Windows查看防火墙日志方法

想快速定位Windows防火墙是否误拦了关键网络连接，或彻底排查访问失败、服务不通等疑难问题？本文直击核心，为你详解三种高效、互补的防火墙日志查看方法：从图形化启用基础文本日志（pfirewall.log）获取直观连接详情，到无需预配置即可实时检索事件查看器中精准标记的拦截事件（ID 5157），再到用PowerShell一键批量启用并验证日志状态——无论你是普通用户排查日常故障，还是IT管理员进行自动化运维，都能找到即学即用、立竿见影的解决方案。

如果您希望确认 Windows 防火墙是否阻止了特定连接，或排查网络访问异常问题，则需查看防火墙生成的拦截与放行记录。Windows 提供多种日志机制，分别对应不同粒度和启用条件。以下是三种独立且可操作的方法：

一、启用并读取 Windows Defender 防火墙基础日志文件

该方法通过启用内置的 pfirewall.log 文件记录被丢弃或允许的连接事件，日志以纯文本格式存储，便于直接查看源IP、目标端口、协议及行为结果。日志默认关闭，必须手动开启各网络配置文件（域、专用、公用）的日志功能。

1、按下 Win + R 组合键，输入 wf.msc 并回车，打开“高级安全 Windows 防火墙”管理控制台。

2、在左侧面板中，右键单击“高级安全 Windows 防火墙（本地）”，选择“属性”。

3、依次切换至“域配置文件”、“专用配置文件”、“公用配置文件”三个选项卡。

4、在每个选项卡的“日志”区域，点击“自定义”按钮。

5、勾选“记录被丢弃的数据包”和“记录成功的连接”，将日志路径设为 C:\Windows\System32\LogFiles\Firewall\pfirewall.log，设置日志文件最大大小不低于 4096 KB。

6、逐个点击“确定”保存各配置文件设置，确保三者均完成配置。

7、等待若干分钟产生日志后，在资源管理器中直接访问 C:\Windows\System32\LogFiles\Firewall\pfirewall.log，用记事本或 Notepad++ 打开查看。

二、通过事件查看器检索 Windows 筛选平台（WFP）拦截事件

该方式无需预先启用防火墙日志，而是依赖系统安全日志中由 WFP 内核组件自动记录的连接决策事件。事件 ID 5157 明确标识被阻止的连接，包含应用程序路径、筛选器名称、源/目标地址与端口等完整上下文，适合定位具体被拦进程。

1、右键点击“此电脑”，选择“管理”，进入“计算机管理”界面。

2、展开左侧树形菜单：系统工具 → 事件查看器 → Windows 日志 → 安全。

3、在右侧操作面板中，点击“筛选当前日志”。

4、在“事件ID”文本框中输入 5157，点击“确定”。

5、列表中显示所有被阻止连接事件；双击任一事件，在“详细信息”选项卡中查看 XML 或常规视图，重点关注 SourceAddress、DestinationPort、ApplicationPath、FilterName 字段。

三、使用 PowerShell 启用日志并快速验证配置状态

该方法适用于批量配置或脚本化运维场景，通过 PowerShell 命令一次性为全部网络配置文件启用日志，并立即查询当前策略是否生效，避免图形界面操作遗漏某一个配置文件。

1、以管理员身份运行 PowerShell。

2、执行命令启用日志：Set-NetFirewallProfile -Profile Domain,Private,Public -LogAllowed True -LogBlocked True -LogFileName "%systemroot%\System32\LogFiles\Firewall\pfirewall.log"。

3、执行命令验证配置：Get-NetFirewallProfile | Format-List Name,LogAllowed,LogBlocked,LogFileName。

4、检查输出中三项配置文件的 LogBlocked 值是否均为 True，且 LogFileName 指向预期路径。

5、若需立即触发日志写入以测试，可临时运行一条被防火墙规则明确拒绝的连接（如 telnet 到一个未开放且无例外规则的端口），随后检查日志文件末尾是否新增含 DROP 行为的条目。

好了，本文到此结束，带大家了解了《Windows查看防火墙日志方法》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多文章知识！