Vista 核心重寫 (NT 6.0)，防火牆架構全面升級，不再是 XP 那個簡單的「開/關/例外」。本文解析六大核心進化亮點，助您從 XP 思維轉型，掌握 Vista 防火牆的企業級防護能力。
亮點一：雙層圖形介面 — 區隔新手與專家
- 基本介面： 「安全中心」/「控制台」→ 簡單的開關、例外程式/埠、範圍、日誌、ICMP 設定，**防止新手誤操作斷網**。
- 進階介面： Win+R →
wf.msc (含進階安全性的 Windows 防火牆 MMC 管理單元) → **完整的入站/出站規則、連線安全規則、監視**、支援群組原則部署，**專家級精細控制**。
亮點二：預設安全配置 — 入站封鎖、出站允許、服務強化聯動
- 預設**封鎖所有未授權入站連線**，**允許所有出站連線** (兼顧易用性)。
- 與 **Windows 服務強化** 聯動：服務宣告所需網路行為，防火牆自動僅開放對應埠/協定/方向，**縮小攻擊面**。
- 完整支援 **純 IPv6 環境**，無需額外設定。
亮點三：基本介面實用選項 — 例外範圍、ICMP 精細控制
- 例外範圍： 允許例外程式/埠時，可限定來源：**任何電腦 / 區域網路 (子網) / 自訂 IP 位址清單**，精準授權。
- ICMP 訊息控制： 預設允許「回應要求」(Ping) 入站，其餘 ICMP 封鎖。**進階頁籤可封鎖 Ping 回應**，防駭客掃描存活主機。
亮點四：多防火牆設定檔 — 行動裝置環境適應神器
- 最多建立 **三組設定檔**：
① **網域設定檔** (加入 AD 網域時自動套用，最高信任)
② **私人設定檔** (家庭/公司網路，中等信任)
③ **公用設定檔** (咖啡廳/機場/熱點，**最高防護**，預設封鎖更多入站)
- 網路位置感知 (NLA) **自動偵測網路類型並切換設定檔**，筆電使用者無需手動切換。
亮點五：IPSec 整合 — 連線安全規則原生支援
- 進階介面 → 「連線安全規則」可直接建立 **IPSec 原則**：
🔐 **加密/完整性演算法** (AES-SHA256 等)
🔑 **金鑰壽命** (時間/工作階段)
🤝 **Diffie-Hellman 群組** (DH Group 14/19/20 等)
🛡 **驗證方式** (電腦憑證/Kerberos V5/預共用金鑰)
- 預設**資料加密停用**，可啟用並選擇演算法，**實現端到端加密通訊**，無需第三方 VPN 軟體。
亮點六：命令列與自動化 — netsh advfirewall + 群組原則
- netsh advfirewall 內容：完整的命令列介面，可腳本化建立/匯入/匯出規則，**批次部署百台電腦**。
- 群組原則：
gpedit.msc → 「電腦設定」→「Windows 設定」→「安全性設定」→「含進階安全性的 Windows 防火牆」→ **集中管理全網防火牆原則**，企業級標準化。
XP → Vista 防火牆思維轉型對照表
| 場景 | XP 做法 | Vista 做法 |
|---|
| 開放特定程式入站 | 基本介面「例外」新增程式 | 進階介面「入站規則」→ 新增規則 → 程式路徑 + 允許連線 + 設定檔 |
| 封鎖特定 IP 存取 | 無原生支援 (需 IPSec 原則/第三方) | 進階介面「入站規則」→ 遠端 IP 設定特定位址 → 封鎖連線 |
| 要求伺服器與用戶端加密通訊 | IPSec 獨立 MMC (ipsecpol.msc) 設定困難 | 進階介面「連線安全規則」→ 端點/需求/驗證/加密 一站式完成 |
| 筆電切換咖啡廳/公司網路 | 手動調整防火牆/例外 | NLA 自動切換公用/私人/網域設定檔 |
結語：Vista 防火牆不再是「玩具」，而是**具備企業級功能的原生主機防護平台**。雙介面守護易用與專業，預設安全縮小攻擊面，多設定檔適應行動辦公，IPSec 整合實現零信任加密，**netsh + GPO 實現自動化治理**。升級 Vista/Win7/Win10 後，請拋棄 XP 時代的「開關例外」思維，**擁抱「規則導向、設定檔感知、加密原生」的新防護範式。**
