Vista 防火牆出站過濾功能殘缺：控制台無設定入口，需 MMC 進階介面仍難有效攔截惡意軟體

微軟宣傳 Vista 防火牆具備「雙向過濾」，實際上出站過濾功能嚴重不完整：控制台無設定介面、預設規則全關、MMC 進階介面無預設出站規則、核心服務出站過濾不透明。

現狀分析

• 控制台介面：僅能開關「輸入連線」（入站），完全看不見「輸出連線」設定；
• 預設行為：出站過濾「關閉」，所有程式自由外連；
• MMC 進階介面 (wf.msc)：雖可建立出站規則，但無預設規則範本，使用者需手動為每個程式/連接埠建立規則，門檻極高；
• 核心服務保護：微軟稱出站過濾作為「服務強化」一部分保護核心服務，但不可見、不可配置、不可審計；
• 官方承認：產品經理 Jason Leznek 承認「無法攔截所有惡意軟體」，建議改用 Windows Defender 等反間諜軟體。

對比：第三方防火牆優勢

微軟策略解讀

Vista 防火牆定位為「基礎網路邊界防護」，而非「主機入侵防禦系統 (HIPS)」。出站過濾作為服務強化內部機制服務於核心服務，不面向終端使用者。微軟期望使用者搭配 Windows Defender（反間諜）+ 第三方防毒/防火牆形成纵深防禦。

使用者建議

• 一般用戶：啟用 Vista 防火牆（入站保護）+ 安裝第三方全功能安全套件；
• 進階用戶：學習 wf.msc 為關鍵服務/應用建立出站白名單規則；
• 企業環境：群組原則部署防火牆規則，搭配 NAP 健康檢查強制合規。

Vista 防火牆「一半功能不全」是設計定位使然，非缺陷。正確認知定位，搭配適當工具，才能構建有效防護。