為何需要主機型防火牆？
邊界防火牆無法防禦內部威脅或邊界被突破後的橫向移動。Windows Server 2008 內建的「進階安全性 Windows 防火牆」(WFAS) 整合主機防火牆與 IPsec，提供雙向過濾、連線安全性與集中管理，是強化伺服器防禦深度的關鍵層次。
WFAS 核心新功能
- 圖形化管理主控台 (WFAS.msc)： 取代舊版簡易控制台，支援完整規則建立精靈。
- 雙向保護： 同時過濾輸入/輸出流量。
- IPsec 整合： 同一介面設定金鑰交換、資料完整性/加密、驗證方式 (Kerberos/憑證/預共用金鑰)。
- 進階規則條件： 應用程式、服務、TCP/UDP 連接埠、本地/遠端 IP、設定檔 (網域/私人/公用)、介面類型、使用者/群組、電腦/群組、協定、ICMP 類型等多維度組合。
- 預設規則豐富： 約 90 條預設入站規則、40+ 出站規則，新增角色服務自動建立對應規則。
設定檔與預設行為
- 網域設定檔： 加入網域時套用，預設開啟入站過濾、關閉出站過濾。
- 私人設定檔： 家庭/辦公室網路，預設同網域。
- 公用設定檔： 咖啡廳等不可信網路，預設最嚴格 (阻擋所有入站)。
快速啟動 WFAS 主控台
開始 → 搜尋方塊輸入「防火牆」→ 選擇「進階安全性 Windows 防火牆」；或命令列執行 wf.msc；或 netsh advfirewall 指令腳本化管理 (支援 IPv4/IPv6 同步配置)。
實作範例：為 Apache HTTP Server (TCP 80) 開啟入站規則
- WFAS 主控台 → 「輸入規則」→ 右側「新增規則」。
- 規則類型選「連接埠」→ 下一步。
- TCP、特定本地連接埠
80 → 下一步。
- 動作選「允許連線」→ 下一步。
- 套用設定檔全選 (網域/私人/公用) → 下一步。
- 名稱「Allow Apache HTTP 80」→ 完成。
測試：停用規則 → Apache 無法存取；啟用規則 → 正常服務。
進階應用場景
- 伺服器到伺服器 IPsec 強制加密： 連線安全性規則 → 要求驗證/加密，限定特定電腦群組。
- 限制特定使用者/群組存取管理連接埠 (如 3389, 5985)： 規則條件加入「使用者/群組」→ 僅允許 IT 管理群組。
- 封鎖已知惡意 IP 範圍輸出連線： 輸出規則 → 遠端 IP 設定威脅情報清單 CIDR 區塊。
結論
WFAS 以免費、內建、深度整合 OS 的優勢，提供媲美協力廠商主機防火牆的功能。建議所有 Windows Server 2008 以上環境啟用並依最小權限原則客製化規則，納入基線合規稽核。
