Windows 7 防火牆進階設定全攻略：多重設定檔、輸出過濾、連線安全規則、IPsec 動態加密

Windows 7 防火牆大幅增強：引入多重作用設定檔（網域/私人/公用同時生效）、輸出連線過濾、GUI 連線安全規則（IPsec）、動態加密、連接埠範圍簡化管理。本文系統解析進階設定面板與實戰技巧。

三種網路位置類型與設定檔

關鍵突破：Vista 僅單一設定檔生效，Win7 允許不同網卡套用不同設定檔，私人網卡走私人規則，公用網卡走公用規則，不再被最嚴格規則綁架。

進階設定面板 (wf.msc) 核心功能

1. 輸入/輸出規則

• 新增規則 → 程式/連接埠/預定義/自訂
• 連接埠支援範圍指定（如 1000-2000），不再逐一新增
• 動作：允許/允許安全連線 (IPsec)/封鎖
• 設定檔：勾選套用的網路類型（網域/私人/公用）

2. 連線安全規則 (IPsec)

• 隔離/驗證/免驗證/通道模式四類規則
• 指定端點、通訊協定、連接埠、驗證方式 (Kerberos/憑證/PSK)
• 動態加密：收到未加密但已驗證封包 → 自動協商加密 → 建立安全關聯
• 完全取代 netsh ipsec 指令複雜度

3. 設定檔屬性

• 防火牆狀態：開啟/關閉/封鎖所有連線
• 輸入/輸出預設動作
• 通知顯示：封鎖時是否彈窗
• 單播回應多播/廣播
• 允許本地管理員建立規則（不受群組原則覆寫）

Netsh 進階指令速查

netsh advfirewall show allprofiles                    ← 查看三設定檔狀態
netsh advfirewall set allprofiles state on            ← 全開啟
netsh advfirewall firewall add rule name="Allow HTTP" dir=in action=allow protocol=TCP localport=80 profile=private
netsh advfirewall consec add rule name="IPsec HTTP" endpoint1=any endpoint2=any protocol=TCP port=80 action=requestinrequestout auth=computer
netsh advfirewall set global statefulftp enable       ← 啟用 FTP 狀態檢查

實戰建議

• 伺服器角色：建立「允許輸入 80/443/3389/1433」規則，綁定私人/網域設定檔
• 工作站：啟用「封鎖所有輸入」，僅放行必要管理埠 (RDP、WS-Management)
• 定期匯出原則：netsh advfirewall export fwpolicy.wfw 備份/部署

Win7 防火牆已具備企業級宿主防火牆核心能力，善用進階面板即可構建精細防禦。