Windows Server 2008 進階安全性防火牆深度體驗與配置指南

Windows Server 2008 內建的「進階安全性 Windows 防火牆」 (WFAS) 整合主機防火牆與 IPsec，提供雙向過濾、圖形化管理介面 (MMC)、豐富規則條件與約 130 條預設規則，堪稱企業級主機防護利器。

核心特色

• 雙向防護：同時過濾輸入/輸出流量，彌補舊版僅擋輸入的缺口。
• IPsec 整合：單一主控台管理防火牆規則與連線安全規則 (驗證、完整性、加密)。
• 精細規則條件：依應用程式、服務、連接埠、IP 範圍、介面類型、使用者/群組、電腦/群組、協定、ICMP 類型等組合匹配。
• 三種設定檔：網域、私人、公用，依網路位置自動套用對應規則集。
• 預設規則豐富：約 90 條輸入、40 條輸出預設規則，涵蓋核心網路服務。
• 命令列支援：netsh advfirewall 可腳本化部署 IPv4/IPv6 規則。

管理工具啟動方式

• 「開始」→ 搜尋「防火牆」→「進階安全性 Windows 防火牆」。
• 或「伺服器管理員」→「設定」→「進階安全性 Windows 防火牆」。

建立自訂輸入規則範例：開放 Apache HTTP (TCP 80)

1. 主控台左側「輸入規則」→ 右側「新增規則」。
2. 規則類型「連接埠」→ TCP、特定本機連接埠 80。
3. 動作「允許連線」。
4. 設定檔全選。
5. 命名「Allow Apache HTTP」→ 完成。

規則建立後即時生效，主控台列表可見新規則。若安裝非微軟服務需開放埠，同理操作。

最佳實務建議

• 新增伺服器角色時，WFAS 會自動新增對應規則；第三方應用需手動建立。
• 定期檢視「監視」→「防火牆規則」與「連線安全規則」確認生效狀態。
• 善用「群組原則」將 WFAS 設定推送至全域電腦，集中管理。
• 啟用記錄功能 (「屬性」→「自訂」→「記錄已捨棄的封包」/「記錄成功的連線」) 以利稽核。

WFAS 免費、內建、功能強大，配合 IPsec 可構建「纏身式」防護，是硬化 Windows Server 2008 必備工具。