Windows Server 2008 進階防火牆完整設定指南：從入門到精通

Windows Server 2008 強化了內建防火牆，提供基本與進階兩種配置介面，支援多重設定檔、連線安全規則、自動化部署，足以替代大多數協力廠商防火牆軟體。

兩種進入防火牆配置介面的方式

方式一：控制台基本介面（適合初階管理員）

1. 「控制台」→「系統與安全性」→「Windows 防火牆」
2. 左側選「開啟或關閉 Windows 防火牆」
3. 可分別設定「網域/私人/公用」三種網路設定檔

關鍵設定說明：

• 阻擋所有傳入連線：勾選後將覆蓋「例外」清單，適用連接公共 Wi-Fi 等高風險環境
• 例外設定：新增允許通訊的程式或通訊埠，支援範圍限制（任意/特定 IP/子網）
• 進階標籤：針對多網卡環境選擇受保護介面，提供「還原預設值」快速重置

方式二：MMC 高級安全性防火牆（適合資深管理員）

1. 執行 mmc.exe →「檔案」→「新增/移除管理單元」
2. 選「高級安全性 Windows 防火牆」→「新增」→「本機電腦」→「完成」

進階功能亮點：

• 多重設定檔：網域/私人/公用獨立規則集，自動依網路位置感知切換
• 連線安全規則：IPsec 驗證/加密，保護伺服器間通訊
• 輸出規則：防止惡意軟體外連、資料外洩
• 監視節點：即時查看作用中規則、安全關聯、封包篩選記錄

三大實戰防護規則建立

1. 防禦 Ping 洪水攻擊（ICMPv4 封鎖）

1. 高級介面→「輸入規則」→右鍵「新增規則」
2. 規則類型選「自訂」→「所有程式」
3. 通訊協定選「ICMPv4」→動作選「封鎖連線」
4. 套用設定檔：網域/私人/公用全選
5. 命名：「Block ICMPv4 Ping Flood」

2. 封鎖已知漏洞應用程式網路存取

1. 基本介面→「例外」標籤→「新增程式」
2. 選擇有漏洞的應用程式執行檔
3. 確保該程式前方核取方塊未勾選（即封鎖）

3. 群組原則強制保護所有網路連線

1. 執行 gpedit.msc
2. 路徑：「電腦設定」→「系統管理範本」→「網路」→「網路連線」→「Windows 防火牆」→「標準設定檔」
3. 雙擊「Windows 防火牆：保護所有網路連線」→「已啟用」

自動化部署方式

• 命令列：netsh advfirewall 指令集腳本化配置
• PowerShell：New-NetFirewallRule 等 Cmdlet 物件化操作
• 群組原則：跨網域統一部署、版本控管
• 匯出/匯入原則：右鍵根節點「匯出原則」為 .wfw 檔，他機「匯入原則」

最佳實務建議

1. 預設「輸入：封鎖，輸出：允許」，按需開放最小權限
2. 善用三種設定檔：網域環境寬鬆、公共環境嚴格
3. 定期審核規則清理無效/過期項目
4. 啟用記錄：記錄已捨棄/成功的連線，定期分析異常流量