.NET Core中间件C#操作Windows防火墙INetFwPolicy2遇权限拒绝

你在.NET Core中间件中修改Windows防火墙规则时遇到权限拒绝错误，核心原因是修改防火墙规则必须具备管理员权限，但无需给整个程序全局提权，以下是几种可行的解决方案：

问题代码回顾 #

INetFwPolicy2 firewallPolicy = (INetFwPolicy2)Activator.CreateInstance(Type.GetTypeFromProgID("HNetCfg.FwPolicy2"));
var rule = firewallPolicy.Rules.Item("IPBan_0"); 
string[] addrs = rule.RemoteAddresses.ToString().Split(',');
if (Array.IndexOf(addrs, $"{ip}/255.255.255.255") == -1)
{
    rule.RemoteAddresses += $",{ip}/255.255.255.255";  // 此处触发权限拒绝
}

解决方案 #

方案1：抽离防火墙操作到独立进程，临时提权 #

将修改防火墙规则的逻辑单独做成一个控制台程序，主中间件通过启动带UAC提权的进程来执行操作，避免主进程长期以管理员身份运行：

var processStartInfo = new ProcessStartInfo
{
    FileName = "dotnet",
    Arguments = $"FirewallRuleTool.dll --ip {ip}", // 把目标IP作为参数传入
    Verb = "runas", // 触发UAC弹窗请求管理员权限
    UseShellExecute = true,
    CreateNoWindow = true
};

using var process = Process.Start(processStartInfo);
process?.WaitForExit();

独立的控制台程序中实现防火墙规则修改逻辑，这样主中间件进程无需管理员权限，仅在需要修改规则时临时启动提权进程。

方案2：使用WMI替代COM对象操作防火墙 #

WMI提供了更灵活的权限控制方式，可尝试通过启用权限来执行修改，同样需要确保执行代码的上下文具备管理员权限：

using System.Management;

var scope = new ManagementScope(@"root\StandardCimv2\embedded");
scope.Options.Impersonation = ImpersonationLevel.Impersonate;
scope.Options.EnablePrivileges = true; // 启用必要权限
scope.Connect();

var query = new ObjectQuery("SELECT * FROM MSFT_NetFirewallRule WHERE DisplayName='IPBan_0'");
using var searcher = new ManagementObjectSearcher(scope, query);
var rule = searcher.Get().Cast<ManagementObject>().FirstOrDefault();

if (rule != null)
{
    var currentAddresses = rule["RemoteAddresses"].ToString();
    var targetAddress = $"{ip}/255.255.255.255";
    if (!currentAddresses.Contains(targetAddress))
    {
        rule["RemoteAddresses"] = $"{currentAddresses},{targetAddress}";
        rule.Put(); // 保存规则修改
    }
}

注意：此方法仍需管理员权限，可结合方案1的进程提权方式使用。

方案3：通过组策略赋予特定用户防火墙修改权限 #

如果不想触发UAC弹窗，可通过本地组策略给运行中间件的应用程序池用户赋予修改防火墙的权限：

1. 打开本地组策略编辑器（gpedit.msc）
2. 定位到：计算机配置 > Windows设置 > 安全设置 > 本地策略 > 用户权限分配
3. 找到修改对象标签权限，添加运行中间件的应用程序池身份用户
4. 同时确保该用户拥有访问计算机从网络等必要权限（根据实际场景调整）

关于Web设置指定管理员用户无效的说明 #

ASP.NET Core运行在IIS应用程序池时，即使指定了管理员身份，IIS的权限隔离机制会限制进程的实际权限，无法直接绕过防火墙的管理员权限要求，因此需要采用上述方案单独处理防火墙操作的权限问题。

内容的提问来源于stack exchange，提问作者Velocedge