Windows XP SP2 內建防火牆完整設定圖解

Windows XP SP2 引入全新 Windows 防火牆，取代舊版 ICF（網際網路連線防火牆），支援 IPv4/IPv6 雙協定、應用程式/連接埠/服務三維例外管理、範圍限制、日誌記錄與 ICMP 過濾。本文詳細解析控制台介面每個頁籤的功能與設定建議。

開啟防火牆控制台

控制台 →「網路連線」→ 右鍵連線 →「內容」→「進階」→「設定」
或直接：控制台 →「Windows 防火牆」

「一般」頁籤：總開關與例外總控

• 啟用（建議）：預設值。啟用後僅允許「主動請求的傳入連線」與「例外清單」中的傳入連線。所有出站連線預設允許。
• 不允許例外：勾選後忽略「例外」頁籤所有規則，僅允許回應封包。適合公共熱點、直接連網無路由器環境，安全性最高但可能阻擋合法服務（如檔案共享、遠端桌面）。
• 停用：強烈不建議，除非有第三方防火牆接管防護。

群組原則影響： 若電腦加入網域並套用防火牆原則，本頁籤選項可能灰色鎖定，需透過 netsh firewall show/set 指令查看/修改非當前套用的設定檔（網域/標準）。

「例外」頁籤：精準放行合法流量

核心改進：支援依程式路徑（而非僅連接埠）定義例外，解決動態連接埠應用（如 MSN、BT、P2P）難以預測埠號的問題。

• 預設例外（不可刪除）： 檔案和印表機共享、遠端協助（預設啟用）、遠端桌面、UPnP 架構。
• 新增程式： 瀏覽選擇 .exe，自動解析其所需連接埠。
• 新增連接埠： 傳統 TCP/UDP 連接埠開放，適用於伺服器軟體（如 Web/FTP/DB 伺服器）。
• 變更範圍： 每條例外可設定「任何電腦（含網際網路）」、「我的網路（子網路）」、「自訂 IP 清單」。建議內部服務（檔案共享、遠端桌面）限制為「我的網路」，降低暴露風險。

「進階」頁籤：逐介面卡控與日誌

• 網路連線設定： 勾選/取消勾選特定介面卡套用防火牆。筆記型電腦有線/無線/VPN 多介面時，可針對公共無線啟用、信任有線停用。
• 安全性日誌： 啟用後記錄「已捨棄的封包」與/或「成功的連線」。可設定日誌檔大小上限（預設 4MB）、儲存路徑。分析日誌可發現掃描、攻擊嘗試。
• ICMP 設定： 控制回應 Ping、目的地不可達、超時等 ICMP 訊息。建議僅啟用「允許傳入回應要求（Ping）」，其餘保持停用以隱藏主機資訊。

命令列管理（進階/自動化）

netsh firewall 指令集提供完整腳本化控制：

netsh firewall show config           # 顯示目前設定
netsh firewall set opmode enable     # 啟用防火牆
netsh firewall add portopening TCP 80 "Web Server"   # 開放連接埠
netsh firewall add allowedprogram "C:\App\server.exe" "My Server" ENABLE   # 允許程式
netsh firewall set logging %windir%\pfirewall.log 4096 ENABLE   # 設定日誌

XP SP2 防火牆雖功能輕量，但對無第三方防火牆的用戶已提供基礎且有效的入侵防護。善用「例外範圍限制」與「日誌審計」，能在易用性與安全性間取得最佳平衡。