善用 Windows Server 2003 內建防火牆 打造校園網伺服器安全防線

前言：校園網安全的低成本解決方案

在校園網日常運維中，伺服器安全性直接關係到教學工作的正常進行。面對昂貴的硬體防火牆與商業軟體防火牆，預算有限的中小學往往望而卻步。其實，Windows Server 2003 內建的「Internet 連線防火牆」（Internet Connection Firewall, ICF）若配置得當，完全能為校園網伺服器構築起有效的安全屏障。本文將詳細介紹如何啟用並配置這項功能，並輔以服務埠管理與安全日誌記錄，實現零成本的伺服器防護。

一、認識 Windows Server 2003 的 Internet 連線防火牆

Internet 連線防火牆屬於狀態檢測型防火牆，核心邏輯是「預設拒絕，按需放行」：僅允許經授權的網路通訊通過，自動攔截未經請求的入站連線，有效抵禦掃描攻擊、蠕蟲病毒（如震盪波）等外部威脅。需注意此功能僅包含於 Standard Edition 與 32 位元 Enterprise Edition 中。

二、啟用與停用防火牆

1. 開啟「網路連線」，右鍵點選需保護的連線（如區域連線），選擇「內容」。
2. 切換至「進階」索引標籤，勾選「透過限制或阻止來自 Internet 對此電腦的存取，以保護我的電腦和網路」即可啟用；取消勾選則停用。

圖 1：本地連線屬性對話框－進階索引標籤

三、服務埠配置：精準放行業務流量

防火牆預設封鎖所有入站連線，必須針對伺服器對外提供的服務逐一開放對應埠。

1. 標準服務快速設定

在「進階」索引標籤點選「設定」按鈕，於「服務」索引標籤勾選系統預置的標準服務（如 Web 伺服器 HTTP 埠 80、FTP 埠 21 等），確定後即可生效。此舉將限制外部僅能存取已授權的服務埠。

圖 2：服務設定對話框－標準服務清單

2. 非標準服務手動新增

若服務運行於非預設埠（例：HTTP 服務綁定 8000 埠），點選「新增」按鈕，依序填入：

• 服務描述：自訂名稱（如「Web 管理介面」）
• IP 位址：本機 IP 或 127.0.0.1
• 連接埠號：對外埠與內部埠（均為 8000）
• 通訊協定：Web 服務選 TCP，DNS 查詢選 UDP

完成後，僅允許經授權的 TCP/UDP 埠通訊，其餘一律隔離。

四、安全日誌：留存審計證據

於「服務設定」對話框切換「安全性記錄」索引標籤，勾選「記錄已捨棄的封包」與「記錄成功的連線」。日誌預設儲存於 C:\Windows\Pfirewall.log，採用 W3C 延伸日誌格式，可直接用記事本或分析工具開啟。當伺服器遭遇入侵嘗試時，這些日誌將成為關鍵鑑證依據。

五、延伸應用：虛擬路由器前端防護

若以 Windows Server 2003 搭建虛擬路由器（啟用 NAT/路由功能），在對外介面啟用 ICF，即可為整個內部網路提供邊界防護，實現「一機雙用」的高性價比部署。

結語

Windows Server 2003 內建防火牆雖功能不及專業產品豐富，但針對校園網伺服器的基本防禦需求——埠存取控制、入侵阻擋、日誌審計——已足夠勝任。善用現有資源，配合定期修補系統漏洞、強化帳號密碼策略，即可在經費受限情況下構築起可靠的安全防線。