用好 Win 2008 內建防火牆 有效保護伺服器安全

前言

如今在許多涉及電腦安全討論中，常提到「防火牆」。但因金錢關係，非每個網管都買得起正版網路防火牆、專業殺毒軟體。為解決網管困惑，Windows Server 2008 特意強化內建防火牆功能。網管既能像 Windows XP 那樣從控制台視窗存取內建防火牆使用者配置介面，又能從 MMC 主控台對內建防火牆各項進階功能隨心所欲配置。巧妙用好 Windows Server 2008 內建防火牆程式，可有效保護本地伺服器系統安全！

多種方式進入防火牆

雖從 Windows XP 微軟已內建防火牆功能，但功能有限，往往只能提供單向安全防護，無法提供雙向防護，且網管只能從控制台視窗開啟防火牆程式介面。Windows Server 2008 伺服器系統中，內建防火牆功能大幅進步：網管既能從控制台存取使用者配置介面 (基本介面，適合初級使用者)，又能從 MMC 主控台配置進階功能 (進階介面，適合高階使用者)，可隨心所欲控制伺服器系統資料流入流出能力。此外，喜歡 DOS 命令列操作的朋友還能透過 MS-DOS 視窗命令在命令列模式配置，或用建立安全指令碼方式在多台伺服器自動配置防火牆參數。當然，與舊版本一樣，仍可透過群組原則控制防火牆配置操作。

1. 從控制台進入 (基本配置)

最初系統內建防火牆往往只提供單向防護，即只能攔截審查進入伺服器系統的資料流，不易出現因防火牆參數配置不當導致安全效能下降。基本配置步驟：

1. 桌面依序點選「開始」→「設定」→「控制台」，彈出視窗中找到「Windows 防火牆」圖示雙擊，開啟基本配置介面
2. 左側點選「啟用或關閉 Windows 防火牆」→「一般」分頁，可直接選「啟用」或「關閉」
3. 啟用後預設會同時攔截所有程式存取外部網路，除「例外」分頁設定選項外。「阻擋所有傳入連線」選項非常有用，特別是本地伺服器處於不太安全網路時，可臨時禁止「例外」中設定的任何程式或服務存取網路；處於安全工作環境時，取消勾選恢復正常設定
4. 同舊版本，可在「例外」分頁設定能直接存取網路的程式或服務。點「新增程式」、「新增連接埠」按鈕自行新增需存取外部網路的程式或服務，解除防火牆阻擋
5. 若本地伺服器有多條網路連線，可進入「進階」分頁，根據實際情況選擇需受防火牆保護的目標網路連線。發現參數未配置正確可點「進階」分頁「還原為預設值」按鈕，快速取消所有參數修改，恢復系統最初安裝時預設狀態

2. 從主控台進入 (進階配置)

從控制台只能開啟基本配置介面，要開啟進階安全性防火牆配置介面，需從系統主控台視窗進入：

1. 開啟「開始」功能表→「執行」，輸入 mmc.exe 回車開啟主控台視窗
2. 依序點選「檔案」→「新增/移除管理單元」，介面中選中「進階安全性 Windows 防火牆」點「新增」→選中「本機電腦」→「完成」→「確定」，即可看到系統防火牆進階安全設定頁面

在進階安全性防火牆配置介面中，可根據實際工作環境為伺服器系統定義多種不同安全配置，每種配置相對獨立。例如：可定義適合單位區域網路工作環境的安全配置、家庭工作環境適合點對點網路的安全配置、公共場合適合公網環境的安全配置。所以當伺服器系統位於單位區域網路時，幾乎可關閉內建防火牆，因基本上所有單位區域網路都有專門防火牆；當處於公網環境時，需及時發揮內建防火牆作用，畢竟公共場合受非法攻擊可能性較大。