服务器高级防火墙配置

信息技术数字 » 资源 » 服务器高级防火墙配置

掌握高级服务器防火墙配置不再是大型企业的专属领域。任何重视网络安全的公司都需要了解如何划分网络、定义区域、创建详细规则，并充分利用每台计算机和服务器上的边界防火墙和 Windows 防火墙本身的功能。

在本指南中，您将详细了解下一代防火墙 (NGFW) 的工作原理、如何设计区域（LAN、WAN、DMZ、VLAN）、要应用哪些类型的规则（程序、端口、协议、IP 等）、如何利用Windows 防火墙的高级安全性、SimpleWall 等工具的作用，以及要遵循哪些最佳实践，以避免整个系统变得难以管理。

服务器端的下一代防火墙：远不止端口过滤

新一代防火墙，例如FortiGate NGFW，将先进的网络功能和强大的安全防护集成于一体。它们不仅能够打开或关闭端口，还能在应用层分析流量、检查加密内容，并与复杂的云、局域网、无线局域网和远程访问架构集成。

以 FortiGate 为例，该系统的核心是FortiOS，这是一个统一了安全策略和网络功能的特定操作系统：集成 SD-WAN、通用 ZTNA、无线和有线网络中的流量控制，以及借助 FortiManager 实现的集中管理。

此外，这些设备依靠专有的 ASIC 架构（专用芯片）来加速数据包的检查和解密，而不会降低性能或增加能耗，即使网络处于满负荷状态并且有成百上千个并发会话。

FortiGuard 服务增强了威胁防护能力，它利用人工智能来检测恶意软件、可疑流量、漏洞利用和定向攻击，所有这些都符合 Fortinet 安全架构的概念：一个覆盖网络、端点和云的安全架构，以协调的方式应对安全事件。

服务器防火墙区域设计和网络分段

在制定规则之前，你需要合理设计网络的区域架构和分段。网络越扁平，攻击者一旦入侵成功，就越容易横向移动。

第一步是确定关键资产和服务：网络服务器、数据库、内部应用程序、销售点设备、VoIP PBX、访客网络等。根据其重要性和暴露程度，将它们分组到不同的逻辑区域中。

通常的做法是为直接向互联网提供服务的服务器（例如电子邮件、VPN、Web应用程序、公共门户等）创建DMZ（非军事区）。这些服务器必须与外部网络和更为敏感的内部网络隔离，并尽可能限制区域间的流量。

仅供组织内部访问的服务器位于内部服务器区域，与用户网络、管理网络以及任何实验室或测试环境完全隔离。为了实现这一点，通常会使用支持VLAN 的交换机，以便在二层也保持隔离。

在 IPv4 环境中，所有内部网络都必须使用私有地址范围（RFC1918），并依赖 NAT 机制访问互联网。这种地址转换通常在边界防火墙上执行，防火墙还会为每个特定区域强制执行入站和出站策略。

访问控制列表 (ACL) 和区域间规则

一旦定义了区域并将其分配给防火墙的接口或子接口，接下来就需要设置ACL（访问控制列表），ACL 是决定在这些区域之间授权哪些流量以及拒绝哪些流量的规则。

其理念是为每个接口或子接口定义一组尽可能具体和细粒度的规则：源 IP 地址或子网、目标 IP 地址或子网、协议（TCP、UDP、ICMP 等）、涉及的端口以及操作（允许或拒绝）。规则越具体，安全漏洞就越少。

最佳实践是在每个访问控制列表 (ACL) 的末尾添加一条隐式的“全部拒绝”规则，作为安全网：如果数据包不匹配任何先前的允许规则，则会被阻止。之后，再为实际需要的流量创建非常具体的例外规则。

建议禁用对防火墙管理接口（HTTP、HTTPS、SSH 等）的公共访问，仅允许从特定的内部网络或通过安全的管理 VPN 进行管理。

现代下一代防火墙 (NGFW) 不仅提供端口和 IP 地址控制，还利用应用控制、Web 分类、入侵防御系统 (IPS) 和高级文件分析（沙箱）等功能。既然您已经为这些功能付费，那么启用并配置它们以保护关键流量（尤其是跨越边界的流量）就显得尤为重要。

服务器端的宽松防火墙与限制防火墙

设计防火墙策略（无论是边界防火墙还是操作系统防火墙）时的一个关键点是决定是从宽松的立场还是严格的立场开始。

在宽松型防火墙中，最终的隐式规则是“允许一切”。只有被明确拒绝的规则所定义的流量才会被阻止。这种方法通常用于受信任的内部网络（局域网）或在 Windows 中配置为“专用网络”的计算机。

在限制性防火墙中，情况则恰恰相反：最终规则是“拒绝所有流量”。只有符合明确允许规则的流量才能通过。这种理念常见于广域网 (WAN) 接口、pfSense 或企业级下一代防火墙 (NGFW) 等防火墙，以及配置为“公共网络”的设备。

例如，Windows默认对入站连接采用限制性策略（阻止所有未明确允许的连接），对出站连接采用宽松策略（允许除已阻止的连接之外的所有连接）。您可以在防火墙的高级设置中调整此策略。

Windows防火墙在服务器上究竟能提供什么？

Windows 高级安全防火墙的功能远超许多人的想象。它可以控制传入和传出的流量，并按 IP 地址、端口、协议、服务、网络接口、配置文件类型（域、专用、公用）进行过滤，在某些情况下甚至可以按用户或组进行过滤。

它的功能包括低级数据包过滤、生成详细日志（然后可以使用事件查看器进行分析或发送到 SIEM）、检测公共网络以自动应用更严格的配置文件，以及与其他安全层（如 Windows Defender）集成。

对于小型企业和许多服务器环境而言，配置良好的下一代防火墙 (NGFW) 就足以满足需求，尤其是在配合强大的防病毒软件和良好的管理实践时。然而，必须意识到它的局限性：它不能替代边界下一代防火墙或专用入侵防御系统 (IPS)。

缺点包括：Windows 防火墙默认情况下不提供带有高级签名的深度数据包检测，不能原生阻止系统遥测，其通知不够隐蔽（几乎不会提醒您有新连接），而且查看日志的方式对非技术用户来说不够友好。

访问具有高级安全性的 Windows 防火墙

要在Active Directory 域环境中管理高级防火墙设置，最佳方法是使用组策略对象 (GPO)。需要具备域管理员组成员身份或 GPO 的委派权限。

在策略管理控制台中，导航至“策略”>“计算机配置”>“Windows 设置”>“安全设置”>“高级安全 Windows 防火墙”。您可以在此处定义客户端计算机和已加入域的服务器的通用规则。

如果是单台服务器或本地计算机，您只需要该设备的管理员权限。打开控制台的最快方法是按“开始”按钮，输入wf.msc，然后按 Enter 键。这将打开该计算机的 Windows 防火墙控制台，并启用高级安全设置。

主屏幕显示入站规则、出站规则、连接安全规则以及不同配置文件（域、私有、公共）的配置，还有一个监控区域，其中只显示活动规则。

配置文件、全局策略和默认行为

防火墙属性面板控制每个网络配置文件（域、专用、公用）的全局选项。这些选项决定了当网络适配器与特定网络类型关联时，防火墙的行为方式。

对于每个配置文件，您可以决定是否启用或禁用防火墙，是否阻止或允许不匹配任何规则的入站连接，以及出站连接。

您还可以调整阻止程序时的通知、防火墙日志的存储位置、日志的最大大小以及对受 IPsec VPN 隧道保护的流量的特殊处理等参数，IPsec VPN 隧道通常被认为更可靠。

“监控”部分显示所有当前活动的规则，包括来自组策略对象 (GPO) 的规则和本地定义的规则。您可以在这里查看哪些规则实际处于活动状态以及它们的参数，并打开和修改它们的属性。

出入口规则：交通方向

在使用 Windows 防火墙规则时，最常见的错误之一是混淆流量方向。入站规则适用于到达计算机的数据包；出站规则适用于离开计算机并发送到另一台计算机的数据包。

如果目标是阻止从互联网连接到服务器，则必须创建或修改入站规则。相反，如果目标是阻止服务器服务或程序连接到外部网络，则必须修改出站规则。

列表中的每个条目都指示该规则是已启用（绿色对勾图标）还是已禁用。即使规则仍然已定义，但已禁用的规则也不会影响流量。通常情况下，我们会发现许多预定义的 Windows 规则存在，但只有在需要时才会激活。

了解源/目标流和本地/远程端口对于避免创建永远不会应用或打开超出实际必要范围的规则至关重要，这在配置复杂服务时非常常见。

Windows 防火墙中的规则类型

Windows 防火墙新建规则向导提供四大类规则：程序规则、端口规则、预定义规则和自定义规则。每类规则都适用于不同的应用场景，您应该根据所需结果谨慎选择。

程序规则侧重于特定的可执行文件；端口规则按 TCP 或 UDP 端口号进行过滤；预定义规则简化了对已知 Windows 服务的管理；自定义规则允许通过同时组合多个条件进行非常精细的调整。

在所有情况下，向导最后都会询问我们要执行的操作（允许、仅当使用 IPsec 安全连接时才允许，或阻止）以及该规则将应用于哪些网络配置文件（域、专用、公共）。最后，还会为其分配名称和描述，以便日后轻松识别。

对于关键服务器，值得花时间正确记录规则，说明它保护的是哪项服务以及它存在的原因，这样在将来的审计或变更中就不会对其有效性产生任何疑问。

按项目制定规则：对特定服务进行精细控制

程序类型规则是一种便捷的方式，无需记住应用程序使用的所有端口即可控制其流量。它们可以应用于传入和传出的流量。

在向导中，选择“此程序路径”选项并指定可执行文件的路径。您可以使用环境变量来确保即使程序安装在不同计算机上的不同位置，该规则也能正确应用。

在托管于svchost.exe或其他多服务容器中的服务的服务器上，您可以通过选择服务的简称来自定义规则，使其仅应用于特定服务。例如，这允许您区分同一进程中特定 RPC 服务的流量。

强烈建议将程序规则与“协议和端口”选项卡中的限制结合使用，明确指定应用程序可以监听或使用的端口。如果应用程序尝试打开其他端口，防火墙将阻止其访问。

端口规则：经典 TCP/UDP 过滤

端口类型规则允许您根据本地或远程端口号和协议（主要是 TCP 或 UDP）允许或阻止流量。它们可用于入站和出站规则。

例如，在典型的入站规则中，要打开TCP 端口 21，您可以选择 TCP，指定“特定本地端口”，然后输入 21。您可以指定多个端口，用逗号分隔（例如，21,20,22），或者指定范围，例如 5000-5100，甚至可以在同一规则中混合使用单个端口和范围。

接下来，您需要决定操作（允许、安全时允许、阻止）以及应用该操作的配置文件。这是一种无需深入了解特定程序细节即可打开某些标准服务（HTTP、HTTPS、RDP 等）的简便方法。

对于出站规则，最常见的做法是指定远程端口，因为这是服务器尝试连接的目标端口。一个典型的用例是阻止所有发往可疑端口的出站流量，或者限制某些应用程序只能通过特定的端口进行通信。

预定义和自定义规则

预定义规则为常见的 Windows 服务（文件和打印机共享、远程桌面等）提供了现成的配置。只需选择服务，指定允许或阻止，选择配置文件，即可完成配置。

当您需要快速启用或限制某个内部服务，而无需逐一调查其使用的端口和协议时，此选项非常方便。系统会在后台创建若干条针对该服务的特定规则。

自定义规则最为全面，控制力也最强。您可以指定所有参数：程序（或所有程序）、服务类型、IP 协议（​​包括 TCP、UDP、ICMPv4、ICMPv6、GRE、IPv6 路由等）、本地和远程端口的组合、源 IP 地址和目标 IP 地址（包括地址范围和子网）以及其他条件。

在 ICMPv4 或 ICMPv6 等协议中，您可以选择允许所有 ICMP 消息类型，或者仅允许某些特定类型（例如回显请求、回显应答、超时等）。您甚至可以定义未出现在通用列表中的特定类型和代码。

此外，在作用域部分定义 IP 地址时，向导允许您添加整个范围或子网（例如，192.168.10.0/24），以进一步限制哪些设备（包括本地和远程设备）可以使用该规则。

服务器端的 ICMP 入站规则

是否允许 ICMP 流量访问服务器是一个战略决策。允许ICMP 入站规则可以让服务器响应 ping 请求和某些网络诊断消息，这对于管理非常有用，但也可能向攻击者提供信息。

要在 Windows 防火墙中创建入站 ICMP 规则，请打开高级控制台，转到“入站规则”，然后创建新的自定义规则。在“程序”部分，通常选择“所有程序”。

在协议屏幕上，根据所使用的网络协议栈选择ICMPv4 或 ICMPv6。如果您同时使用 IPv4 和 IPv6，则需要分别为它们创建一条规则。自定义选项允许您选择要允许的特定 ICMP 类型（仅限回显请求/回显应答，或更广泛的类型集）。

接下来，需要定义规则的作用域（可以 ping 通哪些 IP 地址）、操作（通常是允许连接）以及规则生效的网络配置文件。最后，为规则指定一个描述性名称，以便于识别。

进出服务或程序规则

在某些情况下，您可能希望允许特定服务监听其所需的任何端口上的传入流量，或者相反：阻止程序通过任何端口与外部世界通信。

对于传入部分，会创建一个自定义规则，选择“此程序路径”，并指定服务可执行文件。然后可以通过选择服务的简称来自定义此规则，使其仅应用于该可执行文件中托管的服务。

您甚至可以使用命令 `sc sidtype <服务名称> <UNRESTRICTED|RESTRICTED>` 来调整服务的 SID 类型。这将决定该服务在防火墙规则中的使用方式。将其更改为 RESTRICTED 可能会阻止服务启动，因此请谨慎操作，并且仅在需要此类保护时才进行更改。

对于出站流量，流程类似，但需要创建出站规则。如果您想完全阻止该程序访问互联网，则需要定义可执行文件的路径，将操作设置为“阻止连接”，然后选择要限制的配置文件。

RPC 和动态端口的特殊配置

使用远程过程调用 (RPC)的服务可能特别敏感，因为它们使用系统在运行时分配的动态端口。为了以受控方式允许此类流量通过 Windows 防火墙，通常需要创建两条特定的规则。

第一条规则针对位于 %systemroot%\system32\svchost.exe 的RPC 端点映射器服务。该规则经过自定义，可应用于 RpcSs 服务，协议设置为 TCP，本地端口选择“RPC 端点映射器”选项。

第二条规则是为要允许的启用 RPC 的网络服务创建的，它指定了托管该服务的可执行文件的路径，并将其与该特定服务关联起来。在本例中，本地端口选择的是“RPC 动态端口”。

这两条规则都对范围（允许的 IP 地址）、操作（允许连接）和配置文件进行了调整。这样，只有满足这些条件的设备和服务才能利用 RPC 端口转发。

Windows防火墙的日志记录、审计和故障排除

当系统出现故障时，防火墙日志和审计事件是首要的信息来源。最好在需要之前就正确配置日志收集功能。

在防火墙属性的每个配置文件选项卡下，您可以自定义日志文件路径、最大文件大小（以 KB 为单位）以及是否记录丢弃的数据包、成功的连接或两者都记录。在服务器环境中，通常建议两者都记录，以便清晰地了解情况。

另一方面，命令行工具auditpol.exe允许您启用特定的审核子类别，例如策略更改，以便系统在防火墙或 IPsec 策略修改时生成详细事件。

在调查问题时，使用`netstat -ano > netstat.txt`获取网络状态，使用`tasklist > tasklist.txt`获取进程列表会很有帮助。通过将 `tasklist` 中的进程 ID (PID) 与 `netstat` 中的活动连接进行交叉比对，您可以确定哪个程序正在使用特定端口。

在复杂情况下，微软提供了诸如TSS.ps1之类的脚本来收集 Windows 筛选引擎 (WFP) 的高级跟踪信息，然后将这些信息打包到一个 ZIP 文件中，以便进行分析或提交给技术支持。

外部工具：SimpleWall 和第三方防火墙

Windows 内置防火墙虽然运行良好，但往往缺乏更直观的界面，也无法在应用程序首次尝试访问互联网时提供清晰的通知。这时就需要第三方解决方案了。

SimpleWall是一款轻量级的开源 Windows 防火墙软件，它利用了 Windows 过滤平台 (WFP)，但并不直接修改 Windows 防火墙。相反，它通过 WFP 创建自己的规则来控制哪些应用程序可以访问防火墙。

它的功能包括简单的规则编辑器、用于阻止 Windows 遥测和间谍活动的内部列表、阻止的数据包日志、IPv6 兼容性以及对系统服务和 Microsoft Store 应用的支持。

SimpleWall 允许您创建永久或临时规则（重启后规则消失），全局启用过滤器，并将程序分类为允许、阻止或静默阻止。但是，要使您的规则生效，SimpleWall 本身必须在后台运行。

除了 SimpleWall 之外，一些用户还会选择功能更丰富的商业防火墙：深度包检测、预配置的反追踪列表、沙箱、行为分析、高级图形化仪表盘以及更清晰的出站流量可见性。许多此类产品可以与 Windows 防火墙集成，或部分替代 Windows 防火墙。

服务器防火墙的性能、优势和劣势

使用防火墙（无论是边界防火墙还是操作系统级防火墙）都会带来一定的性能损失，因为每个网络数据包都需要根据一条或多条规则进行分析。在硬件配置非常有限或非常老旧的系统上，这种性能损失可能会比较明显。请参考Linux 服务器优化指南来减轻这种影响。

然而，拥有第一道防线的优势是巨大的：它可以减少遭受外部攻击的风险，控制哪些应用程序可以从外部连接，生成用于审计的有用日志，并根据您是在受信任的网络还是公共网络上调整保护级别。

除了对性能的影响之外，主要缺点是维护的复杂性（尤其是对于经验不足的用户而言）以及虚假的安全感：防火墙不能取代好的防病毒软件、系统更新，当然也不能取代管理员的常识。

此外，正确的规则管理需要时间：审查实际使用的规则、删除过时的规则、记录更改，以及验证在执行快速测试或临时例外时是否无意中留下任何漏洞。

服务器防火墙安全高级最佳实践

在重要的服务器环境中，仅仅制定几条规则然后置之不理是不够的。有很多最佳实践可以帮助我们保持控制并降低长期风险。

首先，要应用最小权限原则（PoLP）：无论是对用户还是对规则。避免使用“允许来自任何IP地址的所有流量”之类的通用规则，而应该针对特定的IP地址或子网、特定端口和已知应用程序定义定制规则。

另一个关键是要始终保持防火墙及其组件的最新状态。这包括应用操作系统补丁、物理防火墙固件更新、IPS签名更新以及供应商发布的任何更新，最好先在测试环境中进行测试。

最后，部署有效的监控和日志记录至关重要：将日志发送到 SIEM，定义可疑模式的警报（例如，来自同一 IP 的多个数据包被阻止），并定期审查报告，而不仅仅是“以防万一”地收集它们。

除了逻辑层之外，防火墙的物理安全也很重要：设备安装在封闭的机架中，技术机房的访问受到限制，以及配置备份，以便在更改后出现问题时能够快速回滚。

其他层级：URL过滤、VPN、IPS、QoS和应用控制

大多数现代下一代防火墙 (NGFW) 允许您启用高级功能，这些功能是对基本数据包过滤和 IP/端口规则的补充。

URL 过滤允许您按类别（恶意软件、社交网络、成人内容、P2P 下载等）对网站进行分类，并阻止那些被认为不适当或危险的网站，这有助于加强安全性并强制执行可接受的使用政策。

无论是站点到站点VPN 还是远程访问VPN ，都依赖 IPsec 或 SSL/TLS 等协议来加密办公室和远程用户之间的流量。防火墙通常会集成 VPN 终止功能，并对加密流量应用与网络其他部分相同的控制策略。

入侵防御系统 (IPS)实时检查流量，查找已知的攻击模式或异常行为，并能自动阻止试图利用系统或应用程序漏洞的连接。

应用程序控制比简单的端口控制提供了更大的可见性：它允许您决定允许或阻止哪些特定应用程序（例如 Skype、Dropbox、游戏应用程序等），即使它们使用标准端口或加密端口。

最后，服务质量 (QoS)允许优先处理关键流量（语音、视频会议、业务应用程序），而不是其他不太重要的流量，从而防止大规模下载或备份导致网络无法被最终用户使用。

从区域和细粒度规则的设计到下一代功能、日志记录、审计以及 SimpleWall 或专用 NGFW 等工具的使用，对服务器上防火墙的高级配置进行全面管理，决定了网络是“勉强够用”还是真正能够抵御攻击、在不失控的情况下扩展并满足当前安全要求的基础设施。