Netsh Advfirewall on qwerty.work

Windowsファイアウォールのルールをコマンドで操作する netsh advfirewall の設定例

Wed, 21 Nov 2018 20:30:20 +0900

忘れそうなのでメモ。Windows 10/8.1/7を対象にしています。

Ping応答要求（ICMP)をオール許可

既存のPing応答要求関連のルール「有効」にして、ドメイン、プライベート、パブリックの全てを許可するルールに変更する場合の例。

ルールを変更する場合は set と new を組み合わせて使います。

行末の >nul は実行結果を表示させないようにするコマンドです。結果を表示したいときは省いてください。

::ICMPv4
<br>
netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)" profile=public new enable=yes profile=any >nul
<br>
netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)" profile=private new enable=yes profile=any >nul
<br>
netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)" profile=private,public new enable=yes profile=any >nul
<br><br>
::ICMPv6
<br>
netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv6 受信)" profile=public new enable=yes profile=any >nul
<br>
netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv6 受信)" profile=private new enable=yes profile=any >nul
<br>
netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv6 受信)" profile=private,public new enable=yes profile=any >nul

UltaraVNC関連をオール許可

UltraVNCをインストールしたときに登録されるファイアウォールのルールを一度削除いして、ドメイン、プライベート、パブリックの全てを許可するルール追加する場合の例。

delete でルールを削除し、 add でルールを追加します。

::port 5800
<br>
netsh advfirewall firewall delete rule name="vnc5800" >nul
<br>
netsh advfirewall firewall add rule name="vnc5800" dir=in action=allow protocol=TCP localport=5800 enable=yes profile=any >nul
<br>
<br>
::port 5900
<br>
netsh advfirewall firewall delete rule name="vnc5900" >nul
<br>
netsh advfirewall firewall add rule name="vnc5900" dir=in action=allow protocol=TCP localport=5900 enable=yes profile=any >nul
<br>
<br>
::winvnc UDP TCP
<br>
netsh advfirewall firewall delete rule name="winvnc.exe" >nul
<br>
netsh advfirewall firewall add rule name="winvnc.exe" dir=in action=allow protocol=UDP program="C:\Program Files\uvnc bvba\UltraVNC\winvnc.exe" enable=yes profile=any >nul
<br>
netsh advfirewall firewall add rule name="winvnc.exe" dir=in action=allow protocol=TCP program="C:\Program Files\uvnc bvba\UltraVNC\winvnc.exe" enable=yes profile=any >nul

Citrix HDX Engineをオール許可

Citrix Reciever をインストールして最初に仮想デスクトップにアクセスしたときに**「Citrix HDX Engine」**をブロックするルールをファイアウォールに追加したメッセージが出たので、ブロックするルールが追加される前にあらかじめドメイン、プライベート、パブリックの全てを許可するルール追加する場合の例。

すべてブロックするルールにしたいときは action=allow の部分を action=block に変更してください。

::Citrix HDX Engine TCP UDP
<br>
netsh advfirewall firewall delete rule name="Citrix HDX Engine" >nul
<br>
netsh advfirewall firewall add rule name="Citrix HDX Engine" description="Citrix HDX Engine" dir=in action=allow program="C:\Program Files (x86)\Citrix\ICA Client\wfica32.exe" protocol=TCP enable=yes profile=any >nul
<br>
netsh advfirewall firewall add rule name="Citrix HDX Engine" description="Citrix HDX Engine" dir=in action=allow program="C:\Program Files (x86)\Citrix\ICA Client\wfica32.exe" protocol=UDP enable=yes profile=any >nul

ルールの状態を確認するコマンド例

show でルールの状態を確認できます。

netsh advfirewall firewall show rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)"

WindowsファイアウォールのPing応答（ICMP）の許可を有効にするコマンドとバッチファイル

Fri, 08 Sep 2017 20:39:21 +0900

WindowsファイアウォールでPING（ICMPプロトコル）の応答を許可されていないPCに許可する規則を有効にするコマンドを見つけたのでメモ。

netsh advfirewallというコマンドを使えばファイアウォール関連の設定ができるようです。

何台もGUIで設定するのは面倒

例えば、IPｖ4のアドレスに対してドメインネットワークからのPING応答を許可するとしたら、GUIでは **[コントロールパネル]-[Windowsファイアウォール]-[詳細設定]-[セキュリティが強化されたWindowsファイアウォール]-[受信の規則] **を開き、

ドメイン用の**[ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)]のプロパティを開いて[有効]**にチェックを入れます。

この作業が何台も何度もあるとちょっと面倒になってきます。そこでファイアウォール関連の netsh advfirewallコマンド をバッチファイルで保存しておけばクリック一発で設定完了です。

netsh advfirewall コマンドで有効化

コマンドプロンプトは管理者として実行しないとエラーになります。

ICMPv4 エコー要求を許可するルールを有効にするコマンド

ドメインネットワークからIPｖ4のアドレスからのICMP受信を許可するルールを有効にするとしたら以下となります。

netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)" profile=domain new enable=yes

ICMPv6 エコー要求を許可するルールを有効にするコマンド

IPv6の場合も同様に以下となります。

netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv6 受信)" profile=domain new enable=yes

逆に無効にしたいとき

無効にする場合は enable=yes の部分を enable=no にすればOKです。

規則が見つかりませんとなるとき

上記のコマンドは既存のルールを更新するので set という命令を使っています（他にルール追加の add 、削除の delete 、確認するための show などもある）が、ルールの名前の指定が name=“ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)” と正しくても、profile=** の部分の指定が既存のルールと一致していなと 「指定された条件に一致する規則はありません。」 とエラーになります。

エラーにならない例（プロファイルの指定を変更したいとき）

例えば、既存のルールがドメイン（domain）のみだけど、ドメイン（domain）とプライベート（private）を許可するルールを有効に変更したいときは以下のようにします。

netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)" profile=domain new enable=yes profile=domain,private

new より後ろに変更後の profile を追記します。

更に、既存のルールがプライベート（private）とパブリック（public) だけど、パブリック（public) だけにしてルールを無効に変更したいときは以下のようにします。

netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)" profile=private,public new enable=no profile=public

これで正常に変更できるはずです。

状態を確認するコマンド

ちなみに有効か無効かを確認するコマンドは以下となります。

「有効：」の行がはいになっていれば有効で、いいえの場合は無効になっています。

netsh advfirewall firewall show rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)"

設定を変更するときはsetですが、確認するときはshowを使います。上記は、ドメイン、プライベート、パブリックなど、すべての状態を表示しますが、ドメインのみの規則を確認したい場合は以下のようにprofile=domainを追加します。

netsh advfirewall firewall show rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)" profile=domain

バッチファイルのソース

上記のコマンドを使い、有効か無効かを判別して無効になっている場合のみ、有効にするといったバッチファイルの例が以下となります。

@echo off
<br>
echo Windowsファイアウォールの"ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)"が有効になっているか確認しています。
<br>
netsh advfirewall firewall show rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)" profile=domain | findstr "有効.*はい$"
<br>
if %ERRORLEVEL% equ 0 (
    echo IPv4のエコー要求は有効になっています。
) else (
    echo IPv4のエコー要求は有効になっていませんでした。有効にしています。
    netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv4 受信)" profile=domain new enable=yes
)
<br>
echo.
echo Windowsファイアウォールの"ファイルとプリンターの共有 (エコー要求 - ICMPv6 受信)"が有効になっているか確認しています。
<br>
netsh advfirewall firewall show rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv6 受信)" profile=domain | findstr "有効.*はい$"
<br>
if %ERRORLEVEL% equ 0 (
    echo IPv6のエコー要求は有効になっています。
) else (
    echo IPv6のエコー要求は有効になっていませんでした。有効にしています。
    netsh advfirewall firewall set rule name="ファイルとプリンターの共有 (エコー要求 - ICMPv6 受信)" profile=domain new enable=yes
)
<br>
pause

コマンドの参考

https://technet.microsoft.com/ja-jp/library/dd734783(v=ws.10).aspx https://technet.microsoft.com/ja-jp/library/dd734783(v=ws.10).aspx

https://msdn.microsoft.com/ja-jp/library/hh831755(v=ws.11).aspx https://msdn.microsoft.com/ja-jp/library/hh831755(v=ws.11).aspx

実行後

コマンドおよびバッチファイル実行後は以下のとおり、無効だったドメインのプロファイルが有効になりました。