SP2 全新 Windows 防火牆：從 ICF 昇級為狀態式主機防火牆
Windows XP SP2 將「網際網路連線防火牆 (ICF)」全面重寫為「Windows 防火牆」，預設啟用、支援 IPv6、提供圖形化控制台、可依程式/連接埠/服務定義異常、具備範圍限制與安全性日誌。本文詳細解說三大索引標籤所有設定選項。
「一般」索引標籤：總開關與模式選擇
- 啟用 (建議)：對「進階」選取的所有網路連線啟用防火牆，僅允許「回應流量」與「異常流量」
- 不允許異常：僅允許回應流量，忽略「異常」設定，所有連線全受保護（適合公共熱點）
- 停用：關閉防火牆（不建議，尤其直接連網介面）
群組原則鎖定：若網域環境下由 GPO 管理，本機選項會變灰無法更改。GPO 可分別設定「網域設定檔」與「標準設定檔」。
「異常」索引標籤：核心通訊控制
預設內建服務（不可刪除）
- 檔案與印表機共享
- 遠端協助 (預設啟用)
- 遠端桌面
- UPnF 架構
新增異常兩種方式
- 新增程式：選擇或瀏覽 .exe 檔，允許該程式所有連線（適合動態埠程式）
- 新增連接埠：指定 TCP/UDP 埠號（適合固定埠服務）
範圍設定：關鍵安全控制
- 任何電腦：全網際網路皆可存取（高風險）
- 僅我的網路 (子網路)：僅允許同一子網 IP 存取（如 192.168.0.x/255.255.0.0）→ 家庭/辦公室 LAN 強烈建議選此項
- 自訂 IP 清單：手動輸入允許的 IP/網段
新增項目預設為「停用」，需勾選啟用。所有啟用異常套用至「進階」選取的所有連線。
「進階」索引標籤：逐介面、日誌、ICMP、預設值
網路連線設定
- 勾選要啟用防火牆的介面（預設全選）
- 點選介面 → 「設定」→ 進階設定對話框：
- 服務索引標籤：依 TCP/UDP 埠設定特定服務（相容舊版 ICF 設定）
- ICMP 索引標籤：啟用特定 ICMP 訊息類型
- 若全部介面取消勾選 → 防火牆實際關閉，無論「一般」設定
- 選「不允許異常」時，此處設定被忽略，全介面全保護
安全性日誌
點「設定」→ 可設定：
- 記錄捨棄封包 / 成功連線
- 日誌檔路徑 (預設
%SystemRoot%\pfirewall.log)
- 最大檔案大小
ICMP 設定
點「設定」→ 啟用/停用允許的 ICMP 訊息：
- 允許傳入的回應要求 (Echo Request)：啟用後才能 Ping 通此電腦（預設關閉）
- 其他：封包太大、目的地無法到達、逾時等診斷訊息
還原預設值
點「還原預設值」→ 確認 → 回復 SP2 安裝初始狀態（所有自訂異常、日誌、ICMP 設定清除）。
命令列管理：Netsh Firewall
netsh firewall show config # 顯示目前設定
netsh firewall set opmode enable # 啟用防火牆
netsh firewall add allowedprogram "C:\Path\App.exe" "顯示名稱" ENABLE
netsh firewall add portopening TCP 80 "Web Server" ENABLE
netsh firewall set logging %systemroot%\fw.log 4096 ENABLE
netsh firewall set icmpsetting 8 ENABLE # 允許 ICMP Echo Request
IPv6 內建支援
SP2 防火牆同步處理 IPv4 與 IPv6 流量，無需額外設定，設定對話框同時生效於雙協定堆疊。
善用「範圍限制」將異常縮限在 LAN 子網，配合日誌定期稽核，是 SP2 防火牆最實用的安全策略。
