善用 Windows Server 2008 內建防火牆，打造安全伺服器環境

前言：為何選擇內建防火牆？

保護伺服器安全是網管核心任務。雖然採購第三方防火牆、防毒軟體是常見做法，但授權成本高、管理介面分散。Windows Server 2008 大幅強化內建防火牆，提供雙向過濾、進階規則、IPSec 整合，且可透過控制台、MMC、命令列、群組原則多管道管理，足以應付中小型企業的防禦需求，降低總擁有成本。

兩種管理介面：基本 vs. 進階

1. 控制台基本介面

適合初階管理員，路徑：開始 → 設定 → 控制台 → Windows 防火牆。可快速啟用/停用防火牆、設定例外程式/埠、選擇受保護的網路介面、一鍵還原預設值。

圖 1：Windows 防火牆基本設定介面

圖 2：防火牆啟用與例外設定

2. MMC 進階安全防火牆

適合資深網管，支援多設定檔（網域、私人、公用）、連線安全規則、自訂入站/出站規則、使用者/電腦群組為條件。開啟方式：開始 → 執行 → mmc.exe → 檔案 → 新增/移除管理單元 → 進階安全 Windows 防火牆。

圖 3：進階安全防火牆主控台

實戰三大防護規則

案例 1：封鎖 Ping 洪水攻擊

1. 開啟「進階安全 Windows 防火牆」→「輸入規則」→「新增規則」。
2. 規則類型選「自訂」→「所有程式」→ 通訊協定選 ICMPv4。
3. 動作選「封鎖連線」→ 套用設定檔依環境勾選（網域/私人/公用）。
4. 命名完成，即可阻擋外部利用 Ping 發送大量封包癱瘓伺服器。

圖 4：建立封鎖 ICMP 規則

案例 2：阻擋已知漏洞應用程式對外連線

透過基本介面的「例外」頁面，取消勾選或移除有漏洞的應用程式；若清單中無該程式，點「新增程式」匯入後取消勾選，即可禁止其穿透防火牆，斷駭客利用漏洞反向連線的路徑。

圖 5：管理應用程式網路存取權限

案例 3：群組原則強制保護所有網路連線

1. gpedit.msc → 電腦設定 → 管理範本 → 網路 → 網路連線 → Windows 防火牆 → 標準設定檔。
2. 啟用「Windows 防火牆：保護所有網路連線」。
3. 同樣在「網域設定檔」下啟用相同項目，確保無論網路類型皆受防火牆管控。

圖 6：強制啟用所有連線防護

總結

Windows Server 2008 內建防火牆已具備企業級雙向過濾、IPSec 整合、精細規則等能力，善用基本與進階介面搭配群組原則，即可在零授權成本下建立纏繞防禦體系，確保伺服器在公網、內網皆能安全運作。