本文讨论如何禁用隐身模式（Windows 筛选平台功能）。
原始 KB 数： 2586744
简介
Windows Server 或 Windows 客户端计算机不会跨没有侦听应用程序的端口发送传输控制协议（TCP）重置（RST）消息或 Internet 控制消息协议（ICMP）不可访问的数据包。 多个应用程序依赖于 RFC 793“重置生成”第 35f 页中所述的行为。 这些应用程序需要 TCP RST 数据包或 ICMP 无法访问的数据包作为响应，如果他们敲击没有侦听器的端口。 如果未收到此响应，应用程序可能无法在 Windows 上正确运行。 通常，此依赖项的影响是，如果远程对等方丢失连接状态且通知数据包无法访问客户端，则常规 TCP 应用程序可能会重新连接 20 秒延迟。 此行为的一个示例是 Lotus Notes Client。 可将客户端配置为使用不同的 Lotus Notes 服务器。 如果服务未在第一台配置的服务器上运行，客户端会在收到 TCP RESET 命令时立即切换到第二台服务器。 如果启用了隐藏模式，则客户端不会收到 TCP RESET。 然后，客户端会等待最后一次 SYN 重新传输超时，然后再尝试列表中的下一个服务器。
原因
对于无应用程序侦听的端口，隐藏模式功能会阻止传出 ICMP 无法访问的数据包和 TCP RST 消息。 隐藏模式也适用于由于侦听积压参数中溢出而处于暂停状态的终结点。
解决方法
警告隐藏模式是一项重要的安全功能。 禁用它可以使计算机容易受到攻击，即使在托管的企业域网络和边缘防火墙后面也是如此。 因此，强烈建议保持隐藏模式处于活动状态，并仅在需要时才禁用它。
注意
请认真遵循本部分所述的步骤。 如果注册表修改不正确，可能会发生严重问题。 在修改注册表之前，请备份注册表，以便在出现问题时可以还原。
隐身模式是核心安全功能。 对于任何给定的配置，隐藏模式应保持启用状态，除非有一个强有效的参数来禁用它。 可以使用以下任一方法禁用隐藏模式：
- 可以使用 Microsoft Intune 或其他移动设备管理系统在防火墙配置服务提供程序 CSP 中设置 DisableStealthMode 关键字。
- 独立软件供应商（ISV）可以使用 Windows 筛选平台（WFP）API 将隐形筛选器替换为专有筛选器。
- 可以为所有配置文件禁用防火墙。 （不建议使用此方法。
- 可以将“禁用”值添加到以下任一注册表子项集：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\DomainProfile HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\PublicProfile HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
注意
在“软件配置单元”策略“部分中，仅当旧防火墙 GPO 仍然存在时， 才使用 StandardProfile 条目。
在任一子项集中，添加以下值： 值： DisableStealthMode 类型： REG_DWORD 数据： 0x00000000（默认值 - 已启用隐藏模式）0x00000001（已禁用隐藏模式）
注意
禁用防火墙服务（MpsSvc）无法停用隐藏模式。 这是不受支持的配置。 有关详细信息，请参阅“使用 Windows PowerShell 进行高级安全管理的 Windows Defender 防火墙”的“禁用具有高级安全性的 Windows Defender 防火墙”部分。
详细信息
具有高级安全性的 Windows 防火墙中的隐藏模式在“[MS-GPFAS]：组策略：防火墙和高级安全数据结构”规范中禁用隐藏模式附录 B：“[MS-FASP]：防火墙和高级安全协议”规范中的产品行为 （在此附录中查找FW_PROFILE_CONFIG_DISABLE_STEALTH_MODE）
第三方信息免责声明
本文中提到的第三方产品由 Microsoft 以外的其他公司提供。 Microsoft 不对这些产品的性能或可靠性提供任何明示或暗示性担保。