Windows XP 內建防火牆 (Internet Connection Firewall, ICF) 提供基礎網路存取控制，可阻擋未授權的連入連線、允許特定程式/通訊埠對外通訊。本文完整說明防火牆位置、啟用與停用、例外清單管理 (新增/移除程式/埠)、還原預設值、啟用通知模式，幫助使用者在安全與相容性間取得平衡。
防火牆位置與基本啟停
- 控制台 → 「Windows 防火牆」 (或「網路連線」→ 右鍵連線 → 內容 → 進階 → 設定)。
- 啟用 (建議)：選「開啟 (建議)」 → 確定。
停用 (不建議)：選「關閉」 → 確定 (僅限除錯/特定相容場景暫時使用)。
例外清單管理 (核心功能)
防火牆啟用時，預設阻擋所有未主動發起的連入連線。需允許特定程式 (如 P2P、伺服器軟體、遠端桌面) 接收外部連線時，必須加入例外。
- 防火牆視窗 → 「例外」索引標籤。
- 新增程式：按「新增程式」→ 瀏覽選取執行檔 (如
utorrent.exe) → 確定。
新增連接埠：按「新增連接埠」→ 名稱 (如 "BitTorrent")、連接埠號 (如 6881)、協定 (TCP/UDP) → 確定。
- 編輯/移除：選取清單項目 → 「編輯」修改範圍 (任何電腦/我的網路/自訂清單) 或「刪除」移除例外。
- 範圍設定 (重要)：編輯例外 → 「變更範圍」→ 建議選「我的網路 (子網路)」或「自訂清單」輸入信任 IP 區段，**避免選「任何電腦 (含網際網路)」造成暴露**。
進階設定與還原預設
- 「進階」索引標籤：可針對各網路連線 (區域連線/無線/撥號) 個別啟用/停用防火牆、設定 ICMP/記錄/安全性關聯等。
- 還原預設值：按「預設值」→ 確定。所有自訂例外、進階設定將清除，恢復安裝初始狀態 (僅預設例外如檔案共用、UPnP 等)。
通知模式 (互動式防護)
- 「一般」索引標籤 → 勾選「當 Windows 防火牆阻擋程式時通知我」。
- 效果：程式嘗試接收連入連線被阻擋時，右下角彈出氣球提示「Windows 防火牆已阻擋此程式接受來自網際網路的連線」，使用者可選「解除封鎖」自動加入例外，或「繼續封鎖」。
- 適合不確定哪些程式需網路權限的環境，按需放行。
XP 防火牆局限與補充建議
| 局限 | 說明 | 補充方案 |
|---|
| 無連出控制 | 無法阻擋惡意軟體主動連出外網 (C2C、竊取資料) | 安裝第三方防火牆 (Comodo、ZoneAlarm、Outpost、Online Armor) 具備雙向防護 |
| 規則粒度粗 | 僅支援程式/埠級例外，無法針對 IP/方向/時間細粒度控制 | 第三方防火牆/硬體防火牆/路由器 ACL |
| 無入侵偵測 (IDS/IPS) | 無法識別/阻擋掃描、溢位、暴力破解等攻擊特徵 | 安裝 HIPS (Host IPS) / 端點防護套件 |
| SP2 以下版本極簡陋 | XP RTM/SP1 僅有 ICF 基礎功能，SP2 才大幅增強 | 務必更新至 SP3 + 所有安全修補程式 |
最佳實務建議
- ✅ **防火牆永久啟用**，配合例外清單最小權限原則 (僅開必要埠/程式、限制範圍)。
- ✅ 啟用「通知我」模式，遇陌生程式請求網路權限時人工判斷。
- ✅ 定期檢視例外清單，移除不再使用的程式/埠。
- ✅ 重要資料電腦/伺服器建議部署第三方雙向防火牆或端點防護套件。
- ✅ 路由器層面啟用 NAT/SPI 防火牆、關閉 WAN 端管理埠、DMZ 僅限必要裝置，構建纵深防禦。
