Windows Server 2008 R2 內建防火牆深度解析：從網路位置到高階規則實戰

中小企業無需採購昂貴硬體防火牆，善用 Windows Server 2008 R2 內建的「高階安全性 Windows 防火牆」即可構建企業級邊界防護。本文從網路位置認知切入，逐層講解基本設定、白名單管理、高階規則建立、連線安全（IPsec）與多設定檔策略，並附實戰開放 Web 埠（80/443）範例。

一、網路位置：防火牆行為的基因密碼

首次連網時選擇的網路位置，決定預設防火牆規則集：

關鍵機制：在「公用網路」解除封鎖某程式，該程式將在所有公用網路自動放行。若需大量放行，建議改為「工作網路」以縮小攻擊面。

二、基本設定圖解

1. 控制台 → 系統與安全性 → Windows 防火牆 → 「開啟或關閉防火牆」：確認專用/公用網路均為「開啟」。
2. 「允許程式或功能通過防火牆」：勾選所需服務（如遠端桌面、檔案及印表機共享），或「允許其他程式」新增自訂執行檔。

三、高階安全性防火牆（WF.msc）核心功能

1. 規則類型與動作

• 輸入/輸出規則：分別控制進站/出站流量。
• 動作：允許連線、僅允許安全連線（IPsec）、封鎖連線。
• 比對條件：程式路徑、服務名稱、連接埠/通訊協定、本地/遠端 IP 範圍、介面類型（LAN/無線/VPN）、設定檔（網域/專用/公用）。

2. 連線安全規則（IPsec）

在雙向驗證/加密前提下保護流量：主金鑰交換、驗證方式（Kerberos/憑證/PSK）、完整性/加密演算法。需搭配防火牆規則放行受保護流量。

3. 三大設定檔獨立生效

Server 2008 R2 / Win7 支援每張網卡獨立套用對應設定檔（Vista/2008 僅單一活動設定檔）。建議三大設定檔全數啟用防火牆，並依環境微調規則。

四、實戰：新增開放 TCP 80 埠（Web 伺服器）規則

1. WF.msc → 「輸入規則」→ 「新增規則」→ 「連接埠」→ TCP、特定本地連接埠 80。
2. 動作：允許連線。
3. 設定檔：視伺服器網卡所屬位置勾選（通常為「網域」「專用」）。
4. 名稱：Allow HTTP Inbound (TCP 80)。

五、進階頁籤細節

• 本地/遠端 IP：可限定特定子網或單一 IP，實現精準存取控制。
• 介面類型：預設「所有」，可限定「區域網路」排除 VPN/無線。
• 邊緣遍歷：允許 NAT 後主動輸入流量（需路由器支援），預設「封鎖」，謹慎啟用。

掌握上述架構，您即可將 Windows 防火牆從「被動開啟」轉型為「主動防禦中樞」。