Vista 防火牆進階設定全解析：10 大關鍵特性與實務應用

Windows Vista 重寫防火牆架構，引入雙介面設計、多設定檔、IPSec 整合等企業級功能，兼顧新手易用與進階彈性。本文條列 10 大核心特性，助您從入門到精通 Vista 防火牆管理。

一、雙介面設計：基本與進階分離

• 基本介面：控制台 → 安全性中心 / Windows 防火牆，提供開關、例外、通知等簡易選項。
• 進階介面：執行 wf.msc 或 MMC 加入「進階安全性 Windows 防火牆」嵌入式管理單元，支援入站/出站規則、連線安全規則、監視等完整功能。
• 亦可透過 netsh advfirewall 指令列、PowerShell 腳本、群組原則進行自動化部署。

二、基本設定選項涵蓋面

基本介面可：啟用/停用防火牆、封鎖所有連入、設定例外（程式/通訊埠/服務）、指定例外範圍（任意/子網/自訂 IP）、選擇受保護網路介面、設定安全性記錄與 ICMP 選項。

三、預設安全態勢

• 預設：封鎖所有入站、允許所有出站。
• 搭配「Windows 服務強化」，偵測到違反網路規則的服務行為即封鎖。
• 完整支援純 IPv6 環境。

四、ICMP 訊息精細控制

預設允許入站 ICMP 回應請求（Ping），封鎖其他 ICMP 類型。進階設定可封鎖 Ping 回應以隱藏主機存在性，降低掃描風險。

五、多防火牆設定檔：行動裝置必備

支援三種設定檔自動切換：

• 網域設定檔：加入 AD 網域時套用，通常較寬鬆。
• 私人設定檔：家庭/辦公室可信網路，中等強度。
• 公用設定檔：咖啡廳、機場熱點，最嚴格（預設封鎖所有入站）。

筆電使用者受益最大，網路環境切換即自動套用對應規則。

六、IPSec 整合：加密與驗證一體化

進階介面可自訂 IPSec 提案：加密演算法（AES/3DES）、完整性（SHA-1/MD5）、金鑰壽命（時間/工作階段）、Diffie-Hellman 群組。預設資料加密關閉，可啟用並指定演算法，實現端對端加密傳輸。

七、安全性規則：連線守門員

透過精靈建立規則，控制電腦間何時、如何建立安全連線。支援以網域成員身分、健康狀態（NAP）為條件，亦可設定伺服器對伺服器、閘道對閘道的隧道驗證。

八、自訂驗證規則

指定單一或群組電腦（IP/範圍）為連線端點，可要求/請求入站、出站或雙向驗證，彈性滿足零信任架構需求。

九、入站/出站規則：精準流量控管

• 可針對特定程式、服務、通訊埠、通訊協定（TCP/UDP）建立允許/封鎖/僅允許安全連線規則。
• 支援來源/目的地 IP、來源/目的地埠獨立設定。
• 「新增規則精靈」引導逐步完成，降低設定門檻。

十、Active Directory 整合與 NAP 執行

規則可基於 AD 使用者/電腦/群組帳號（需 Kerberos v5 + IPSec 保護），並可執行網路存取保護（NAP）原則，確保不合規裝置無法存取企業資源。

Vista 防火牆不再是簡單的封包過濾器，而是具備深度防禦、加密傳輸、身分驗證的完整網路安全平台。善用進階介面與自動化工具，即能建立符合企業合規的主機防護基線。