中小企業無需購買昂貴硬體防火牆，善用 Windows Server 2008 R2 內建的「高級安全性 Windows 防火牆」即可滿足一般網路安全需求。關鍵在於理解「網路位置」與「設定檔」機制，並依據實際部署情境建立精確的允許/封鎖規則。
一、認識四種網路位置
- 家庭網路：信任的裝置環境，啟用網路探索，可加入家庭群組。
- 工作網路：小型辦公環境，啟用網路探索，但無法建立/加入家庭群組。
- 公用網路：咖啡廳、機場等不信任環境，關閉網路探索，封鎖未請求的連入連線，保護電腦免受惡意軟體攻擊。
- 網域網路：企業網域環境，由網域管理員控制，無法手動切換。
二、基本防火牆操作
- 控制台 → 系統與安全性 → Windows 防火牆，查看狀態。
- 點選左側「開啟或關閉防火牆」，針對各網路位置啟用/停用。
- 建立「白名單」：點選「允許程式或功能通過 Windows 防火牆」，勾選需通訊的程式或開啟特定埠（如 HTTP 80、HTTPS 443）。
三、高級安全性設定（核心防護）
透過「高級安全性 Windows 防火牆」 (WF.msc) 可建立精細規則：
- 輸入/輸出規則：依程式、服務、埠號、通訊協定、IP 範圍、介面類型（LAN/無線/VPN）定義允許、封鎖或僅允許 IPsec 保護的連線。
- 連線安全性規則：使用 IPsec 進行雙向驗證、資料完整性與加密，確保傳輸安全。
- 三種設定檔：網域、私人、公用。每張網卡依偵測到的網路類型自動套用對應設定檔。R2/Win7 支援多網卡多設定檔並存；Vista/2008 僅單一作用中設定檔，以最嚴格者為準。
四、實戰範例：開放 Web 伺服器 80 埠
- 在「輸入規則」新增規則 → 類型選「連接埠」→ TCP、特定本機連接埠
80。
- 動作選「允許連線」。
- 設定檔全勾選（或依需求勾選）。
- 命名規則（如「Allow HTTP In」）。
五、進階選項說明
- 本地/遠端 IP 位址：限制規則僅套用於特定 IP 範圍，縮小攻擊面。
- 介面類型：可限定 LAN、無線、遠端存取 (VPN) 等。
- 邊緣傳送：控制是否允許未請求的入站封包穿越 NAT/邊緣裝置。預設封鎖，可設為「遵從使用者」或「遵從應用程式」。
最佳實務建議
- 三種設定檔全數啟用防火牆。
- 遵循「最小權限」：僅開放必要埠與程式，定期審核規則。
- 善用連線安全性規則 (IPsec) 保護敏感資料傳輸。
- 部署前先在測試環境驗證規則，避免誤封鎖業務流量。
