Windows系统防火墙端口配置及放行操作指南

一、默认端口配置及功能概述

Windows系统防火墙为保障基础安全，默认开放部分常用服务端口，各端口对应协议及功能如下：

- 20/21端口：FTP文件传输协议端口，其中20端口用于数据传输（主动模式），21端口用于控制连接，支持文件上传下载服务。

- 80端口：HTTP超文本传输协议端口，用于常规网页访问服务，是Web服务的基础通信入口。

- 443端口：HTTPS安全超文本传输协议端口，基于SSL/TLS加密技术，保障网页数据传输安全，支持电商、网银等高安全性Web服务。

- 110端口：POP3邮局协议端口，用于邮件客户端接收服务器邮件，是传统邮件接收服务的标准端口。

- 1433端口：MSSQL数据库服务端口，支持远程数据库连接与数据查询操作，需结合身份验证保障访问安全。

- 3306端口：MySQL数据库服务端口，广泛用于开源数据库远程连接，需配合防火墙规则限制非授权访问。

- 3389端口：Windows远程桌面协议（RDP）默认端口，用于远程服务器管理，建议修改为非默认端口以降低安全风险。

- 33000-33003端口：FTP被动模式扩展端口范围，用于解决主动模式下的NAT穿透问题，提升文件传输灵活性。

注：25端口（SMTP邮件发送协议）因涉及中继邮件安全风险，防火墙默认关闭，如需开启需提交工单申请并说明用途。

二、端口放行操作指南

当业务需启用防火墙默认未开放的端口时，可通过以下两种方式实现端口放行，操作前建议确认端口号范围（1-65535）及协议类型（TCP/UDP）。

##### （一）自动化工具快速放行

针对不同Windows系统版本，官方提供自动化脚本工具，简化配置流程：

- Windows Server 2003系统：下载专用脚本[http://downinfo.myhostadmin.net/vps/2003allow.bat](http://downinfo.myhostadmin.net/vps/2003allow.bat)，双击运行后按提示输入端口号即可完成放行。

- Windows Server 2008/2012系统：下载脚本[http://downinfo.myhostadmin.net/vps/2008allow.bat](http://downinfo.myhostadmin.net/vps/2008allow.bat)，执行后根据界面指示输入目标端口，系统将自动创建入站规则。

- 通用可视化工具：下载[http://download.myhostadmin.net/win系统防火墙放行端口.exe](http://download.myhostadmin.net/win系统防火墙放行端口.exe)（需服务器内部登录下载），工具提供图形化界面，支持批量端口配置，操作更直观。

##### （二）手动创建入站规则

如需精细化控制规则，可通过防火墙高级设置手动配置：

1. 右键点击“网上邻居”，选择“属性”，进入“网络连接”界面；

2. 右键点击“本地连接”，选择“属性”，切换至“高级”选项卡，点击“设置”按钮；

3. 在“防火墙设置”对话框中切换至“例外”选项卡，点击“添加端口”；

4. 输入需放行的端口号，选择协议类型（TCP/UDP），为规则命名（建议标注服务名称），确认后保存规则。

提示：修改远程桌面连接端口（默认3389）可参考[https://www.west.cn/faq/list.asp?unid=560](https://www.west.cn/faq/list.asp?unid=560)，操作前需确保新端口已放行防火墙规则。

三、安全注意事项

端口放行需遵循“最小权限原则”，仅开放业务必需端口，避免全端口开放增加安全风险。定期检查防火墙规则，清理冗余规则，同时建议启用日志记录功能，监控端口访问行为，及时发现异常连接。