Vista 防火牆雖外觀似 XP SP2，但透過 MMC 主控台進入「進階安全性 Windows 防火牆」後，揭露雙向過濾、自訂規則、多網路設定檔、IPSec 整合、連線安全規則等企業級功能。本文詳細說明各項進階配置操作與實務應用。
兩種管理介面的定位差異
- 控制台基本介面：面向一般用戶，單向入站過濾、例外清單、簡易日誌、ICMP 設定
- MMC 進階介面：面向 IT 專業人員，雙向過濾、多設定檔（網域/私人/公用）、IPSec 整合、連線安全規則、詳細監控與匯出
建立 MMC 進階主控台步驟
- Win+R →
mmc.exe → 是（UAC 提示）
- 「檔案」→「新增/移除嵌入式管理單元」
- 從清單選擇「Windows Firewall with Advanced Security」→ 新增
- 選擇「本機電腦」→ 完成 → 確定
- 展開左側樹狀目錄，右側即顯示進階配置頁面
核心進階功能詳細解析
1. 多防火牆設定檔（網域/私人/公用）
- 每個設定檔獨立儲存啟用狀態、入站/出站預設動作、通知、日誌設定
- 預設：出站允許、入站封鎖（允許例外）
- 可針對企業網域關閉防火牆（由邊界防火牆保護），公用 Wi-Fi 自動啟用嚴格模式
- 「自訂」按鈕可微調：通知行為、多播/廣播回應、每設定檔獨立日誌
2. IPSec 設定整合
| 分頁 | 可配置項目 |
|---|
| 金鑰交換 | 安全/加密演算法優先序、DH 群組（預設 Group 2、可選 ECDH P-384）、金鑰存活期（時間/工作階段） |
| 資料保護 | 全連線加密（非預設）、完整性/加密演算法選擇 |
| 驗證方法 | Kerberos（用戶/電腦/僅電腦/僅用戶）、CA 憑證、NTLMv2、預共享金鑰（可設首選/備選） |
3. 電腦連線安全規則
決定「何時、如何」在兩電腦/群組間建立安全連線。規則類型：
- 隔離：依網域成員/健康狀態限制連線
- 驗證豁免：指定免驗證電腦
- 伺服器對伺服器：指定伺服器間免驗證
- 通道：閘道器間連線驗證
- 自訂：彈性定義端點（IP/範圍/預設閘道/DNS/DHCP/本地子網）、驗證需求（雙向/單向/無）、驗證方法、套用設定檔
規則建立後顯示於中間窗格，支援依設定檔/狀態過濾、右鍵啟用停用刪除修改、檢視屬性。
4. 進站/出站規則
- 內建大量預設規則（系統服務、核心網路）
- 新增規則精靈：程式/連接埠/預定義服務/自訂
- 動作選項：允許（含不安全）、僅允許安全（可加密/僅驗證/完整性）、封鎖、優先於封鎖規則（利於遠端管理）
- 範圍：套用至特定設定檔、特定端點（IP/群組）
5. 監控功能
- 即時顯示：作用中規則、連線安全規則、安全關聯（主模式/快速模式）、防火牆狀態
- 右側動作窗格：匯出規則為 TXT 或 CSV、重新整理
- 適用：稽核合規性、疑難排解連線問題、產出報表
實務部署建議
- 以群組原則部署標準化防火牆設定檔至企業電腦
- 針對筆記型電腦設定「網域=關閉、私人=開啟、公用=嚴格」三模式自動切換
- 關鍵伺服器啟用 IPSec 強制加密連線，搭配 Kerberos 驗證
- 定期匯出規則清單備份、異地儲存
- 善用「優先於封鎖規則」允許遠端管理工具（如 SCCM、RDP）穿透
結語
Vista 防火牆進階功能已達企業級個人防火牆水準，配合 MMC 統一管理、IPSec 整合、多設定檔自動切換，足以取代多數第三方個人防火牆產品。IT 人員應掌握 MMC 操作，建立標準化部署流程。
