應用場景
Windows Server 2003 「路由和遠端存取」服務內建 NAT/基本防火牆協定，可在單一伺服器上同時實現網路位址轉換（共享上網）與封包層級防火牆功能，適合中小型網路作為邊界閘道部署。
一、安裝 NAT/基本防火牆協定
- 開啟「路由和遠端存取」（
rrasmgmt.msc）。
- 主控台樹展開伺服器名稱 → IP 路由 → 一般。
- 右鍵「一般」 →「新增路由協定」 → 選「NAT/基本防火牆」 → 確定。
權限需求： Administrators 群組成員；建議使用 runas 提權操作而非直接以管理員登入。
二、新增與配置介面：區分公私網路
- 主控台樹選取「NAT/基本防火牆」，右鍵 →「新增介面」。
- 選取實體網卡介面，依角色設定：
| 介面角色 | 設定選項 | 關鍵勾選項 |
|---|
| 連接 Internet（公用） | 公用介面連接到 Internet | ✅ 此介面上啟用 NAT
✅ 此介面上啟用基本防火牆（動態封包篩選） |
| 連接內部網路（私人） | 私人介面連接到私人網路 | （無額外勾選） |
| 僅需防火牆不需 NAT | 僅基本防火牆 | ✅ 此介面上啟用基本防火牆 |
撥號上網選「要求撥號介面」；專線選永久介面。
三、啟用 NAT 位址指派（內建 DHCP 配置器）
- 右鍵「NAT/基本防火牆」 →「屬性」 →「位址指派」索引標籤。
- 勾選「使用 DHCP 配置器自動指派 IP 位址」。
- （選填）於「IP 位址」與「遮罩」指定私有網段範圍（預設 192.168.0.0/24）。
- （選填）點選「排除」新增不配置給用戶端的位址（如伺服器靜態 IP）。
無獨立 DHCP 伺服器時，此功能可自動為內部用戶端分配 IP、遮罩、閘道、DNS。
四、啟用 NAT 名稱解析（DNS Proxy）
- 「屬性」 →「名稱解析」索引標籤。
- 勾選「使用 DNS 的用戶端」 → NAT 伺服器代理內部用戶端 DNS 查詢並快取結果。
- 撥號連線勾選「當名稱需要解析時連接到公用網路」，並指定要求撥號介面。
五、配置介面 IP 位址集區（進階公用 IP 管理）
- 詳細資料窗格右鍵公用介面 →「屬性」 →「位址集區」索引標籤。
- 點選「新增」：
- CIDR 格式：輸入「起始位址」與「遮罩」（如 203.0.113.10/255.255.255.240）。
- 範圍格式：輸入「起始位址」與「結束位址」（如 203.0.113.10 - 203.0.113.20）。
多組公用 IP 可重複「新增」建立多個集區，NAT 會自動輪詢分配。
六、基本防火牆精細規則配置
右鍵公用介面 →「屬性」 → 依索引標籤設定：
1. 服務與連接埠（開放特定對外服務）
- 預設服務清單勾選即可（如 HTTP、FTP、SMTP）。
- 自訂服務：點「新增」 → 填寫服務名稱、輸入/輸出連接埠、協定（TCP/UDP）。
- 停用/刪除：清除核取方塊或選取後點「刪除」。
2. ICMP 訊息控制（Ping/追蹤路由等）
「允許下列功能」區域勾選允許的 ICMP 類型：
- ✅ 回應傳入的回應要求（允許 Ping）
- ✅ 回應傳入的路由器通告要求
- ✅ 允許重新導向
- ✅ 允許來源抑制
- ✅ 允許參數問題
- ✅ 允許目的地無法到達
- ✅ 允許超時
- 點選類型可見說明；建議僅開放必要項目，減少偵察面。
3. 靜態封包篩選器（進階存取控制）
除基本防火牆外，可於「路由和遠端存取 → IP 路由 → 一般 → 介面屬性 → 輸入/輸出篩選」新增靜態篩選器，依來源/目的 IP、協定、連接埠精確允許或拒絕流量，實現最小權限原則。
七、啟用 ICMP 路由器發現（IRDP）
- 主控台樹「一般」 → 右鍵介面 →「屬性」 →「一般」索引標籤。
- 勾選「啟用路由器發現通告」。
- 設定參數：
- 通告壽命（分鐘）：預設 30，建議 2×最大間隔。
- 最小/最大間隔（分鐘）：預設 7/10，路由器將在區間內隨機發送通告。
- 偏好層級：數值越大優先度越高，作為用戶端預設閘道候選。
啟用後，支援 IRDP 的用戶端可自動發現並切換預設閘道，提升網路可用性。
八、部署檢查清單
- 公用介面已啟用 NAT 與基本防火牆。
- 私人介面已正確綁定內部網段。
- DHCP 配置器位址池未與靜態 IP 衝突。
- DNS Proxy 運作正常（內部用戶端 `nslookup` 解析外部網域成功）。
- 對外服務埠（80, 443, 25 等）已於「服務與連接埠」放行。
- ICMP 僅開放必要類型，Ping 測試符合預期。
- 內部用戶端預設閘道指向 NAT 伺服器私人介面 IP，可正常上網。
結語
Windows Server 2003 NAT/基本防火牆雖非企業級 UTM 替代品，但對預算有限、架構簡單的中小網路而言，以單一伺服器整合共享上網、DHCP、DNS Proxy、封包過濾與 ICMP 控制，極具成本效益。配合靜態封包篩選器與 IRDP，可進一步強化邊界防禦與網路韌性。
