System Informer防火墙事件跟踪失败问题分析与解决方案

问题背景

在使用System Informer(版本3.2.25011.2103)的防火墙功能模块时，部分Windows 11 Pro用户遇到了无法启动防火墙事件跟踪会话的问题，系统返回错误信息"Unable to start the firewall event tracing session: Le chemin d'accès spécifié est introuvable (3)"(指定的路径未找到)。

技术分析

该问题涉及Windows防火墙底层机制与System Informer的交互过程。Windows防火墙实际上是基础过滤引擎(Base Filtering Engine, BFE)服务的一个客户端组件。System Informer通过Windows Filtering Platform(WFP)API来监控防火墙事件。

从技术角度来看，错误代码3(ERROR_PATH_NOT_FOUND)表明系统在尝试访问某个关键路径时失败。这通常与以下因素有关：

1. 基础过滤引擎服务(BFE)状态异常
2. WFP事件跟踪会话所需的系统资源不可用
3. 第三方安全软件残留影响
4. 系统关键组件损坏

排查步骤

对于遇到此问题的用户，可以按照以下步骤进行排查：

1. 验证管理员权限：确保System Informer以管理员身份运行

2. 检查防火墙服务状态：

   • 确认Windows防火墙服务正在运行
   • 验证基础过滤引擎(BFE)服务状态
   • 检查防火墙日志设置是否启用

3. 使用PowerShell诊断工具：

   Install-Module NtObjectManager -Scope CurrentUser
   Get-FwEngine | Format-List
   Get-FwSession | Format-List
   Get-FwNetEvent | Format-List
   

4. 检查WFP捕获功能：

   netsh wfp capture start
   

解决方案

根据实际案例，最终有效的解决方案是执行Windows系统修复安装(保留文件和应用程序)。这表明问题可能源于系统关键组件的损坏或配置异常。

对于不想立即重装系统的用户，可以尝试以下替代方案：

1. 运行系统文件检查工具：

   sfc /scannow
   

2. 重置Windows防火墙配置：

   netsh advfirewall reset
   

3. 检查并修复系统环境变量

4. 彻底卸载可能产生冲突的第三方安全软件

预防措施

为避免类似问题再次发生，建议：

1. 定期检查系统更新，保持Windows处于最新状态
2. 在卸载安全软件时使用官方提供的专用卸载工具
3. 避免同时安装多个防火墙/安全软件
4. 定期备份系统关键配置

总结

System Informer的防火墙事件跟踪功能依赖于Windows底层WFP架构的完整性。当出现路径未找到错误时，通常表明系统关键组件存在异常。通过系统级的诊断和修复，可以有效解决此类问题。对于普通用户而言，系统修复安装是最为可靠的解决方案。