使用Invoke-AzVMRunCommand执行Get-NetFirewallProfile返回结果异常求助

问题描述 #

我在Azure订阅的虚拟机上执行以下PowerShell命令，尝试获取Windows防火墙状态：

Invoke-AzVMRunCommand -VMName $vm.Name -ResourceGroupName $vm.ResourceGroupName -CommandId 'RunPowerShellScript' -ScriptPath $scriptPath

对应的$scriptPath脚本内容为：

Get-NetFirewallProfile | ConvertTo-Csv

但返回结果显示Windows防火墙处于启用状态，而我明确知道实际并未启用。即使移除ConvertTo-Csv命令，返回结果仍然不正确。

可能的原因及排查方向 #

• 执行上下文差异：Invoke-AzVMRunCommand默认使用NT AUTHORITY\SYSTEM系统账户执行脚本，而你手动查看防火墙状态可能用的是普通用户账户。部分场景下，系统账户读取的防火墙配置来源（比如组策略、系统默认配置）和普通用户不一致，导致结果偏差。可以在脚本中加入上下文验证：

  whoami
  Get-NetFirewallProfile | Select-Object Name, Enabled, PolicyStoreSource | ConvertTo-Csv
  

  查看PolicyStoreSource字段，确认配置来源是本地还是组策略。如果是组策略，手动修改的状态会被强制覆盖。

• 输出截断问题：当命令输出内容较长时，Invoke-AzVMRunCommand可能会截断返回结果，导致你看到的是不完整的状态信息。可以将输出写入虚拟机本地文件，再验证内容：

  Get-NetFirewallProfile | ConvertTo-Csv | Out-File C:\temp\fw_status.csv -Encoding UTF8
  

  执行后直接登录虚拟机查看该文件，对比远程返回的结果是否一致。

• 第三方防火墙接管：如果虚拟机上安装了第三方防火墙软件（比如Symantec、McAfee等），这类软件通常会接管Windows防火墙的控制权，此时Get-NetFirewallProfile读取的是注册表中的配置，而非实际生效的防火墙状态。可以检查虚拟机上的第三方防火墙服务状态，确认是否存在此类情况。

• 配置缓存或延迟：控制面板的防火墙状态显示可能存在缓存，而Get-NetFirewallProfile返回的是实时配置。建议手动在虚拟机上执行Get-NetFirewallProfile命令，对比远程执行的结果是否一致，排除本地查看的误差。

• 防火墙服务状态异常：检查虚拟机上的Windows防火墙服务（MpsSvc）状态：

  Get-Service MpsSvc
  

  如果服务未启动，即使Get-NetFirewallProfile返回Enabled为True，实际防火墙并未工作，这种情况需要结合服务状态判断实际生效状态。

内容的提问来源于stack exchange，提问作者user182595