Windows 防火牆依網路位置 (家用/公司/公用) 分別管理輸入/輸出規則。本文圖文說明開啟/關閉防火牆、針對不同網路位置個別設定的完整步驟。
操作步驟
- 「開始」→「控制台」。
- 「系統及安全性」→「Windows 防火牆」。
- 左側點擊「開啟或關閉 Windows 防火牆」。
- 針對三種網路位置分別設定：
- 家用/公司網路 (私人)： 建議「開啟 Windows 防火牆」，並勾選「通知我當 Windows 防火牆封鎖新的應用程式」。
- 公用網路： **強烈建議開啟**，並勾選「封鎖所有對此電腦的輸入連線 (包括在允許的應用程式清單中)」，最大化咖啡廳/機場公共 Wi-Fi 安全性。
- 點擊「確定」套用。
網路位置分類與預設行為
| 網路位置 | 典型場景 | 防火牆預設 | 探索/共用 |
|---|
| 家用網路 | 家庭路由器、信任區域網路 | 開啟 (輸入封鎖、例外允許) | 開啟網路探索、檔案/印表機共用 |
| 公司網路 | 企業內網、網域環境 | 開啟 (輸入封鎖、例外允許) | 開啟網路探索、通常由群組原則管理共用 |
| 公用網路 | 咖啡廳、機場、酒店 Wi-Fi | 開啟 (嚴格輸入封鎖) | 關閉網路探索、關閉檔案/印表機共用 |
進階設定入口
「Windows 防火牆」主視窗左側「進階設定」→ `wf.msc` (含輸入/輸出規則、連線安全性規則、監視)。可建立精確的連接埠/程式/IP 範圍規則。
命令列控制 (腳本/遠端適用)
# 開啟所有設定檔防火牆
netsh advfirewall set allprofiles state on
# 關閉所有設定檔防火牆 (不建議)
netsh advfirewall set allprofiles state off
# 開啟特定設定檔
netsh advfirewall set currentprofile state on
netsh advfirewall set domainprofile state on
netsh advfirewall set privateprofile state on
netsh advfirewall set publicprofile state on
常見問題
- 關閉防火牆後仍無法連線： 檢查應用程式本身防火牆規則、路由器/交換機 ACL、ISP 埠封鎖、目標服務未啟動。
- 網路位置判斷錯誤： 網路和共用中心 → 變更網路位置，或註冊表 `HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles` 修改 Category (0=公用, 1=私人, 2=網域)。
- 群組原則強制： 企業環境防火牆設定可能被 GPO 鎖定，本地修改無效，需諮詢 IT。
安全建議
- **除非臨時測試，否則請勿關閉防火牆。**
- 需開放埠口時，建立精確的「輸入規則」 (指定埠、協定、範圍、允許邊緣) 而非整體關閉。
- 定期檢查「進階設定」→「監視」→「防火牆規則」與「作用中連線」，發現異常規則立即停用/刪除。
- 啟用「通知我當 Windows 防火牆封鎖新的應用程式」，掌握新軟體網路行為。
