Windows XP SP2 內建防火牆進階設定完整圖解

Windows XP SP2 的「Windows 防火牆」相較舊版 ICF（網際網路連線防火牆）大幅增強：預設啟用全域保護、支援 IPv4/IPv6 雙協定、引入「例外」機制取代單純連接埠開放、提供「啟動時安全性」、區域網路限制、應用程式層級的例外設定，並可透過 netsh 與群組原則進行企業級部署。本文詳細解說控制台介面的每個索引標籤功能。

開啟防火牆設定介面

控制台 → 網際網路連線 → Windows 防火牆，或在網路連線屬性的「進階」索引標籤按「設定」。

「一般」索引標籤—— 全域開關與嚴格模式

• 啟用 (建議)：對「進階」頁面勾選的所有網路連線啟用防火牆。僅允許「主動請求」的傳入流量與「例外」清單中的流量。
• 不允許例外流量：封鎖所有未請求的傳入流量，忽略「例外」頁面設定，適合直接連接網際網路、無伺服器需求的環境。
• 停用：關閉防火牆（不建議，除非有其他防火牆方案）。

注意：若電腦加入網域並套用群組原則，本頁選項可能被鎖定（灰色），需透過 netsh firewall show/set 指令查看/修改非當前套用的設定檔（網域/標準）。

「例外」索引標籤—— 彈性的應用程式/連接埠放行

舊版 ICF 僅能依 TCP/UDP 連接埠開放；SP2 可直接指定程式路徑或服務名稱，解決動態連接埠難題。預設內建例外（不可刪除）：

• 檔案與印表機共用
• 遠端協助（預設啟用）
• 遠端桌面
• UPnP 架構

若群組原則允許，可點「新增程式」依執行檔路徑建立例外，或點「新增連接埠」指定 TCP/UDP 號碼。
範圍設定：每個例外可點「編輯」→「變更範圍」，限制允許的來源 IP（任何電腦 / 我的網路子網 / 自訂 IP 清單），大幅提升安全性。

「進階」索引標籤—— 逐介面卡控制、日誌、ICMP

• 網路連線設定：勾選/取消勾選個別介面卡是否套用防火牆，可針對內網介面卡關閉防火牆以利檔案共用，對外網介面卡保持啟用。
• 安全性日誌：啟用記錄「已捨棄的封包」與/或「成功的連線」，指定日誌檔路徑、大小上限。
• ICMP 設定：控制是否允許回應 Ping、追蹤路由等 ICMP 訊息，減少資訊洩露。

命令列與群組原則部署

• netsh firewall 指令集可腳本化配置所有上述選項。
• 群組原則：電腦設定 → 系統管理範本 → 網路 → 網路連線 → Windows 防火牆，可分別設定「網域設定檔」與「標準設定檔」，實現企業級統一管理。

善用 SP2 防火牆的「例外+範圍」機制，即能在不安裝第三方防火牆的前提下，獲得相當完善的主機防護能力。