Vista/Win7/Win8/Win10/Win11 Windows 防火牆進階設定 10 大技巧：雙介面、多設定檔、IPSec、命令列、群組原則、出站規則、記錄、通知、邊界、還原

前言：Windows 防火牆從 Vista 起重寫架構，功能強大卻常被忽視

內建防火牆 (Windows Firewall with Advanced Security, WFAS) 提供雙向過濾、IPSec 整合、多設定檔、命令列/群組原則管理，足以應付多數主機防護需求，無需第三方產品。

技巧一：善用兩種管理介面 — 基礎 vs 進階

• 基礎介面： 控制台 → Windows 防火牆 / 安全性中心。適合一般使用者：開啟/關閉、允許應用程式通過、通知設定。
• 進階介面： wf.msc 或 MMC 嵌入嵌入式管理單元。功能完整：入站/出站規則、連線安全規則 (IPSec)、監視、匯入匯出原則、自訂動作 (允許/封鎖/允許若安全)。

技巧二：預設安全設定 — 入站封鎖、出站允許、服務強化

• 預設：入站連線封鎖 (未符合規則)、出站連線允許。
• 搭配 Windows 服務強化：防火牆依據服務 SID (而非埠號) 判斷流量，服務遭植入惡意代碼也無法濫用開放埠。
• 完整支援 IPv6 純環境。

技巧三：基礎介面核心選項 — 例外、範圍、介面、日誌、ICMP

• 允許例外： 勾選「允許例外」，新增程式/埠/預定義服務 (如「檔案和印表機共用」)。
• 範圍限制： 每個例外可設定「任何電腦」、「本機子網」、「自訂 IP 範圍」，最小權限原則。
• 介面綁定： 指定規則套用於哪些網路介面 (網域/私人/公用)。
• 安全性日誌： 記錄成功/失敗連線，路徑 %windir%\system32\LogFiles\Firewall\pfirewall.log，可調整大小上限。
• ICMP 設定： 進階索引標籤可封鎖/允許回應請求 (Ping)、目的地不可達、超時等訊息類型。

技巧四：多設定檔 — 網域、私人、公用，攜帶式電腦必備

• 進階介面 → 監視 → 目前使用的設定檔。
• 可為每個設定檔獨立建立規則、日誌、通知行為。
• 範例：公用設定檔 (咖啡廳 Wi-Fi) — 封鎖所有入站、關閉檔案共用、啟用嚴格日誌；私人設定檔 (家庭) — 允許檔案共用、媒體串流；網域設定檔 (公司) — 由群組原則統一管控。
• 網路位置覺醒 (NLA) 服務自動偵測網路類別並切換設定檔。

技巧五：IPSec 連線安全規則 — 加密與驗證流量

• 進階介面 → 連線安全規則 → 新增規則：隔離、驗證、免除、伺服器到伺服器、通道。
• 可指定：驗證方法 (Kerberos V5、憑證、預先共用金鑰)、完整性演算法 (SHA-1/256/384)、加密演算法 (AES-128/192/256)、金鑰存活時間 (分鐘/工作階段)、Diffie-Hellman 群組 (1/2/14/24/ECP)。
• 預設不加密資料，僅驗證；可啟用「要求加密」強制機密性。
• 適用場景：伺服器叢集心跳加密、跨網段管理流量保護、合規性要求 (PCI-DSS、HIPAA)。

技巧六：命令列管理 — netsh advfirewall、PowerShell NetSecurity 模組

• netsh advfirewall firewall add rule name="Allow HTTP" dir=in action=allow protocol=TCP localport=80
• netsh advfirewall set allprofiles state on
• netsh advfirewall export "fw_policy.wfw" / import 批次部署。
• PowerShell: New-NetFirewallRule, Get-NetFirewallProfile, Set-NetFirewallProfile -Enabled True，支援管線、腳本自動化。

技巧七：群組原則集中管控 — 企業環境標準化

• GPO: 電腦設定 → Windows 設定 → 安全性設定 → 含進階安全性的 Windows 防火牆。
• 可強制：開啟/關閉、規則集合、設定檔選項、日誌、IPSec 免除、通知行為。
• 「套用本機防火牆規則」選項控制本機規則是否與 GPO 規則合併 (預設合併，本機規則優先)。

技巧八：出站規則 — 防止資料外洩、惡意軟體回連

• 預設允許出站，建立「封鎖」規則需謹慎規劃：

1. 先建立「允許」規則給核心服務 (系統、瀏覽器、郵件、更新、防毒)。
2. 再建立「封鎖所有出站」預設規則 (動作=封鎖、設定檔=全部)。
3. 測試驗證正常應用不受影響。

⚠ 過度封鎖會導致 Windows Update、授權啟用、防毒更新失敗，建議搭配「記錄」模式先觀察。

技巧九：通知與使用者互動 — 平衡安全與體驗

• 進階介面 → 內容 → 「顯示通知」：當防火牆封鎖新程式時彈出提示，使用者可選擇允許/封鎖。
• 可透過 GPO 強制關閉通知 (防止使用者誤允許惡意程式)。
• 「允許單一例外」模式：僅提示一次，後續同程式自動套用決定。

技巧十：邊界與還原 — 匯出/匯入原則、預設值重設

• 進階介面 → 動作 → 匯出原則 (.wfw) / 匯入原則：備份、遷移、版本控制。
• 重設為預設：netsh advfirewall reset (僅限本機，不影響 GPO)。
• 定期匯出原則存檔，配合系統映像備份，災難復原時可快速恢復防火牆狀態。

結語

Windows 防火牆進階功能遠超想像。掌握「多設定檔、IPSec、出站規則、命令列/GPO 自動化」四大核心能力，即可打造企業級主機防護，零成本、零相容性風險、原生整合。