Windows 上使用 PowerShell 设置防火墙规则和端口转发； Windows 上配置端口转发，将 3389 端口的流量重定向到自定义端口；

PowerShell 端口转发（Netsh Interface PortProxy / WFP）完整解构

前置区分：PowerShell本身没有原生端口转发 API，日常说的 PowerShell 配置端口转发，本质是两种主流实现： ① 调用 netsh interface portproxy（Windows IP 过渡 / 端口代理，内核iphlpapi.dll + tcpip.sys）【最常用】 ② PowerShell 自建 Socket 监听转发（纯用户态 PowerShell 脚本实现，不依赖系统 PortProxy 驱动） ③ WFP 自定义过滤驱动转发（高级，极少直接用 PS 配置）

固定结构：底层原理｜依赖文件｜依赖关系｜逻辑链路｜配套链｜边界

一、底层原理

方案 1：netsh interface portproxy（系统内核级端口转发，工业主流）

核心组件：IPHTTPSYS / PortProxy 代理引擎，内置在 tcpip.sys 协议栈，属于 Windows TCP/IP 栈内置的透明四层端口代理（L4 转发）。工作模式：基于 TCP（UDP 在旧系统不支持，Win10 1709 + 支持 UDP proxy）

本机监听 IP:Port → 内核接收 TCP 连接 → 内核新建连接转发至远端 IP:Port
无独立代理进程，在内核协议栈完成报文转发，性能高，支持后台持久生效
配置存储在注册表，重启保留；本质修改 HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\IpEnableRouter + PortProxy 映射表

关键前提：必须开启系统 IP 路由（IpEnableRouter=1）

方案 2：PowerShell 纯脚本 Socket 转发（用户态实现）

完全脱离系统 PortProxy，依靠.NET System.Net.Sockets类库。

PowerShell 创建 Socket，本地 Bind 监听端口
收到客户端连接后，新建 Socket 连接后端目标
在 PS 进程内双向转发数据流
特点：进程存活才生效，关闭 PS 窗口转发立刻失效，性能弱，仅临时测试用

⚠️ 二者经常混淆：网上绝大多数 “PowerShell 端口转发” 示例，都是 PS 调用 netsh 命令写入内核 PortProxy 规则，不是 PS 自身转发。

二、依赖文件

模块	文件路径	核心作用
netsh 端口代理（内核转发）	netsh.exeiphlpapi.dlltcpip.sysiphlp.sys	netsh 命令入口、IP 配置 API、TCP/IP 协议栈、PortProxy 核心引擎
注册表存储	HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\ParametersHKLM\SYSTEM\CurrentControlSet\Services\PortProxy\v4tov4	IP 路由开关、端口转发映射持久化
PowerShell Socket 转发	System.Net.Sockets (.NET)powershell.exemscorlib.dll	.NET 套接字实现、用户态数据中转
配套防火墙	advapi32.dllwf.msc	防火墙放行监听端口
辅助工具	netstat.exe / Get-NetTCPConnectionroute.exe	查看监听、连接、路由

三、依赖关系

3.1 组件调用依赖顺序

✅ 内核 PortProxy（PS 调用 netsh 方式）

PowerShell.exe → 调用netsh.exe 
    ↓
iphlpapi.dll API写入注册表PortProxy映射 + 开启IpEnableRouter
    ↓
tcpip.sys 加载端口代理规则，内核注册监听端点
    ↓
流量到达本机端口 → tcpip.sys接管转发到远端

✅ PowerShell .NET Socket 用户态转发

PowerShell.exe
    ↓
加载 .NET System.Net.Sockets.TcpListener / TcpClient
    ↓
用户态维护双向Socket数据流转发
    ↓
所有流量经过powershell进程内存拷贝

3.2 前置依赖

内核 PortProxy
- 管理员权限（修改注册表 + 开启 IP 路由）
- 系统 IP 路由 IpEnableRouter=1
- Windows 防火墙放行本机监听端口入站流量
- 版本：v4tov4 TCP 全系统支持；UDP 代理 Win10 1709+/Server2019+
PowerShell .NET Socket 转发
- 仅需要普通权限（监听 1024 以下端口需要管理员）
- powershell 进程不能关闭
- .NET 框架可用（全 Windows 默认自带）

3.3 互斥 & 叠加约束

同一个端口不能同时被 PortProxy 和 PowerShell Socket 监听占用
PortProxy 属于内核四层转发，不修改数据包源 IP（默认）；如需源 NAT，需要配合 Windows ICS / 路由 NAT
PortProxy 不处理应用层协议（不会解析 HTTP），纯 TCP/UDP 流量转发
用户态 Socket 转发稳定性差，高并发容易丢包、卡死

四、逻辑链路

链路 1：netsh PortProxy 内核端口转发（最常用）

预览

查看代码

flowchart LR
A[客户端 192.168.1.100:5000] --> B[转发主机:5000]
B --> C[tcpip.sys 匹配PortProxy映射规则]
C --> D[内核新建连接到后端10.0.0.5:3389]
D --> E[双向TCP报文在内核直接转发]

豆包

你的 AI 助手，助力每日工作学习

示例映射：127.0.0.1:5000 → 10.0.0.5:3389

链路 2：PowerShell .NET Socket 用户态转发

预览

查看代码

flowchart LR
A[客户端连接本机:5000] --> B[PowerShell TcpListener 接收连接]
B --> C[PS新建TcpClient连接后端10.0.0.5:3389]
C --> D[PS进程内循环读写Buffer双向转发数据]

豆包

你的 AI 助手，助力每日工作学习

五、配套链

✅ PowerShell 配置 PortProxy 标准脚本（内核持久转发）

# 1. 开启系统IP路由
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters' -Name IpEnableRouter -Value 1 -Type DWord

# 2. 添加端口转发规则：本地127.0.0.1:5000 转发到 10.0.0.5:3389
netsh interface portproxy add v4tov4 listenaddress=127.0.0.1 listenport=5000 connectaddress=10.0.0.5 connectport=3389

# 3. 防火墙放行端口
New-NetFirewallRule -DisplayName "PortProxy 5000" -Direction Inbound -LocalPort 5000 -Protocol TCP -Action Allow

# 查看现有转发规则
netsh interface portproxy show all

✅ PowerShell .NET Socket 临时转发脚本（用户态）

$listenPort = 5000
$targetIP = "10.0.0.5"
$targetPort = 3389
$listener = [System.Net.Sockets.TcpListener]::new([System.Net.IPAddress]::Loopback,$listenPort)
$listener.Start()
Write-Host "监听 $listenPort，转发至 $targetIP : $targetPort"
while($true){
    $client = $listener.AcceptTcpClient()
    $remote = [System.Net.Sockets.TcpClient]::new()
    $remote.Connect($targetIP,$targetPort)
    # 双向转发逻辑（省略异步buffer代码）
}

✅ 运维排查配套

# 查看本机监听端口
Get-NetTCPConnection -State Listen
# 删除portproxy规则
netsh interface portproxy del v4tov4 listenaddress=127.0.0.1 listenport=5000
# 关闭IP路由
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters' IpEnableRouter 0

✅ 安全 / 红蓝配套

内网横向：端口转发暴露内网 RDP/SMB（经典横向手段）
检测：监控注册表 PortProxy 项新增、netsh portproxy 调用行为
审计：监控异常监听端口

六、边界（能力上限、局限性、适用边界）

✅ 能力上限

PortProxy 内核转发性能极高，后台静默运行，重启自动生效
支持 TCP/UDP 端口映射，支持本机 / 任意网卡监听
纯 PowerShell 即可一键部署，无需额外第三方工具
可配合 Windows 路由实现跨网段流量中转

❌ 核心局限

PortProxy 默认不做源地址 NAT，后端日志看到真实客户端 IP；需要 NAT 必须额外配置 ICS/RRAS
UDP 代理仅新版 Windows 支持，老系统仅 TCP
PortProxy 不支持动态域名，只能填静态 IP
PowerShell 用户态 Socket 转发：进程退出即失效、高并发不稳定、容易卡死
不支持应用层代理（不能做 HTTP 代理、SOCKS5，SOCKS 需要额外如 sockscap/pssocks 脚本）
必须防火墙放行监听端口，否则外部无法接入

📌 适用边界

✅ 运维内网端口暴露、隧道前置转发、红蓝横向端口映射、长期持久端口转发（优先 PortProxy） ✅ 临时快速测试转发（临时用.NET Socket 脚本） ❌ 高性能大规模网关、SOCKS5 代理、HTTPS 解密、动态域名转发

补充横向对比速查表

项目	netsh PortProxy（内核）	PowerShell .NET Socket（用户态）
生效位置	tcpip.sys 内核	powershell 进程内存
持久化	✅ 注册表保存，重启保留	❌ PS 关闭立刻失效
性能	高，内核转发	低，用户态拷贝
UDP 支持	Win10 1709 + 支持	需要自行实现
权限	需要管理员	低端口需管理员
典型场景	长期端口映射、内网穿透前置	临时快速测试

Windows 3389 ↔ 自定义端口转发完整解构

需求场景：将本机自定义端口（例如 53389）流量转发至本机 3389（外部访问IP:53389等价访问本机 RDP 3389）；区分两套主流方案：Netsh PortProxy（内核持久转发，工业首选）、PowerShell .NET TcpListener 用户态转发；⚠️ 注意和直接修改 RDP 自身监听端口（HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber）是两套完全不同机制。固定结构：底层原理｜依赖文件｜依赖关系｜逻辑链路｜配套链｜边界

一、底层原理

方案 1：netsh interface portproxy（内核级转发，推荐）

底层依托 Windows TCP/IP 协议栈 tcpip.sys 内置 PortProxy 四层代理引擎，属于L4 透明 TCP 转发

在内核协议栈注册监听端点：0.0.0.0:53389
外部客户端 TCP 连接本机IP:53389，tcpip.sys 捕获连接
内核自动新建本机回环连接 127.0.0.1:3389（RDP 服务默认监听 127.0.0.1/0.0.0.0:3389）
双向 RDP 报文在内核直接转发，无中间进程参与，性能高、后台常驻、重启自动生效
配置持久存储于注册表，依赖IpEnableRouter开启 IP 路由功能

核心区别：不是修改 RDP 服务本身监听端口，流量只是内核侧转发；RDP 服务依旧原生跑 3389 端口。

方案 2：PowerShell .NET TcpListener 用户态转发（临时测试用）

基于.NET System.Net.Sockets套接字，由 powershell 进程作为中转：

PS 进程绑定监听0.0.0.0:53389
收到客户端连接后，新建 TcpClient 连接本机 127.0.0.1:3389
在 PowerShell 进程内存中循环拷贝双向数据流
powershell 窗口关闭 / 进程销毁，转发立即失效，不适合长期使用

补充另一种备选思路（非转发）：直接修改 RDP 注册表 PortNumber，让 TermService 直接监听 53389，不需要 PortProxy，很多人容易混淆。

二、依赖文件

模块	文件路径	核心作用
PortProxy 内核转发	netsh.exeiphlpapi.dlltcpip.sysiphlp.sys	netsh 配置入口、IP 配置 API、TCP/IP 协议栈、PortProxy 转发引擎
持久化注册表	HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\IpEnableRouterHKLM\SYSTEM\CurrentControlSet\Services\PortProxy\v4tov4	IP 路由开关、端口转发映射存储
RDP 服务	termsrv.dll、svchost.exe(TermService)	RDP 核心服务，原生监听 3389
PowerShell 用户态转发	powershell.exemscorlib.dllSystem.Net.Sockets	.NET 套接字实现、用户态数据中转
防火墙组件	wf.msc、advapi32.dll	放行自定义监听端口入站流量
排查工具	Get-NetTCPConnection、netstat.exe	查看端口监听与连接状态

三、依赖关系

3.1 组件调用依赖顺序

✅ Netsh PortProxy（生产标准方案）

PowerShell / CMD → netsh.exe
    ↓
iphlpapi.dll → 写入PortProxy注册表映射 + 开启IpEnableRouter=1
    ↓
tcpip.sys加载转发规则，注册0.0.0.0:53389监听端点
    ↓
外部流量到达53389 → 内核转发至127.0.0.1:3389
    ↓
TermService接收标准RDP流量

✅ PowerShell .NET 用户态转发

PowerShell.exe → 加载System.Net.Sockets.TcpListener
    ↓
绑定0.0.0.0:53389监听
    ↓
客户端接入 → TcpClient连接127.0.0.1:3389
    ↓
PS进程内双向buffer数据转发

3.2 前置依赖

PortProxy 硬性前置
- 管理员权限（修改系统注册表、IP 路由、注册内核监听端点）
- TermService（远程桌面服务）正常运行，本机 3389 端口正常监听
- Windows 防火墙放行53389入站 TCP 流量
- 仅 TCP 稳定支持；UDP RDP 场景 Win10 1709+/Server2019 后才支持 PortProxy UDP
用户态 PS 转发前置
- 监听小于 1024 端口需要管理员权限
- PowerShell 进程持续运行，不能关闭窗口
- .NET 环境默认预装在 Windows

3.3 互斥 & 叠加约束

0.0.0.0:53389不能被其他程序同时占用
PortProxy 内核转发和直接修改 RDP 端口二选一即可，不要叠加混用，极易出现端口冲突
PortProxy 默认不做源 NAT；RDP 日志中源 IP 为转发主机 IP，不是原始客户端 IP
RDP 本身有 NLA 网络级别认证，转发模式下 NLA 正常生效，无特殊兼容问题

四、逻辑链路

链路 1：PortProxy 内核转发（标准）

预览

查看代码

flowchart LR
A[外部客户端 PC:随机端口] --> B[Windows主机:53389]
B --> C[tcpip.sys 匹配PortProxy映射规则]
C --> D[内核建立回环连接 127.0.0.1:3389]
D --> E[TermService RDP服务处理连接]
E --> F[双向RDP报文内核直接回传客户端]

豆包

你的 AI 助手，助力每日工作学习

链路 2：PowerShell 用户态转发

预览

查看代码

flowchart LR
A[外部客户端] --> B[主机:53389（PS TcpListener监听）]
B --> C[PowerShell进程新建TcpClient连接127.0.0.1:3389]
C --> D[TermService接收RDP流量]
D --> E[PS进程内存双向转发数据]

豆包

你的 AI 助手，助力每日工作学习

补充：直接修改 RDP 端口（非转发链路，备选方案）

客户端直接访问IP:53389 → 流量直达 TermService，无任何中间转发层

五、配套链

✅ 【推荐】PortProxy 一键部署脚本（PowerShell，管理员运行）

#1. 开启系统IP路由
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters' -Name IpEnableRouter -Value 1 -Type DWord

#2. 添加转发规则：监听本机所有网卡53389 → 转发到本机回环3389
netsh interface portproxy add v4tov4 listenaddress=0.0.0.0 listenport=53389 connectaddress=127.0.0.1 connectport=3389

#3. 防火墙放行53389入站TCP
New-NetFirewallRule -DisplayName "RDP-Forward-53389" -Direction Inbound -LocalPort 53389 -Protocol TCP -Action Allow -RemoteAddress Any

#4. 查看已存在转发规则
netsh interface portproxy show all

✅ 清理 / 删除转发规则

# 删除转发规则
netsh interface portproxy del v4tov4 listenaddress=0.0.0.0 listenport=53389
# 按需关闭IP路由（不再使用端口转发时）
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters' -Name IpEnableRouter -Value 0 -Type DWord
# 删除防火墙规则
Remove-NetFirewallRule -DisplayName "RDP-Forward-53389"

✅ 备选：直接修改 RDP 原生监听端口（无需 PortProxy）

# 修改RDP监听端口为53389
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 53389 -Type DWord
New-NetFirewallRule -DisplayName "RDP-Direct-53389" -Direction Inbound -LocalPort 53389 -Protocol TCP -Action Allow
Restart-Service TermService -Force

✅ 运维排查配套命令

# 确认端口监听状态
Get-NetTCPConnection -LocalPort 53389,3389
# 验证RDP服务状态
Get-Service TermService

✅ 安全配套

加固：限制防火墙RemoteAddress仅信任 IP 段接入 53389
红蓝检测：监控 PortProxy 注册表新增、异常非标准 RDP 端口监听
审计：监控 TermService 重启、RDP 登录事件

六、边界（能力上限、局限性、适用边界）

✅ 能力上限

PortProxy 内核转发性能好、稳定、后台静默运行，系统重启自动生效
无需修改 RDP 服务核心配置，RDP 相关组策略、NLA、证书配置完全沿用原有 3389 配置，风险更低
可以灵活修改外部入口端口，隐藏真实 3389，降低扫描暴露风险

❌ 核心局限

PortProxy 转发模式下，RDP 日志显示的客户端地址是本机回环 IP，无法直接拿到真实客户端源 IP
UDP RDP（远程音频 / 多媒体）仅新版 Windows 支持 PortProxy UDP 转发
不能做应用层协议解析，仅纯四层 TCP 转发
用户态 PowerShell 转发不稳定，高并发容易断连，进程退出直接失效
端口转发不能绕过 RDP 本身的身份认证、账户权限、NLA 校验

📌 适用边界

✅ 运维隐藏 RDP 默认 3389 端口、外部固定自定义端口接入 RDP、不想改动 TermService 原生配置 ✅ 临时测试场景：PowerShell 用户态转发 ❌ 需要 RDP 日志记录真实客户端源 IP（优先直接修改 RDP 原生端口）、大规模高并发 RDP 接入

补充横向对比速查表

方案	转发层级	是否修改 TermService	重启保留	源 IP 可见性
PortProxy 53389→3389	tcpip.sys 内核	❌ RDP 依旧监听 3389	✅	❌ 日志显示 127.0.0.1
直接修改 RDP PortNumber	应用层 TermService	✅ RDP 直接监听 53389	✅	✅ 日志显示真实客户端 IP
PowerShell Socket 转发	用户态进程	❌	❌	❌

在 PowerShell 中配置 Windows 防火墙的端口转发涉及几个步骤。首先，你需要确保你有足够的权限来进行这些操作（通常需要管理员权限）。以下是如何在 PowerShell 中配置端口转发的示例步骤：

1. 打开 PowerShell

以管理员身份运行 PowerShell。你可以右键点击 PowerShell 图标，选择“以管理员身份运行”。

2. 配置防火墙规则

你可以使用 New-NetFirewallRule cmdlet 来创建新的防火墙规则。首先，你需要定义规则来允许通过防火墙的流量。以下是一个示例，创建一个允许特定端口的规则：

powershellCopy Code

New-NetFirewallRule -DisplayName "Allow Port 8080" -Direction Inbound -Protocol TCP -LocalPort 8080 -Action Allow

这个命令创建了一个新的防火墙规则，允许通过 TCP 协议的 8080 端口的入站流量。

3. 配置端口转发

Windows 防火墙本身不直接支持端口转发。为了实现端口转发，你通常需要依赖其他工具或设置，例如使用 netsh 命令。

使用 `netsh` 命令

在 PowerShell 中，你可以使用 netsh 命令来配置端口转发。以下是一个示例：

powershellCopy Code

netsh interface portproxy add v4tov4 listenport=8080 listenaddress=0.0.0.0 connectport=80 connectaddress=192.168.1.100

这个命令的作用是将所有到达本地端口 8080 的流量转发到 IP 地址为 192.168.1.100 的机器的端口 80。

4. 查看现有的端口转发规则

你可以使用以下命令查看现有的端口转发规则：

powershellCopy Code

netsh interface portproxy show all

5. 删除端口转发规则

如果你需要删除之前设置的端口转发规则，可以使用：

powershellCopy Code

netsh interface portproxy delete v4tov4 listenport=8080 listenaddress=0.0.0.0

注意事项

确保你要转发的端口在目标机器上也有相应的服务在运行，否则流量将无法正确处理。
根据你的网络设置和防火墙策略，可能还需要配置其他网络设备（如路由器）上的端口转发。

这些步骤应该可以帮助你在 Windows 上使用 PowerShell 设置防火墙规则和端口转发。

Windows 上使用 PowerShell 将 3389 端口转发到自定义端口，你可以通过以下步骤来实现。这个过程包括创建防火墙规则以允许流量通过端口，并设置端口转发规则来将流量重定向到新的端口。

1. 打开 PowerShell

以管理员身份运行 PowerShell。可以在开始菜单中找到 PowerShell，右键单击并选择“以管理员身份运行”。

2. 创建防火墙规则

首先，确保防火墙允许通过 3389 端口的流量。你可以使用以下 PowerShell 命令来添加防火墙规则：

powershellCopy Code

New-NetFirewallRule -DisplayName "Allow RDP" -Direction Inbound -Protocol TCP -LocalPort 3389 -Action Allow

3. 设置端口转发

Windows 自带的 netsh 命令可以用来配置端口转发。假设你想将本地 3389 端口的流量转发到自定义端口（比如 9999），可以使用以下命令：

powershellCopy Code

netsh interface portproxy add v4tov4 listenport=3389 listenaddress=0.0.0.0 connectport=9999 connectaddress=127.0.0.1

listenport=3389：你希望监听的本地端口。
listenaddress=0.0.0.0：指定所有可用的网络接口。
connectport=9999：自定义的目标端口（你希望将流量转发到此端口）。
connectaddress=127.0.0.1：目标 IP 地址（在本地机器上转发，所以使用 127.0.0.1）。

4. 确认端口转发设置

你可以查看现有的端口转发规则以确保配置正确：

powershellCopy Code

netsh interface portproxy show all

5. 删除端口转发规则

如果你需要删除某个端口转发规则，可以使用以下命令：

powershellCopy Code

netsh interface portproxy delete v4tov4 listenport=3389 listenaddress=0.0.0.0

注意事项

目标端口设置：确保目标端口（在此示例中为 9999）正在监听并可以接受连接。如果你使用的是远程桌面协议（RDP），则需要在目标端口上运行相应的服务。
网络配置：确保你的网络配置和防火墙规则允许流量通过自定义端口（如 9999）。
安全性：使用端口转发时请确保网络安全，避免将不必要的端口暴露给外部网络。

这些步骤将帮助你在 Windows 上配置端口转发，将 3389 端口的流量重定向到自定义端口。

PowerShell 脚本用于更改 RDP 端口并配置 Windows 防火墙规则，整体思路是正确的，但有几个地方需要调整。下面是改进后的版本：

powershellCopy Code

# 设置 RDP 端口
$portvalue = 9989
# 修改 RDP 端口号
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $portvalue

# 创建 TCP 端口规则
New-NetFirewallRule -DisplayName 'RDPPORTLatest-TCP-In' -Profile 'Public,Private,Domain' -Direction Inbound -Action Allow -Protocol TCP -LocalPort $portvalue

# 创建 UDP 端口规则
New-NetFirewallRule -DisplayName 'RDPPORTLatest-UDP-In' -Profile 'Public,Private,Domain' -Direction Inbound -Action Allow -Protocol UDP -LocalPort $portvalue

关键点：

脚本注释：添加了注释以便更容易理解每个步骤的作用。
PowerShell 字符串：修正了原脚本中的 HTML 实体字符（例如 '）为 PowerShell 支持的标准单引号 ' 和双引号 "。
确保准确：请确认你有权限修改注册表和防火墙规则，并且此更改不会导致连接问题。

说明：

Set-ItemProperty：修改 RDP 端口号。这将改变远程桌面的端口设置。
New-NetFirewallRule：创建新的防火墙规则，允许指定端口的 TCP 和 UDP 流量通过。

重要提示：

更改 RDP 端口之后，需要重新启动计算机或远程桌面服务，以使更改生效。
修改注册表和防火墙设置可能会影响系统的安全性和可访问性，请确保了解这些操作的影响。

使用这个脚本时，请确保测试环境中没有其他冲突，并备份相关设置。

posted @ 2024-08-20 22:49 suv789 阅读(1650) 评论(0) 收藏举报

刷新页面返回顶部

suv789

Windows 上使用 PowerShell 设置防火墙规则和端口转发； Windows 上配置端口转发，将 3389 端口的流量重定向到自定义端口；

PowerShell 端口转发（Netsh Interface PortProxy / WFP）完整解构

一、底层原理

方案 1：netsh interface portproxy（系统内核级端口转发，工业主流）

方案 2：PowerShell 纯脚本 Socket 转发（用户态实现）

二、依赖文件

三、依赖关系

3.1 组件调用依赖顺序

✅ 内核 PortProxy（PS 调用 netsh 方式）

✅ PowerShell .NET Socket 用户态转发

3.2 前置依赖

3.3 互斥 & 叠加约束

四、逻辑链路

链路 1：netsh PortProxy 内核端口转发（最常用）

链路 2：PowerShell .NET Socket 用户态转发

五、配套链

✅ PowerShell 配置 PortProxy 标准脚本（内核持久转发）

✅ PowerShell .NET Socket 临时转发脚本（用户态）

✅ 运维排查配套

✅ 安全 / 红蓝配套

六、边界（能力上限、局限性、适用边界）

✅ 能力上限

❌ 核心局限

📌 适用边界

补充横向对比速查表

Windows 3389 ↔ 自定义端口转发完整解构

一、底层原理

方案 1：netsh interface portproxy（内核级转发，推荐）

方案 2：PowerShell .NET TcpListener 用户态转发（临时测试用）

二、依赖文件

三、依赖关系

3.1 组件调用依赖顺序

✅ Netsh PortProxy（生产标准方案）

✅ PowerShell .NET 用户态转发

3.2 前置依赖

3.3 互斥 & 叠加约束

四、逻辑链路

链路 1：PortProxy 内核转发（标准）

链路 2：PowerShell 用户态转发

补充：直接修改 RDP 端口（非转发链路，备选方案）

五、配套链

✅ 【推荐】PortProxy 一键部署脚本（PowerShell，管理员运行）

✅ 清理 / 删除转发规则

✅ 备选：直接修改 RDP 原生监听端口（无需 PortProxy）

✅ 运维排查配套命令

✅ 安全配套

六、边界（能力上限、局限性、适用边界）

✅ 能力上限

❌ 核心局限

📌 适用边界

补充横向对比速查表

1. 打开 PowerShell

2. 配置防火墙规则

3. 配置端口转发

使用 netsh 命令

4. 查看现有的端口转发规则

5. 删除端口转发规则

注意事项

1. 打开 PowerShell

2. 创建防火墙规则

3. 设置端口转发

4. 确认端口转发设置

5. 删除端口转发规则

注意事项

关键点：

说明：

重要提示：

公告

使用 `netsh` 命令