咨询Resource Monitor中Listening Ports页Firewall status含义及规则逻辑

字段本质 #

Listening Ports页里的Firewall status是逗号分隔的两段独立状态值，不存在“先判断是否允许、再判断有没有规则限制”的递进逻辑，两段的定义分别是：

• 逗号前的部分：当前监听端口收到入站连接时，防火墙的最终实际判定结果，只分两种值：allowed（放行入站连接）、not allowed（拦截/丢弃入站连接）。这个值和规则是否存在无关，只看最终运行时的判定结果。
• 逗号后的部分：该判定结果对应的规则是否附带适用范围的收窄限制，只分两种值：restricted（判定动作的适用范围被额外条件约束，不是无差别生效）、not restricted（判定动作是无差别全范围生效，没有任何额外约束）。

三类取值的实际对应场景 #

• allowed, not restricted
  匹配到无附加条件的全局允许规则，或者走了防火墙关闭/默认允许的兜底逻辑，对所有来源、所有网络类型的连接都无差别放行，没有任何范围收窄。测试中关闭防火墙后所有条目都变成这个值，完全符合这个逻辑——防火墙不做任何拦截，所有流量无差别放行。
• not allowed, not restricted
  要么没匹配到任何针对该端口/程序的明确规则、走了默认拒绝的兜底逻辑，要么匹配到了全局无附加条件的阻止规则，对所有来源的连接都无差别拦截，没有任何范围的收窄。
• allowed, restricted
  这也是最容易产生误解的场景：

  这里的restricted 从来不是“连接被限制到无法通行”的意思，第一部分的allowed是明确的最终判定结果——只要你符合规则的适用条件，入站连接就会被放行，绝对不是直接拒绝；第二部分的restricted只是说明，这个允许动作不是无差别放开的，规则加了适用范围的约束，只有满足条件的连接才能被放行，不满足规则条件的连接会被直接拦截。
  举几个日常最常见的实际例子：

  • 系统默认的远程桌面入站规则：只允许域网络、专用网络下的连接通过，公网环境下的连接直接拦截，对应的端口状态就是allowed, restricted。在专用网络下能正常连远程桌面（所以最终判定是allowed），但换公网就连不上（所以允许范围被收窄，是restricted）。
  • 手动给本地的数据库服务加了允许规则，只允许来自192.168.1.0/24内网段的设备访问，公网IP的连接直接拦截，这个数据库端口的状态就是allowed, restricted。
  • 规则绑定了程序的固定安装路径，只有这个路径下的程序发起的监听能被允许访问，移动程序位置后规则就不生效，这种场景也会归为allowed, restricted。

未匹配规则的默认配置的影响 #

防火墙提供的“对所有未匹配现有规则的连接选择阻止/允许”的配置，本质是调整没有任何匹配规则时的兜底动作，会直接影响第一部分的状态值：

• 当默认兜底动作设为阻止时：所有没有明确匹配允许规则的端口，状态都是not allowed, not restricted——因为走兜底拒绝逻辑，没有任何附加规则的范围约束。
• 当默认兜底动作设为允许时：所有没有明确匹配允许规则的端口，状态都会变成allowed, not restricted——因为走兜底允许逻辑，没有任何附加规则的范围约束。

内容的提问来源于stack exchange，提问作者Ragothaman Gopalakrishnan