Windows Server 2008 R2 網路安全巧設定：網路位置分類、防火牆基礎與進階規則完整指南

Windows Server 2008 R2 引入網路位置感知 (NLA) 與強化版防火牆，正確設定網路位置與防火牆規則是伺服器上線前的必修課。本文系統說明四種網路位置、防火牆基本與進階設定、連線安全規則 (IPsec) 實作。

一、網路位置分類與自動化安全原則

首次連接網路時必須選擇位置，系統據此自動套用對應防火牆規則集：

切換位置：「網路和共用中心」→「查看作用中的網路」→ 點選網路名稱下方連結切換。

二、Windows 防火牆基本設定

1. 控制台 → 「系統與安全性」→「Windows 防火牆」
2. 查看狀態：預設三種設定檔 (網域/專用/公用) 均為「開啟」
3. 「開啟或關閉 Windows 防火牆」：可分別控制三種設定檔
4. 「允許程式或功能通過 Windows 防火牆」：建立「白名單」
   • 勾選程式/功能 → 選擇適用設定檔 (專用/公用)
   • 每開一個例外 = 在防火牆鑽一個洞，需謹慎評估

三、高階安全 Windows 防火牆 (WF.msc) 進階規則

提供精細控制：入站/出站規則、連線安全規則 (IPsec)

建立防火牆規則

1. 執行 wf.msc 或「系統管理工具」→「高階安全 Windows 防火牆」
2. 右鍵「輸入規則」或「輸出規則」→「新增規則」
3. 規則類型：程式 / 連接埠 / 預定義 / 自訂
4. 動作：允許連線 / 僅允許安全連線 (IPsec) / 封鎖連線
5. 條件：特定程式、服務、連接埠/協定、IP 範圍、介面類型 (LAN/無線/VPN/所有)
6. 設定檔：網域/專用/公用 (可多選)

連線安全規則 (IPsec)

• 在兩台電腦通訊前進行相互驗證，確保資料完整性/機密性
• 使用金鑰交換、驗證 (Kerberos/憑證/預先共用金鑰)、資料加密 (可選)
• 需搭配防火牆規則允許受保護的流量通行
• 適用場景：伺服器間敏感資料傳輸、跨網段管理流量加密、合規要求

四、實戰建議

1. 伺服器上線前確認網路位置正確 (通常為「網域」或「工作」)
2. 預設封鎖所有輸入，僅開放必要服務埠 (RDP 3389、HTTP 80、HTTPS 443、應用埠)
3. RDP 建議限制來源 IP (進階規則指定遠端 IP 範圍)
4. 啟用出站規則記錄，偵測異常外連 (惡意軟體回連 C&C)
5. 定期匯出防火牆原則 (netsh advfirewall export) 納入版本控管
6. 跨網段管理流量強制 IPsec (連線安全規則 + 防火牆規則)

結語

網路位置決定預設防護基線，防火牆規則實作精細存取控制，IPsec 提供傳輸層加密。三者結合構建纵深防禦，是 Windows Server 2008 R2 網路安全的核心三角。

• 上一篇文章： 解決 U 盤安裝 Windows Server 2012 R2 報錯「Windows 無法開啟所需檔案」：install.wim 超過 4GB 限制
• 下一篇文章： DNS 伺服器 IP 設定完整教學：從原理到 Windows 圖形介面操作

Windows Server 常見問題解答

Windows Server 2008 精細密碼原則：針對特定用戶/群組實施差異化密碼與鎖定設定

Windows Server 2008 域管理新體驗：RODC、角色分離與離線維護

Windows Server 2003 伺服器遭入侵後的緊急修復與帳號恢復實戰記錄