コマンドプロンプトでWindowsファイアウォールを有効・無効にする方法

スクリプトを作成したり、リモートでPCに接続してコマンドを実行することで、Windowsファイアウォールを有効または無効にしたい場面があるかもしれません。多くのIT環境では、グループポリシー(GPO)を使うのがクライアントコンピューターのWindowsファイアウォールを構成する最も簡単な方法です。

また、HTTPやファイル共有、アプリケーションなどに対するポート例外を追加する場合も、この方法が最も手軽です。ただし、Active Directoryに参加していないコンピューターやサーバーを扱うケースに備えて、コマンドプロンプトからWindowsファイアウォールを構成する方法を知っておくことも非常に有用です。

コマンドプロンプトからWindowsファイアウォールを管理する

まず、サーバーやコンピューター上でWindowsファイアウォールが有効になっているかどうかを確認するには、コマンドプロンプトで次のコマンドを入力します。

netsh advfirewall show allprofiles

必ず管理者権限でコマンドプロンプトを開いてください(スタートメニューで「CMD」と入力し、「コマンドプロンプト」を右クリックして「管理者として実行」を選択します)。実行すると、下図のような結果が表示されるはずです。

デフォルトでは、「ドメインプロファイル」「プライベートプロファイル」「パブリックプロファイル」の3つのセクションが表示されます。これらは、コンピューターのネットワーク接続に割り当てられる3つの状態に対応しています。たとえば、自宅のネットワークに接続する際に「ホームネットワーク」を選択した場合は、プライベートプロファイルの設定が適用されます。

状態(State)は、ファイアウォールがオンになっているかオフになっているかを示します。ファイアウォールポリシー(Firewall Policy)は、各プロファイルに適用されている受信および送信のポリシー内容を表します。

特定のプロファイルに対してファイアウォールを無効化するには、次のコマンドを使用します。

netsh advfirewall set privateprofile state off

その他のオプションには、currentprofile(現在のプロファイル)、publicprofile(パブリック)、domainprofile(ドメイン)、allprofiles(すべて)があります。ファイアウォールを完全に無効にしたい場合は、「privateprofile」の代わりに「allprofiles」を指定します。再び有効に戻すには、末尾の「off」を「on」に変更するだけでOKです。

コマンドラインでファイアウォールのポートを開放する

次に、コマンドラインを使ってファイアウォールでポートを開放したい場合はどうすればよいでしょうか?これもとても簡単です。

たとえば、Windowsのリモートデスクトップで使われるポート3389を開放したいとしましょう。その場合は、次のコマンドを実行するだけです。

netsh advfirewall firewall add rule name="Open Remote Desktop" protocol=TCP dir=in localport=3389 action=allow

コマンドはやや長く見えますが、分解してみると仕組みはシンプルです。ルールを追加し、名前を付け、プロトコル(TCPまたはUDP)を選択し、方向(受信：in または送信：out)を指定し、ポート番号を入力し、動作(許可：allow または拒否：deny)を決めるという流れになっています。

このコマンドを実行した後、Windowsファイアウォールの「許可されたアプリ」の一覧を確認すると、リモートデスクトップの項目がチェックされていることがわかります。

範囲を指定して複数のポートをまとめて開放したい場合は、ハイフン(-)を使います。たとえば、次の例ではUDPの送信トラフィック向けに、6000〜7000番ポートを開放しています。

netsh advfirewall firewall add rule name="UDP ports" protocol=UDP dir=out localport=6000-7000 action=allow

このほかにも、Windowsファイアウォールのあらゆる側面を管理できる高度なコマンドが数多く用意されています。すべてのオプションや使用例を確認したい場合は、コマンドの末尾に「/?」を付けて実行すると、ヘルプが表示されますので活用してみてください。