Windows 防火墙的启动、停止、重启和退出日志记录主要通过 Windows 事件查看器以及防火墙日志文件（如 pfirewall.log）来进行。以下是详细的记录方式和步骤。
1. 通过事件查看器查看防火墙服务的日志
Windows 防火墙的服务（MpsSvc）的启动、停止、重启和退出会记录到系统日志中。你可以通过 Windows 事件查看器查看这些记录。
步骤：查看防火墙服务日志
-
打开事件查看器：
- 按
Win + R，输入eventvwr.msc，按 Enter 打开事件查看器。
- 按
-
查找防火墙相关的事件日志：
- 在事件查看器中，依次展开 Windows 日志 > 应用程序。
- 在 应用程序 日志下，查找源为
MpsSvc或 Microsoft-Windows-Security-Auditing 的事件。
-
相关事件信息：
- 事件ID 2004：表示防火墙服务已启动。
- 事件ID 2005：表示防火墙服务已停止。
- 事件ID 2006：表示防火墙服务正在退出。
- 事件ID 2007：表示防火墙服务重新启动。
这些事件通常会详细记录防火墙服务的状态变化，如启动、停止、退出或重启。
示例：
-
事件ID 2004（防火墙启动）：
Copy Code日志源：MpsSvc 类型：信息 事件ID：2004 描述：Windows 防火墙服务已启动。 -
事件ID 2005（防火墙停止）：
Copy Code日志源：MpsSvc 类型：信息 事件ID：2005 描述：Windows 防火墙服务已停止。 -
事件ID 2006（防火墙退出）：
Copy Code日志源：MpsSvc 类型：信息 事件ID：2006 描述：Windows 防火墙服务正在退出。 -
事件ID 2007（防火墙重启）：
Copy Code日志源：MpsSvc 类型：信息 事件ID：2007 描述：Windows 防火墙服务已重新启动。
2. 通过防火墙日志文件记录（pfirewall.log）
如果需要更详细的日志记录（例如防火墙的流量活动），可以启用 Windows 防火墙日志记录功能。通过配置防火墙的详细日志，可以记录防火墙的连接、流量的允许/拒绝以及其他事件。
启用防火墙日志记录
-
打开“Windows 防火墙”高级设置：
- 打开“控制面板” > 系统和安全 > Windows 防火墙 > 高级设置。
-
配置日志记录：
- 在 Windows 防火墙高级安全窗口中，点击左侧的 操作 菜单，选择 属性。
- 在属性窗口中，点击 日志记录 标签页。
- 在日志记录部分，选择 启用日志记录。
- 配置日志文件的位置、大小限制（例如 4MB）等。
-
查看
pfirewall.log文件： 启用日志记录后，详细的防火墙活动会被记录到pfirewall.log文件中。默认的日志路径是：Copy CodeC:\Windows\System32\LogFiles\Firewall\pfirewall.log
3. Windows 防火墙服务的启动、停止和重启
- 启动：防火墙服务启动时，事件查看器中会记录事件ID为 2004 的事件。
- 停止：防火墙服务停止时，事件查看器中会记录事件ID为 2005 的事件。
- 重启：防火墙服务重启时，事件查看器中会记录事件ID为 2007 的事件。
- 退出：当防火墙服务退出时，事件查看器中会记录事件ID为 2006 的事件。
4. 查看防火墙日志文件
通过启用防火墙日志记录，你可以查看 pfirewall.log 文件，其中记录了更多关于防火墙活动的信息。这个日志文件会显示所有通过防火墙的流量记录、允许或拒绝的连接、端口、协议等信息。
5. 常见问题排查
- 如果未能找到相关日志，可能需要检查防火墙服务是否已正确启用或防火墙设置是否正确。
- 你可以通过
services.msc检查防火墙服务状态，并确保其为“正在运行”。
检查防火墙服务：
- 按 Win + R，输入
services.msc，按 Enter。 - 在服务窗口中，查找 Windows Defender 防火墙 或 MpsSvc 服务。
- 检查服务状态，确保其为“正在运行”状态。如果未运行，右键点击并选择 启动。
总结：
- 防火墙服务日志：通过事件查看器查看防火墙服务的启动、停止、重启和退出信息，主要关注
MpsSvc和Microsoft-Windows-Security-Auditing的事件。 - 防火墙详细日志记录：启用
pfirewall.log文件，记录更详细的网络活动、允许/拒绝流量等。 - 事件ID：
- 2004：防火墙服务启动。
- 2005：防火墙服务停止。
- 2006：防火墙服务退出。
- 2007：防火墙服务重启。
通过这些日志，你可以有效地监控 Windows 防火墙服务的状态变化及网络流量。
Windows 防火墙日志记录的信息主要包括以下几类内容，用于监视、记录和分析网络流量及其与防火墙规则的匹配情况。通过查看这些日志，管理员可以检测到潜在的安全事件，诊断网络问题，或确认网络通信是否被防火墙阻止或允许。
Windows 防火墙日志通常位于文件 pfirewall.log 中，位于路径 C:\Windows\System32\LogFiles\Firewall（路径可能根据操作系统版本和配置有所不同）。具体记录的信息包括：
1. 时间戳 (Timestamp)
每一条日志记录都带有一个时间戳，表示该事件发生的时间。它帮助管理员了解事件发生的具体时间，并可以进行时间上的排序和分析。
- 示例：
2025-01-26 14:35:12
2. 事件类别 (Event Category)
每条日志记录会指明该事件属于哪种类别。常见的事件类别有：
- Allow：表示防火墙允许某个连接。
- Block：表示防火墙阻止了某个连接。
- Inbound/Outbound：分别表示流量是进入（Inbound）还是离开（Outbound）计算机。
- Dropped：表示某些数据包被丢弃，通常是由于违反了防火墙的规则。
3. 源地址 (Source IP Address)
记录流量来源的 IP 地址。它帮助管理员识别哪个设备发起了通信请求。
- 示例：
192.168.1.10
4. 目标地址 (Destination IP Address)
记录流量目标的 IP 地址，即数据包目标的地址。
- 示例：
10.0.0.1
5. 源端口 (Source Port)
源端口号，表示发起通信的应用程序或服务的端口。该信息有助于识别通信类型或应用程序。
- 示例：
443（HTTPS协议）
6. 目标端口 (Destination Port)
目标端口号，表示接收通信的应用程序或服务的端口。这通常与传输协议有关，例如 HTTP 使用端口 80，HTTPS 使用端口 443。
- 示例：
80（HTTP协议）
7. 协议类型 (Protocol)
表示数据包使用的协议，如 TCP、UDP 等。这个信息有助于了解通信的性质。
- 示例：
TCP或UDP
8. 动作 (Action)
记录防火墙对数据包采取的动作，可能的动作包括：
- Allow：表示该连接被允许通过防火墙。
- Block：表示该连接被防火墙阻止。
- Drop：表示该数据包被丢弃。
9. 接口 (Interface)
记录流量通过的网络接口（如本地网络接口或外部网络接口）。对于多网卡的计算机，这个信息可以帮助管理员确定流量是通过哪个网络接口进入或离开的。
- 示例：
Ethernet
10. 规则名称 (Rule Name)
记录触发该事件的防火墙规则的名称。管理员可以通过规则名称来了解是哪一条规则对流量做出了响应。
- 示例：
Block all inbound connections
11. 状态 (State)
一些日志条目会包含关于连接的状态信息，例如：
- Established：连接已经建立。
- Closed：连接已关闭。
12. 其他诊断信息
在某些情况下，防火墙日志还会提供额外的诊断信息，帮助进一步分析问题。例如，当网络流量被拒绝时，日志可能还会记录一些有关拒绝的具体原因或细节。
- 示例：
Connection refused by rule或Connection timed out
13. 数据包大小 (Packet Size)
记录传输的数据包的大小，以字节为单位。这有助于分析流量负载，判断是否存在异常的大流量或攻击行为。
- 示例：
512 bytes
14. 连接持续时间 (Connection Duration)
在某些情况下，防火墙可能会记录连接的持续时间，尤其是在允许的连接中。这有助于了解流量的生命周期。
- 示例：
Connection duration: 2 minutes
配置防火墙日志记录：
默认情况下，Windows 防火墙不会记录所有事件。要启用防火墙日志记录，可以通过以下步骤：
- 打开“控制面板” > “系统和安全” > “Windows 防火墙” > “高级设置”。
- 在“Windows 防火墙高级安全”窗口中，选择“操作” > “属性”。
- 在“日志记录”选项卡中，选择启用日志记录，并指定日志文件的位置和最大文件大小。
通过分析 Windows 防火墙日志，管理员可以了解网络流量的详细信息，并检测和响应潜在的安全威胁。日志记录的信息包括时间、源/目标地址、端口、协议、动作等，这些信息是网络安全和故障排除中不可或缺的工具。
