Windows Server 2008 防火牆進階設定：允許 ICMP Ping 回應

Windows Server 2008 預設封鎖 ICMP Echo Request（Ping），若需允許 Ping 回應，必須透過「進階安全性 Windows 防火牆」設定入站規則，或使用命令列工具。本文提供圖文並茂的設定步驟與命令列替代方案。

方法一：圖形介面設定（建議）

1. 開啟「管理工具」→「進階安全性 Windows 防火牆」。
2. 左側導覽選取「輸入規則」。
3. 在中央清單中尋找：
   名稱：檔案和印表機共用 (回應要求 - ICMPv4 輸入)
   群組：檔案和印表機共用
   設定檔：公用（或網域、私人，視網路位置而定）
   啟用：否（預設）
4. 右鍵該規則 → 「啟用規則」。
5. （選擇性）右鍵 → 「內容」→「進階」索引標籤，勾選適用的網路設定檔（網域、私人、公用）。
6. 若環境使用 IPv6，同樣啟用「檔案和印表機共用 (回應要求 - ICMPv6 輸入)」。

方法二：命令列設定（適用自動化腳本）

啟用 IPv4 Ping 回應

netsh advfirewall firewall set rule name="檔案和印表機共用 (回應要求 - ICMPv4 輸入)" new enable=yes

停用 IPv4 Ping 回應

netsh advfirewall firewall set rule name="檔案和印表機共用 (回應要求 - ICMPv4 輸入)" new enable=no

舊版 netsh 指令（相容性）

netsh firewall set icmpsetting 8 enable
netsh firewall set icmpsetting 8 disable

注意：`netsh firewall` 指令在較新版本 Windows 已淘汰，建議改用 `netsh advfirewall`。

進階：自訂 ICMP 規則（僅允許特定 IP/子網）

netsh advfirewall firewall add rule name="Allow Ping from Management Subnet" ^
  dir=in action=allow protocol=icmpv4:8,any ^
  remoteip=10.0.1.0/24,192.168.10.0/24 ^
  profile=domain,private ^
  description="允許管理子網 Ping 監控"

驗證方式

• 本機執行：ping 127.0.0.1
• 遠端電腦執行：ping <Server_IP>
• 使用 netsh advfirewall firewall show rule name=all dir=in | findstr ICMP 確認規則狀態。

安全性考量

• Ping 可被用於網路偵察、存活主機掃描、DDoS 放大攻擊（Smurf Attack，雖現代網路較少見）。
• 生產環境建議：僅允許管理子網、監控系統 IP Ping，拒絕全網開放。
• 搭配 IPSec 隔離、網路分段、零信任架構，進一步縮小攻擊面。

結語

Windows Server 2008 透過「進階安全性 Windows 防火牆」精細控制 ICMP 回應。建議採用「最小權限」原則，僅對受信任管理網段開放 Ping，並定期稽核防火牆規則，確保不因設定疏失暴露攻擊面。