使用Windows 11防火墙限制指定程序仅访问特定子网的PowerShell脚本调试求助

你好，我看了你写的这个限制MyApp.exe仅访问特定子网的PowerShell脚本，思路是完全对的——先放行目标子网的出站流量，再拦截其他所有网络访问，这个逻辑没问题，但大概率是规则优先级、程序路径或者日志配置的细节出了问题，我来帮你梳理下调试和优化的关键点：

一、先检查脚本本身的潜在问题 #

• 规则优先级要明确：Windows防火墙是按规则的匹配顺序执行的，虽然理论上更具体的规则（指定了192.168.4.0/24）会优先于宽泛的Any规则，但为了稳妥，建议给两条规则手动设置优先级，确保放行规则先被检查。修改后的脚本可以这样写：

  # 定义程序路径和允许的子网
  $exePath = "C:\Program Files (x86)\MyApp\app.exe"
  $allowedNetwork = "192.168.4.0/24"
  
  # 放行规则（优先级设为100，确保先匹配）
  New-NetFirewallRule -DisplayName "Allow MyApp.exe on 192.168.4.0/24" -Direction Outbound `
    -Program $exePath -RemoteAddress $allowedNetwork -Action Allow `
    -Priority 100 -Profile Domain,Private,Public
  
  # 拦截规则（优先级设为200，后匹配）
  New-NetFirewallRule -DisplayName "Block MyApp.exe on other networks" -Direction Outbound `
    -Program $exePath -RemoteAddress "Any" -Action Block `
    -Priority 200 -Profile Domain,Private,Public
  

  这里加了-Profile参数确保规则在所有网络配置文件下生效，避免切换网络后规则失效；同时用反引号`换行让脚本更易读。
• 确认程序路径的准确性：有时候程序实际运行的路径可能和你写的不一样，比如32位程序在64位系统下的文件系统重定向，或者程序安装后路径有变化。你可以先运行Get-Process MyApp | Select-Object Path，确认进程实际的执行路径，再把这个路径用到脚本里。

二、防火墙日志调试的具体步骤 #

你提到已经启用了日志但调试有问题，我给你一步步理清楚怎么排查：

• 确认日志的启用状态：
  打开「Windows Defender防火墙高级设置」，右键点击「Windows Defender防火墙属性」，在弹出的窗口里切换到每个配置文件（域/专用/公用）的选项卡，点击「日志设置」，确保「记录被丢弃的数据包」和「记录成功的连接」都选了「是」，日志路径默认是C:\Windows\system32\logfiles\firewall\pfirewall.log。
• 实时查看日志内容：
  在PowerShell里运行Get-Content $env:SystemRoot\System32\LogFiles\Firewall\pfirewall.log -Wait，这个命令会实时输出新的日志条目，你可以在运行MyApp的时候观察日志：
  • 找action字段：如果是ALLOW，说明匹配了你的放行规则；如果是DROP，说明匹配了拦截规则或者其他丢弃规则。
  • 找app字段：确认日志里记录的程序路径是不是你脚本里指定的MyApp.exe，如果不是，说明程序的实际执行路径有问题。
  • 找dst-ip字段：看目标IP是不是在192.168.4.0/24子网内，确认规则的匹配逻辑是否正确。
• 检查规则的实际状态：
  运行Get-NetFirewallRule -DisplayName "*MyApp*"，查看两条规则的Enabled字段是不是True，Direction是不是Outbound，有没有其他优先级更高的规则（Priority数值越小优先级越高）干扰了你的规则。

三、快速验证规则是否生效的方法 #

• 测试拦截规则：运行Test-NetConnection -ComputerName 8.8.8.8 -Port 80（这个IP不在你的允许子网里），如果规则生效，应该会显示连接失败，同时日志里会出现DROP的条目。
• 测试放行规则：运行Test-NetConnection -ComputerName 192.168.4.10 -Port 80（替换成你子网内的实际IP），如果规则生效，应该会显示连接成功，日志里会出现ALLOW的条目。

备注：内容来源于stack exchange，提问作者Simone Aonzo