配置 Windows 防火墙以阻止系统范围内的所有应用程序（除了少数几个应用程序）？

Question

我想让 Windows 忽略每个系统和用户应用程序的互联网访问，并让我添加我认为合适的例外，但我遇到了问题......

转到“具有高级安全性的 Windows 防火墙”，选择“Windows 防火墙属性”，然后在所有选项卡上将入站/出站连接设置为“阻止”，理论上应该如上一个菜单中所述，阻止以下应用程序的入站/出站连接不符合规则。在这种情况下，除了我的互联网浏览器之外的所有东西，但它都做了其他事情。它完全关闭对设备的任何互联网访问，并将其置于“受限”状态（本地连接）。这意味着我无法在任何地方访问互联网，并且我不知道如何解决它。禁用 Windows 防火墙可以再次允许互联网访问，但我无法忍受该系统所建立的连接数量而不感到偏执。

在我的主要应用程序通过网络运行之前，是否需要允许访问互联网的系统服务？这是我唯一能想到的，但我不知道允许访问哪一个。我浏览了这个网站一点点，但我找不到任何有帮助的东西。

Answer 1

在评论中，您说：

除了我的浏览器之外，目前它是空白的。

这就是你的问题。要获得有效的互联网连接，您需要的不仅仅是网络浏览器。具体来说，所有核心网络规则都很重要，尤其是 DNS。（如果无法解析网站的IP，则访问网站会相当困难。）

您可以通过右键单击防火墙管理窗口中的根节点并选择恢复默认策略来恢复标准规则（出站和入站） 。这会将防火墙状态回滚到 Windows 首次安装时的状态。您将丢失所有自定义条目，因此某些程序可能需要重新添加其规则。（或者，您可以尝试通过创建“预定义”规则来恢复它们。）执行此操作后，您可以尝试禁用一些出站规则，直到出现问题为止，此时您已经发现哪些规则是关键的。请注意，通知区域中的网络图标并不一定代表您是否可以访问 Internet；它的检查可能与您感兴趣的不同。

我的实验表明，只有核心网络才是超级重要的。当然，您还需要允许您的浏览器。注意：某些浏览器（例如 Microsoft Edge）有一个可执行文件（即 UI）和一个发出实际请求的可执行文件；您需要解锁后者。

我建议还允许 Windows 更新服务；您可以通过创建“自定义规则”来创建服务规则，将“程序”屏幕设置保留为“所有程序” ，然后使用底部的“自定义”按钮选择服务。

如果您希望 ping 正常工作，则需要创建一条允许某些类型的 ICMP 流量的规则，这也是一条“自定义规则”。让它应用于所有程序，但在“协议和端口”屏幕上，选择 ICMPv4 作为协议后单击“自定义”按钮。选择您感兴趣的具体类型；我推荐Echo Request (ping) 和Destination Unreachable。