Windows Server 2008 進階安全防火牆 (WFAS) 深度配置指南

核心升級：從「雞肋」到企業級主機防火牆

Server 2008 引入 **Windows Firewall with Advanced Security (WFAS)**，整合 **主機防火牆 + IPSec**，提供：

• 雙向過濾：同時控制入站/出站流量。
• IPSec 整合：同一主控台完成金鑰交換、資料完整性/加密、驗證設定。
• 進階規則條件：應用程式、服務、TCP/UDP 埠、IP 範圍、介面類型、使用者/群組、電腦/群組、協定、ICMP 類型等多維度組合。
• 預設規則豐富：~90 條預設入站規則、≥40 條預設出站規則，開箱即用。
• 多設定檔：網域、私人、公用三種位置感知設定檔，自動切換規則集。

兩大管理入口

1. 伺服器管理員：角色 → 網路原則與存取服務 → 進階安全性 Windows 防火牆 (整合於角色管理)。
2. 獨立 MMC 主控台：開始 → 輸入「防火牆」 → 進階安全性 Windows 防火牆 (最快啟動方式)。

圖 1：伺服器管理員整合視圖

圖 2：獨立 WFAS MMC 主控台

圖 3：開始選單搜尋「防火牆」秒開主控台

命令列自動化：netsh advfirewall

# 匯出完整設定 (含 IPv4/IPv6)
netsh advfirewall export "C:\Backup\WFAS_Policy.wfw"

# 匯入還原
netsh advfirewall import "C:\Backup\WFAS_Policy.wfw"

# 顯示目前設定檔狀態
netsh advfirewall show allprofiles

# 建立規則範例：允許 TCP 80 入站
netsh advfirewall firewall add rule name="Allow HTTP In" dir=in protocol=TCP localport=80 action=allow profile=any

適合納入部署腳本、基線合規稽核、跨伺服器同步策略。

三種設定檔與預設行為

圖 4：位置感知設定檔

規則建立實戰：為第三方 Web 伺服器 (Apache) 開放 TCP 80

1. 開啟 WFAS MMC → 輸入規則 → 右側 新增規則。
2. 規則類型：**連接埠** → 下一步。
3. 通訊協定：**TCP**，特定本機連接埠：**80** → 下一步。
4. 動作：**允許連線** → 下一步。
5. 設定檔：**網域、私人、公用** 全勾選 (或視需求) → 下一步。
6. 名稱：`Allow Apache HTTP In`、描述：`允許 Apache Web 伺服器 TCP 80 入站流量` → 完成。

圖 5：Server 2003 單一例外視窗 (對比)

圖 6：Server 2008 多頁籤進階規則 (程式/服務/使用者/電腦/IP 範圍)

圖 7：~90 條預設入站規則

圖 8：新增規則啟動精靈

圖 9：建立完成的規則列表

進階規則條件組合範例

最佳實務建議

1. 預設拒絕入站，按需開放：維持預設「封鎖不符合規則的入站連線」。
2. 啟用出站過濾：在高安全環境將出站預設改為「封鎖」，再按需允許 (Windows Update、DNS、NTP、授權應用)。
3. 善用群組/電腦條件：避免大量 IP 單條規則，改用 AD 群組/電腦群組動態授權。
4. 定期匯出策略備份：`netsh advfirewall export` 納入備份排程，支援裸機還原後快速還原防火牆基線。
5. 啟用日誌記錄：WFAS 主控台 → 內容 → 記錄 → 自訂 → 記錄已捨棄的封包 / 成功的連線，配合 SIEM 分析異常流量。

結語

WFAS 以「雙向過濾 + IPSec 整合 + 多維度規則 + 位置感知設定檔 + 豐富預設規則 + 命令列自動化」六大支柱，將 Windows 內建防火牆提升至可與 ZoneAlarm Pro、Check Point Endpoint 等協力廠商主機防火牆抗衡的企業級水準。善用 MMC 圖形介面進行策略設計，再以 `netsh advfirewall` 實現跨伺服器基線部署與合規稽核，是 Server 2008 以降 Windows 伺服器安全強化的核心技能。