Vista 防火牆 (Windows Firewall with Advanced Security) 重寫架構，提供 基本/進階雙介面、預設安全配置、ICMP 精細控制、三大網路設定檔、IPSec 整合、群組原則/命令列/腳本自動化，企業級防護能力大幅躍升。
一、雙介面設計：滿足新手與專家雙重需求
| 介面 | 存取路徑 | 目標用戶 | 功能範圍 |
|---|
| 基本配置 | 控制台 → Windows 防火牆 / 安全中心 | 一般使用者 | 開啟/關閉、例外程式/埠、範圍、通知、日誌、ICMP |
| 進階配置 (MMC 嵌入式單元) | Win+R → wf.msc / 控制台 → 管理工具 → 進階安全性 Windows 防火牆 | 系統管理員/資安人員 | 輸入/輸出規則、連線安全規則 (IPSec)、監視、匯入/匯出原則、群組原則部署 |
設計哲學： 防止新手誤改進階規則導致斷網，專家享有完整控制權。
二、預設安全配置：開箱即用的防護基線
- 輸入連線： 預設封鎖 (除核心網路探索/檔案共用等必要例外)。
- 輸出連線： 預設允許 (兼顧易用性)。
- 服務強化整合： 偵測到服務違反網路規則 (如嘗試連接非授權埠) 即時封鎖。
- 純 IPv6 支援： 完整支援 IPv6 網路環境，無需 IPv4 相依。
三、基本配置選項詳細操作
- 防火牆狀態： 開啟 (建議) / 關閉 (僅測試用)。
- 封鎖所有輸入連線： 勾選後忽略所有例外，最高安全模式 (如連接公共 Wi-Fi)。
- 例外管理：
• 程式例外：允許特定 .exe 接收輸入連線。
• 埠例外：允許特定 TCP/UDP 埠 (如 80, 443, 3389)。
• 範圍設定：任意電腦 / 我的子網路 (自動偵測) / 自訂 IP/子網路。
- 受保護網路連線： 勾選需防火牆保護的介面 (通常全勾選)。
- 安全性日誌： 記錄已捨棄/成功的連線，指定路徑、大小上限。
- ICMP 設定： 允許/封鎖特定 ICMP 訊息類型 (見下節)。
四、ICMP 訊息控制：平衡診斷與隱匿
| ICMP 類型 | 代碼 | 用途 | 預設 | 建議 |
|---|
| 回應請求 | Type 8 | Ping 測試連通性 | 允許輸入 | 內網允許，對外封鎖 (隱藏主機) |
| 目的地不可達 | Type 3 | 路由/防火牆阻斷通知 | 封鎖 | 封鎖 (防止路徑探測) |
| 逾時 | Type 11 | Traceroute 追蹤路徑 | 封鎖 | 封鎖 |
| 參數問題 | Type 12 | 封包標頭錯誤 | 封鎖 | 封鎖 |
操作：基本配置 → 進階分頁 → ICMP 設定 → 勾選/取消勾選對應類型。
五、多網路設定檔：攜帶裝置的環境適應性
| 設定檔 | 觸發條件 | 典型安全等級 | 適用場景 |
|---|
| 網域 | 偵測到網域控制站 (AD 環境) | 中等 (信任內部) | 企業辦公室、加入網域筆電 |
| 私人 | 使用者將網路位置設為「家庭/公司」 | 中等 (信任子網) | 家庭網路、小型辦公室 |
| 公用 | 使用者設為「公用」/ 預設未識別網路 | 最高 (零信任) | 咖啡廳、機場、旅館 Wi-Fi |
- 每個設定檔獨立擁有規則集、日誌、通知設定。
- 網路位置感知 (NLA) 服務自動偵測切換，使用者可手動覆寫 (網路和共用中心 → 自訂)。
- 最多同時啟用三個設定檔，依當前網路介面套用對應規則。
六、IPSec 整合：連線安全規則 (Connection Security Rules)
- 進階配置 → 「連線安全規則」→ 新增規則：
• 隔離 (要求驗證) / 驗證 (僅驗證不加密) / 伺服器到伺服器 / 通道模式 / 自訂。
- 驗證方式：Kerberos V5 (網域) / 憑證 (PKI) / 預先共用金鑰 (PSK) / NTLMv2。
- 加密/完整性演算法：AES-256/192/128, 3DES / SHA-256/384/512, MD5 (不建議)。
- 金鑰壽命：時間 (分鐘/小時/天) / 工作階段 (每次連線重新協商)。
- Diffie-Hellman 群組：Group 1 (768-bit) 到 Group 14 (2048-bit) / ECP 256/384。
- 預設加密關閉 (相容性)，啟用後可強制機敏資料傳輸加密 (如資料庫同步、備份複寫)。
自動化部署三大管道
- 群組原則：
gpedit.msc → 電腦設定 → Windows 設定 → 進階安全性 Windows 防火牆 → 完整規則集下發。
- 命令列 (netsh advfirewall)：
netsh advfirewall set allprofiles state on
netsh advfirewall firewall add rule name="Allow HTTP" dir=in action=allow protocol=TCP localport=80
支援批次檔/遠端執行 (PsExec/WinRM)。
- PowerShell 模組 (NetSecurity)：
New-NetFirewallRule -DisplayName "Allow HTTPS" -Direction Inbound -Action Allow -Protocol TCP -LocalPort 443
物件化操作、管線處理、Desired State Configuration (DSC) 整合。
最佳實務清單
- ✅ 所有介面啟用防火牆 (含 VPN/虛擬介面)。
- ✅ 公用設定檔：封鎖所有輸入、僅允許必要輸出 (HTTP/HTTPS/DNS/VPN)。
- ✅ 關鍵伺服器服務 (IIS/SQL/Remote Desktop) 僅在私人/網域設定檔開放對應埠，並限制來源 IP 範圍。
- ✅ 啟用日誌 (成功+失敗)，定期匯出分析 (SIEM/Log Parser)。
- ✅ 封鎖 ICMP 回應請求 (公用/網域)，內部測試暫時開放。
- ✅ 部署 IPSec 連線安全規則保護跨網段機敏傳輸。
- ✅ 以群組原則統一管理，禁止本機修改 (設定「防火牆: 允許本機例外」= 停用)。
Vista 防火牆確立了「雙介面、預設安全、多設定檔、IPSec 整合、自動化部署」的現代主機防火牆標準，延續至 Windows 11/Server 2022 核心架構未變。掌握其進階配置，是主機安全防禦的核心技能。
