在 Windows Server 上开放端口？

Windows Server 自带强大的防火墙功能（以前称为 Windows 防火墙，现称为 Windows Defender 防火墙），它的默认策略是“拒绝所有入站连接”，以确保服务器安全，当你部署了新的服务（IIS Web 服务或 SQL Server）时，必须配置防火墙规则，允许特定的数据包通过，否则服务将无法被访问。

Windows Server 开放端口完全指南，从基础到高级安全配置

方法一：使用图形界面 (GUI) 开放端口

这是最直观的方法,适合不熟悉命令行的管理员。

打开高级安全防火墙：
- 点击“开始”菜单，输入 wf.msc 并回车，打开“高级安全 Windows Defender 防火墙”。
- 或者通过控制面板 -> 系统和安全 -> Windows Defender 防火墙 -> 高级安全。
创建入站规则：
- 在左侧菜单中,点击“入站规则”。
- 在右侧操作栏中,点击“新建规则”。
配置向导步骤：
- 规则类型： 选择“端口”，点击下一步。
- 协议和端口： 选择“TCP”或“UDP”（Web 服务使用 TCP），然后在“特定本地端口”中输入端口号（80 或 3389），点击下一步。
- 操作： 选择“允许连接”，点击下一步。
- 配置文件： 根据需求选择应用范围（域、专用、公用）。建议在生产环境中谨慎选择，通常选择“专用”或仅针对特定网络环境。
- 名称： 给规则起一个描述性的名字，允许 HTTP 访问”。

方法二：使用 PowerShell 开放端口

对于服务器管理员来说,PowerShell 是更高效、更脚本化的方式，特别是在批量配置多台服务器时，命令行操作显得尤为重要。

以下命令用于允许 TCP 协议的 80 端口：

New-NetFirewallRule -DisplayName "Allow HTTP Web Traffic" -Direction Inbound -LocalPort 80 -Protocol TCP -Action Allow

参数解析：

-DisplayName：规则的显示名称。
-Direction Inbound：指定规则应用于入站流量。
-LocalPort 80：开放的本地端口。
-Protocol TCP：传输协议。
-Action Allow：允许连接。

方法三：使用 CMD 命令行

如果你习惯使用传统的命令提示符,可以使用 netsh 命令快速添加规则。

netsh advfirewall firewall add rule name="Allow HTTP Web Traffic" dir=in action=allow protocol=TCP localport=80

验证端口是否开放

配置完成后,如何确认 Windows Server 已经成功开放端口？可以使用以下方法：

使用 netstat 命令： 在服务器上打开 CMD，输入以下命令查看端口是否处于监听状态：
```
netstat -ano | findstr :80
```
如果看到 LISTENING 状态，说明端口已开放。
使用在线工具： 使用如 “Can I Port Scan” 或 “PortChecker” 等在线网站，输入服务器的公网 IP 和端口进行测试。