将 Windows Server 默认防火墙出站更改为阻止

Question

在较大的组织中，主防火墙将经过精心微调，以仅允许在控制之下进行到互联网的出站连接。

但是，我的一位客户使用的是相对简单的 BT Home Hub，它在出站防火墙连接方面没有提供太多功能 - 而且他们的 LAN 上有一个几乎不受管理的 Windows 2012 服务器。我很惊讶（其实也没那么惊讶）地了解到 Windows 2012 防火墙出站的默认设置是允许所有出站流量。我一直以为，因为那里有一整套启用的出站规则，所以只有在这些规则中配置的端口/程序才有访问权限。我很困惑，我怎么能在没有明显允许的规则的情况下远程登录到他们的 ISP 的 SMTP 服务器。将默认行为更改为短暂阻止，是的，无法远程登录到端口 25。

我的问题是，将默认设置更改为阻止是否安全，Windows 和其他程序是否会添加所需的出站规则，或者我是否需要花费相当长的时间添加自定义规则？

我建议我们找一个可以控制出站规则的、性价比高的防火墙。

Answer 1

是的，它是安全的。而且，你会花很多时间来添加有效流量的自定义规则……话虽如此，阻止所有未知的出站流量是一种非常好的安全态势。

仅供参考，在管理员命令提示符下运行以下命令将阻止所有出站内容和所有协议。

netsh advfirewall firewall add rule name="BlockOutbound" dir=out action=block

您可以使用以下方法快速删除该规则：

netsh advfirewall firewall del rule name="BlockOutbound"

而且，下面会给你提供使用方法/示例……如果你真的要阻止一切，这些会非常方便。你可以使用这些命令为自己构建一些脚本，以便轻松地为有效的出站流量找到一些漏洞

netsh advfirewall firewall add rule