Windows Server 2003 內建 Internet 連線防火牆完整配置指南

核心概念：狀態式封包檢查與服務導向規則

Windows Server 2003 / XP 內建的「Internet 連線防火牆 (ICF)」是狀態式封包檢查防火牆，預設阻擋所有未經請求的輸入連線，允許所有輸出連線及其對應的回應封包。規則以「服務」為單位而非單純連接埠，降低配置複雜度。

一、基本啟用與驗證

啟用步驟

1. 網路連線 → 區域連線右鍵 → 內容 → 進階頁籤。
2. 勾選「Internet 連線防火牆」→ 確定。

驗證測試

• 他機 ping 本機 → 「Request timed out」表 ICMP 被阻擋。
• 他機掃描工具 (SuperScan, Nmap) 掃描本機 → 0 開放埠表防火牆生效。

二、進階設定：服務、日誌、ICMP

進階頁籤 →「設定」按鈕開啟三大分頁：

1. 服務分頁：開放業務必要輸入服務

• 預設清單：FTP (21)、HTTP (80)、HTTPS (443)、Telnet (23)、郵件 (25/110/143) 等。
• 勾選需對外提供的服務，或「新增」自訂：名稱、通訊協定 (TCP/UDP)、連接埠號、本機 IP (可限定特定介面)。
• 原理： ICF 在外圍建立「牆」，服務程式仍在本機開啟連接埠 (netstat -an 仍顯示 LISTENING)，但外部封包無法穿透防火牆到達服務程式。

2. 安全性記錄分頁：審計與偵測

• 記錄位置：預設 %Windir%\pfirewall.log (記事本可讀)。
• 可記錄：已捨棄的封包、成功的連線、或兩者皆記錄。
• 建議啟用「已捨棄的封包」分析攻擊來源與模式。

3. ICMP 分頁：控制 ping 與錯誤訊息

• 預設阻擋所有 ICMP 輸入 (含 ping 請求)。
• 勾選「允許傳入回應要求」即允許 ping 通過。
• 其他可選：允許傳出目的地無法到達、超時、原始來源抑制、重新導向等 ICMP 類型。

三、常見疑問深度解析

Q1：預設未開放任何服務，如何正常上網？

A： ICF 僅阻擋未經請求的輸入連線。瀏覽網頁時，本機主動發起 TCP 連線至遠端伺服器 80 埠 (來源埠隨機 >1024)，回應封包屬於「已建立連線的回應」，狀態表中有對應項目，防火牆自動放行。類似 Telnet、FTP 主動模式、DNS 查詢皆同理。只有伺服器端服務 (持續 LISTEN 等待連線) 需在 ICF 明確開放。

Q2：netstat -an 仍顯示埠口開放，防火牆沒生效？

A： netstat 顯示本機 TCP/IP 協議堆疊開啟的連接埠狀態，非防火牆過濾狀態。防火牆運作於 NDIS 中繼驅動層 (或 TDI 層)，在封包到達 TCP/IP 協議堆疊前過濾。驗證防火牆唯一可靠方法：外部機器掃描或實際連線測試。

Q3：無掃描工具如何遠端測試埠口？

A： 使用 telnet <目標IP> <埠號>。連線成功顯示空白畫面或服務歡迎訊息；失敗顯示「連線失敗」或逾時。例：telnet 192.168.1.100 21 測試 FTP。

四、局限性與升級建議

• 僅輸入過濾： 無輸出控制，無法阻擋木馬主動外連 (需第三方主機型 IPS/防火牆如 ZoneAlarm, BlackICE)。
• 無應用層檢查： 無法識別 HTTP 異常、SQL 注入等應用層攻擊。
• 無入侵防禦 (IPS)： 無法自動封鎖掃描/暴力破解來源 IP。
• 管理介面簡陋： 無集中管理、無圖形化規則編輯器 (Server 2003 SP1+ 可用「進階安全性 Windows 防火牆」MMC)。

建議： 邊界防火牆 + 主機 ICF 基礎防護 + 關鍵伺服器部署第三方主機型 IPS (具輸出控制、應用層檢查、IPS) 形成纵深防禦。

五、Windows Server 2003 SP1+ 進階安全性防火牆 (WFAS) 預覽

• MMC 嵌入式管理單元 (wf.msc) 統一管理防火牆規則與 IPsec。
• 支援雙向過濾 (輸入/輸出規則)。
• 規則條件擴充：應用程式路徑、服務名稱、使用者/群組、電腦/群組、介面類型、ICMP 類型、IP 範圍等。
• 約 90 預設輸入規則 + 40 輸出規則，新增角色自動配置對應規則。
• 命令列 netsh advfirewall 支援腳本化、IPv4/IPv6 同步配置。