Windows 內建防火牆（ICF）完整設定教學：從基本到進階

前言

Windows XP / Server 2003 內建的「Internet 連線防火牆」（ICF）無需安裝第三方軟體，即可有效阻擋連接埠掃描與蠕蟲攻擊。本文詳述基本啟用、測試驗證、進階服務開放、日誌與 ICMP 設定，並釐清常見迷思。

一、 基本啟用步驟

1. 右鍵「網路鄰居」→「內容」。
2. 右鍵「區域連線」→「內容」→「進階」標籤。
3. 勾選「Internet 連線防火牆」，按「確定」即啟用。

二、 驗證防火牆生效

• 另一台電腦 ping 本機，顯示 Request timed out 代表封鎖 ICMP。
• 使用掃描工具（如 SuperScan、X-Scan）掃描本機，若無開放連接埠即代表防護生效。

三、 進階設定（點選「設定」按鈕）

1. 開放特定服務連接埠

勾選清單中的服務（如 FTP、Web 伺服器），或點「新增」自訂連接埠號與協定。開放後掃描工具即可看到對應埠口開放。

2. 日誌記錄

勾選「記錄捨棄的封包」與/或「記錄成功的連線」，預設日誌路徑 C:\Windows\pfirewall.log，可用記事本開啟分析。

3. ICMP 協定控制

預設封鎖 ICMP（導致 ping 不通）。若需允許 ping，勾選「允許傳入回應要求」。其他選項如「允許重新導向」、「允許來源抑制」視需求啟用。

四、 常見疑問釐清

Q1：所有連接埠都關了，怎麼上網？

ICF 封鎖的是伺服器端服務埠（如 80、21、23），而非用戶端發起連線時隨機開啟的暫時性高位埠（>1024）。瀏覽網頁時，本機隨機開一個埠連往伺服器 80 埠，斷線後隨機埠自動關閉，伺服器 80 埠才長期開放。因此不開放任何服務埠也能正常上網。

Q2：netstat -na 仍顯示埠口開放？

netstat 顯示的是本機進程開啟的埠口，ICF 是在網路卡驅動層級（外圍）攔截封包，就像房子門還開著，但圍牆已蓋好。真正驗證請用外部掃描工具或 telnet IP port 從別台機器測試。

Q3：無掃描工具如何遠端測試？

在另一台電腦執行 telnet 目標IP 連接埠號（如 telnet 192.168.1.5 21）。連線成功會顯示服務歡迎訊息；失敗則提示「連線失敗」。

總結

ICF 雖功能精簡，但對單機或小型網路已提供基本防護。關鍵在於「只開放必要服務埠」，並定期檢視日誌。企業級環境建議搭配硬體防火牆或更完整的軟體方案。