Vista 防火牆（含後續 Win7/8/10/11 Windows Defender 防火牆核心架構）大幅增強，掌握十大重點可建立企業級防護基線。
1. 雙介面設計：基本 vs 進階安全性
- 基本：「控制台」→「Windows 防火牆」→ 簡單開關、例外應用程式/埠。
- 進階：
wf.msc（含進階安全性的 Windows 防火牆 MMC 嵌入式管理單元）→ 完整入站/出站規則、連線安全規則、IPSec、群組原則整合。
2. 預設安全姿態
- 入站：預設封鎖（核心網路服務除外）。
- 出站：預設允許（可改為預設封鎖，建立白名單）。
- 與「Windows 服務強化」整合：服務特定網路規則違規即封鎖。
- 完整支援 IPv6 純網路環境。
3. 基本設定選項
- 開啟/關閉防火牆、封鎖所有連入連線、管理例外清單（程式/埠/範圍）、指定受保護網路介面、安全性記錄、ICMP 設定。
4. ICMP 訊息控制
- 預設允許入站 ICMP 回應請求（Ping），其餘封鎖。
- 進階分頁可封鎖回應請求，防駭客掃描存活主機。
5. 多重防火牆設定檔
- 三種獨立設定檔：網域（加入 AD）、私人（家用/公司）、公用（咖啡廳/機場）。
- 筆電依網路位置自動切換，公用設定檔最嚴格。
6. IPSec 整合
- 進階介面可自訂：加密/完整性演算法、金鑰壽命（時間/工作階段）、Diffie-Hellman 群組。
- 預設資料加密關閉，可啟用並指定演算法（AES-256/GCM 建議）。
7. 連線安全規則
- 精靈引導建立：隔離、驗證、免驗證例外、伺服器對伺服器、通道模式（閘道對閘道）。
- 可限制：網域成員、健康狀態（NAP）、特定電腦/群組。
8. 自訂驗證規則
- 指定端點（IP/範圍）、要求/要求入站/出站/雙向驗證。
- 驗證方式：Kerberos V5、憑證、PSK。
9. 入站/出站規則精細控制
- 動作：允許、允許安全連線（需 IPSec）、封鎖。
- 適用：所有程式/特定程式/服務/埠/通訊協定/ICMP 類型。
- 範圍：來源/目的地 IP、來源/目的地 TCP/UDP 埠。
- 設定檔：網域/私人/公用個別套用。
10. Active Directory 整合與 NAP
- 規則依據 AD 使用者/電腦/群組帳戶（需 Kerberos V5/IPSec 保護）。
- 支援網路存取保護 (NAP) 原則強制執行健康檢查。
實務建議
- 出站預設改「封鎖」，僅白名單允許（伺服器/關鍵工作站）。
- 啟用安全性記錄（成功/失敗連線），定期匯出分析。
- 透過 GPO 統一部署規則，避免單機配置漂移。
- 定期
netsh advfirewall export 備份規則集。
Vista 防火牆架構奠基至今，深入掌握即掌握現代 Windows 網路防護核心。
