Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. LogFiles
  5. Firewall
  6. pfirewall.log
JournalRisque : Prudence

pfirewall.log C:\Windows\System32\LogFiles\Firewall\pfirewall.log

Journal du Pare-feu Windows : paquets rejetés et connexions autorisées, si la journalisation est activée pour le profil.

Mis à jour le Par AltF4 Formation

À quoi ça sert

pfirewall.log trace les paquets que le Pare-feu Windows a autorisés ou rejetés. Il sert à comprendre pourquoi une connexion est bloquée, ou à vérifier qu’une règle laisse bien passer le trafic attendu. Il n’existe que si vous avez activé la journalisation, désactivée par défaut.

Ce qu’il contient

  • Les paquets rejetés si « Journaliser les paquets ignorés » est activé.
  • Les connexions réussies si « Journaliser les connexions réussies » est activé.
  • Pour chaque ligne : date, heure, action, protocole, adresses et ports source et destination, taille, indicateurs TCP, et en dernier champ le sens du trafic.

Risques et bonnes pratiques

  • La taille par défaut (4 096 Ko) est trop faible. Microsoft recommande au moins 20 480 Ko ; le maximum est de 32 767 Ko.
  • Journalisez les paquets rejetés. Les connexions réussies produisent un volume énorme et ne servent que pour un diagnostic ciblé : désactivez-les ensuite.
  • Le fichier contient des adresses IP internes. Protégez ses copies.
  • Pour archiver ou supprimer le fichier, désactivez d’abord la journalisation ou attendez la rotation : il est ouvert en écriture.

Commandes utiles

Fenêtre de terminal
# Réglages de journalisation de chaque profil
Get-NetFirewallProfile | Select-Object Name, LogBlocked, LogAllowed, LogFileName, LogMaxSizeKilobytes


# Dernières lignes
Get-Content "$env:windir\System32\LogFiles\Firewall\pfirewall.log" -Tail 30


# Paquets rejetés
Select-String -Path "$env:windir\System32\LogFiles\Firewall\pfirewall.log" -Pattern " DROP " | Select-Object -Last 20


# Activer la journalisation des paquets rejetés, 20 Mo (en administrateur) ; testez d'abord avec -WhatIf
Set-NetFirewallProfile -Name Domain,Private,Public -LogBlocked True -LogMaxSizeKilobytes 20480 -WhatIf

Format

Texte au format W3C étendu : un en-tête (#Version, #Fields) décrit les colonnes, puis une ligne par événement. L’action vaut notamment ALLOW ou DROP.

Rotation et archivage

La taille maximale se règle par profil. Quand le fichier l’atteint, Windows le renomme en pfirewall.log.old (en écrasant le précédent) et en recrée un. Si vous voulez garder l’historique, copiez le .old régulièrement.

Comment le lire

Lisez la ligne #Fields pour l’ordre des colonnes, puis filtrez sur l’adresse IP ou le port en cause avec Select-String. Le dernier champ, path, indique le sens : SEND ou RECEIVE.

Signaler une erreur