有关使用高级安全性对 Windows 防火墙进行故障排除的指导

本文旨在帮助解决与具有高级安全性的 Windows 防火墙相关的问题。故障排除清单防火墙规则注意事项只有一个防火墙规则用于确定是要允许还是丢弃网络数据包。如果网络数据包与多个规则匹配，则使用以下优先级选择所使用的规则： 1. 指定了“如果安全则允许”操作和“阻止替代”选项的规则 2. 指定了“阻止”操作的规则 3. 指定了“允许”操作的规则 “监视”节点中仅显示当前处于活动状态的规则。如果存在以下情况，规则可能不显示在列表中： 1. 规则已禁用。

本文旨在帮助解决与具有高级安全性的 Windows 防火墙相关的问题。

故障排除清单

防火墙规则注意事项

只有一个防火墙规则用于确定是要允许还是丢弃网络数据包。如果网络数据包与多个规则匹配，则使用以下优先级选择所使用的规则：

指定了“如果安全则允许”操作和“阻止替代”选项的规则
指定了“阻止”操作的规则
指定了“允许”操作的规则

“监视”节点中仅显示当前处于活动状态的规则。如果存在以下情况，规则可能不显示在列表中：

规则已禁用。
如果默认入站或出站防火墙行为已配置为允许未被某个规则阻止的流量，则不会显示指定的方向的允许规则。

默认情况下，将启用以下列表中标识的组中的防火墙规则。安装某些 Windows 功能或程序时，可能会启用其他规则。

核心网络 – 所有配置文件
远程协助 – 仅限针对域配置文件的 DCOM 和 RA 服务器 TCP 规则，以及针对域和专用配置文件的其他规则
网络发现 – 仅限专用配置文件

启用审核事件

使用 auditpol.exe 修改本地计算机的审核策略。可以使用auditpol命令行工具启用或禁用事件的各种类别和子类别，然后在事件查看器管理单元中查看事件。

若要获取 auditpol 工具识别的事件类别列表，请在命令提示符处运行以下命令：
```
auditpol.exe /list /category
```
若要获取类别下子类别的列表（此示例使用类别策略更改），请在命令提示符处运行以下命令：
```
auditpol.exe /list /category:"Policy Change"
```
若要设置要启用的类别和子类别，请在命令提示符处键入以下内容：
```
auditpol.exe /set /category:"CategoryName" /SubCategory:"SubcategoryName"
```

为配置文件配置防火墙日志文件

在具有高级安全性管理单元的 Windows 防火墙控制台树中，选择具有高级安全性的 Windows 防火墙，然后在“操作**”窗格中选择“属性**”。
选择要为其配置日志记录（域、专用或公共）的配置文件的选项卡，然后选择“ 自定义”。
指定一个名称和位置。
指定日志文件大小限制（介于 1 到 32767 Kbytes 之间）。
对于日志丢弃的数据包，请选择“ 是 ”。
对于日志成功连接，请选择“ 是 ”，然后选择“确定”。

创建网络统计信息和任务列表文本文件

在命令提示符处，键入 netstat -ano > netstat.txt，然后按 Enter。
在命令提示符处，键入 tasklist > tasklist.txt，然后按 Enter。如果要为服务而不是程序创建文本文件，请在命令提示符下键入 tasklist /svc > tasklist.txt。
打开tasklist.txt和netstat.txt文件。
在tasklist.txt文件中，记下要故障排除的进程的进程标识符（PID）。将 PID 与Netstat.txt文件中的 PID 进行比较。记下所使用的协议。在查看防火墙日志文件中的信息时，有关所用协议的信息可能很有用。

验证防火墙和 IPsec 服务是否正常工作

若要使具有高级安全性的 Windows 防火墙正常运行，必须启动以下服务：

基本筛选引擎
组策略客户端
IKE 和 AuthIP IPsec 密钥模块
IP 帮助程序
IPsec 策略代理
网络位置感知
网络列表服务
Windows 防火墙

常见问题和解决方案

数据收集

在联系Microsoft支持人员之前，可以收集有关问题的信息。

先决条件

TSS 必须由本地系统上具有管理员权限的帐户运行，并且必须接受 EULA（接受 EULA 后，TSS 不会再次提示）。
建议使用本地计算机 RemoteSigned PowerShell 执行策略。

注意

如果当前 PowerShell 执行策略不允许运行 TSS，请执行以下操作：

通过运行 cmdlet PS C:\> Set-ExecutionPolicy -scope Process -ExecutionPolicy RemoteSigned设置RemoteSigned进程级别的执行策略。
若要验证更改是否生效，请运行 cmdlet PS C:\> Get-ExecutionPolicy -List。
由于进程级别权限仅适用于当前的 PowerShell 会话，因此一旦关闭了运行 TSS 的给定 PowerShell 窗口，进程级别的分配权限也将返回到以前配置的状态。

在联系Microsoft支持人员之前收集关键信息

在所有节点上下载 TSS ，并将其解压缩到 C：\tss 文件夹中。
从提升的 PowerShell 命令提示符打开 C：\tss 文件夹。
使用以下 cmdlet 启动跟踪：
```
TSS.ps1 -Scenario NET_WFP
```
如果首次在计算机上运行跟踪，请接受 EULA。
允许录制（PSR 或视频）。
在输入 Y 之前重现问题。

注意

如果在客户端和服务器上收集日志，请在两个节点上等待此消息，然后再重现问题。
在重现问题后输入 Y 以完成日志收集。

跟踪将存储在 C：\MS_DATA* 文件夹中的 *zip 文件中，该文件可以上传到工作区进行分析。

有关使用高级安全性对 Windows 防火墙进行故障排除的指导 - Windows Server