基礎開啟/關閉路徑（圖形介面）
- 「開始」→ 「控制台」。
- 「網路和網際網路」→ 「網路和共用中心」。
- 左下角點擊 「Windows 防火牆」。
- 左側選單點擊 「開啟或關閉 Windows 防火牆」。
- 分別針對 「家庭或工作 (私人) 網路」 和 「公用網路」 選擇：
- 「開啟 Windows 防火牆」(建議) / 「關閉 Windows 防火牆」(不建議，除非有協力廠商防火牆接管)。
- 勾選「封鎖所有傳入連線，包括在允許的程式清單中的連線」可進一步加強公用網路安全性。
- 點「確定」生效。
進階安全性管理 (WF.msc) — 企業級/進階使用者必備
- Win+R → `wf.msc` → 開啟 「具有進階安全性的 Windows 防火牆」。
- 三大核心規則類別：
- 輸入規則：控制外部連入本機 (如開放 TCP 80/443 供 Web 服務、TCP 3389 供遠端桌面)。
- 輸出規則：控制本機連向外部 (如阻擋特定程式聯網、限制 Telemetry)。
- 連線安全性規則：IPsec 驗證/加密連線 (網域環境常用)。
- 常用操作範例：
- 新增允許規則： 右鍵「輸入規則」→「新增規則」→「連接埠」→ TCP → 特定本機連接埠 `80,443` → 「允許連線」→ 選擇設定檔 (網域/私人/公用) → 命名「Allow HTTP/HTTPS In」。
- 新增封鎖規則： 右鍵「輸出規則」→「新增規則」→「程式」→ 瀏覽選取 `C:\Program Files\BadApp\bad.exe` → 「封鎖連線」→ 全部設定檔 → 命名「Block BadApp Telemetry」。
- 匯出/匯入原則： 右鍵根節點 → 「匯出原則」/「匯入原則」，實現跨機器部署。
常見誤區與最佳實踐
| 誤區 | 正確做法 |
|---|
| 「裝了 360/火綜就不用開 Windows 防火牆」 | **疊加防護更安全**。Windows 防火牆效能影響極低、相容性最好、進階規則最靈活。協力廠商防火牆常相容性差、佔資源、攔截誤判。 |
| 「關閉防火牆解決連不上網/玩不了遊戲」 | **找出具體連接埠/程式，建立允許規則**，而非全關。全關等於裸奔。 |
| 「只管輸入規則，輸出規則不管」 | **輸出規則同樣重要**：阻擋惡意軟體外連、資料外洩、強制遙測上傳。 |
| 「公用網路設定不重要」 | **公用網路設定應最嚴格**：封鎖所有輸入、僅允許必要輸出。咖啡廳/機場 WiFi 必設為公用。 |
快速指令列操作 (Netsh / PowerShell)
# 開啟所有設定檔防火牆
netsh advfirewall set allprofiles state on
# 關閉公用設定檔防火牆 (不建議)
netsh advfirewall set publicprofile state off
# 允許 TCP 3389 輸入 (遠端桌面)
netsh advfirewall firewall add rule name="Allow RDP In" dir=in action=allow protocol=TCP localport=3389 profile=domain,private
# 封鎖特定程式輸出
netsh advfirewall firewall add rule name="Block BadApp Out" dir=out action=block program="C:\Program Files\BadApp\bad.exe" profile=any
核心原則： **預設拒絕，顯式允許**。僅開放業務必要的連接埠/程式，其餘一律封鎖。定期審核規則清單，移除不再需要的允許規則。
