Windows XP 內建「網際網路連線防火牆」（Internet Connection Firewall, ICF），雖功能基礎，但對撥號上網、單機直連網際網路的個人用戶，已能提供有效的第一道防線——免費、不佔資源、無需額外安裝。
ICF 核心防護機制
- 狀態式封包檢查：只允許「內部主動發起」連線的回應封包通過
- 拒絕未請求的輸入連線：外部主動發起的連線（掃描、攻擊）直接丟棄
- 不回應 ICMP Echo (Ping)：駭客掃描存活主機時視為離線
- 封鎖連接埠掃描：隱藏系統開放連接埠資訊
限制：無應用層防護、無輸出連線控制、無入侵偵測（IPS）、不適用伺服器/區域網路環境（會阻擋檔案共享、列印、語音聊天等）。
圖文啟用步驟（XP Professional）
- 開始 → 網路連線（或「我的網路位置」→「檢視網路連線」）
- 右鍵「區域連線」或撥號連線 → 內容
- 「進階」索引標籤
- 勾選 「透過限制或阻止來自網際網路對這部電腦的存取，來保護我的電腦和網路」
- 「設定」按鈕變可用 → 點選進入進階設定
進階設定三大區塊詳解
1. 服務（允許特定輸入連線）
預設全關。若需對外提供服務（如架設網頁伺服器、FTP），勾選對應項目或「新增」自訂：
- 名稱、通訊協定 (TCP/UDP)、連接埠號、內部 IP
- 常見：HTTP (TCP 80)、FTP (TCP 21)、Remote Desktop (TCP 3389)
2. 安全性記錄
- 記錄「已捨棄的封包」（被阻擋的攻擊）與/或「成功的連線」
- 記錄檔位置：
C:\Windows\pfirewall.log（預設 4MB 上限）
- 定期檢視可發現掃描嘗試、異常連線
3. ICMP 設定（建議全關）
- 允許傳入：Echo Request (Ping)、Timestamp Request、Mask Request、Router Request、Redirect
- 建議全不勾選 → 完全隱藏主機存在性，防掃描
區域網路環境的衝突與解決
ICF 啟用後，區域網路共享存取、OICQ/QQ 語音、遠端桌面等會失效。
解決方案：開啟必要連接埠而非關閉防火牆
- 確認應用程式使用連接埠（如 QQ 語音 UDP 4000-4010、TCP 8000）
- 防火牆進階設定 → 服務 → 新增 → 輸入名稱、協定、連接埠範圍
- 或暫時關閉 ICF 進行區域網路作業，完成後重新啟用
ICF vs 商用個人防火牆
| 功能 | XP ICF | 商用防火牆 (ZoneAlarm, Comodo, Outpost 等) |
|---|
| 輸入防護 | ✓ 基礎 | ✓ 強化 + HIPS |
| 輸出控制 | ✗ 無 | ✓ 程式級控管 |
| 應用層檢查 | ✗ 無 | ✓ HTTP/DNS/MAIL 分析 |
| 入侵偵測 (IDS/IPS) | ✗ 無 | ✓ 簽章/行為分析 |
| 介面易用性 | 簡單 | 豐富/複雜 |
| 資源佔用 | 極低 | 中等 |
適用建議
- ✅ 撥號/ADSL 直連單機、不跑伺服器服務、不需輸出管控 → ICF 足夠
- ✅ 區域網路工作站 → 僅在連公網介面啟用 ICF，區網介面關閉
- ❌ 伺服器、需精細管控、企業環境 → 必須部署商用/硬體防火牆
XP SP2 後改名「Windows 防火牆」並大幅增強（支援輸出過濾、例外管理、群組原則），但核心定位仍是「基礎主機防護」。善用內建工具，配合修補程式、防毒軟體、安全上網習慣，才是完整防禦體系。
