Windows XP SP2 防火牆實戰五大場景：從 BT 下載到遠端桌面完整攻略

核心觀念：Windows 防火牆的「單向過濾」本質

Windows 防火牆僅過濾傳入 (Inbound) 未請求流量，對主動發出的傳出 (Outbound) 連線不加干涉。這與第三方防火牆 (雙向過濾) 最大不同。微軟為自家應用程式 (IE、Outlook Express 等) 內建「綠色通道」，即使啟用「不允許例外」也能正常上網。

比喻：防火牆像旅館房門——外人需鑰匙 (例外規則) 才能進入，室內人想出門只需拉門把手 (主動連線無阻擋)。

實戰 1：天網防火牆 vs. Windows 防火牆 — QQ 遊戲大廳實測

測試場景

未將 QQGame 加入例外，嘗試登入遊戲大廳。

結果對比

結論

Windows 防火牆只在「外部主動連入」時發揮作用。關閉警告提示：防火牆設定 → 例外分頁 → 取消勾選「Windows 防火牆封鎖程式時通知我」。

實戰 2：讓 BitComet 正確識別 UPnP，恢復 BT 高速下載

問題成因

SP2 防火牆啟用後未正確識別 UPnP 裝置，導致 NAT 穿透失效，下載速度驟降。

解決步驟

1. 確認 UPnP 已安裝：「網上鄰居」左側工具列 → 「顯示聯網的 UPnP 裝置圖示」，缺失時系統會自動安裝
2. 防火牆「常規」分頁：啟用防火牆，**勿勾選「不允許例外」**
3. 啟動 BitComet，若防火牆提示封鎖，選「解除封鎖」
4. 「例外」分頁 → 勾選 「UPnP 架構」

實戰 3：為遠端管理 (MMC/磁碟管理) 開啟 TCP 445

場景

透過 MMC「電腦管理」、「磁碟管理」等嵌入式管理單元遠端管理另一台已裝 SP2 且開啟防火牆的電腦。

圖形介面設定

1. 「例外」分頁 → 勾選「檔案和印表機共享」
2. 點「編輯」 → 選取「TCP 445」 → 「變更範圍」 → 選「僅我的網路 (子網路)」或「自訂清單」輸入特定管理電腦 IP

命令列速配

netsh firewall set portopening TCP 445 "Remote Admin" ENABLE

實戰 4：徹底搞定「遠端桌面」與 NetMeeting 連線

遠端協助 (Remote Assistance)

使用動態連接埠，直接在「例外」分頁勾選「遠端協助」即可，系統自動處理 sessmgr.exe 通訊。

NetMeeting 遠端桌面共享 (較複雜)

勾選「遠端桌面」僅開放 TCP 3389 (終端機服務)，不足以支援 NetMeeting。需手動新增三個程式例外：

1. Windows NetMeeting 主程式
2. %systemroot%\System32\Mnmsrvc.exe
3. C:\Program Files\NetMeeting\conf.exe

實戰 5：只允許內網 Ping，拒絕外部探測

預設行為

SP2 防火牆預設封鎖 ICMP 回應請求 (Echo Request)，外部 Ping 不到主機，但內網也無法用 Ping 診斷網路。

方法一：透過「檔案和印表機共享」例外的範圍設定

同實戰 3，將相關 TCP 連接埠範圍限定為子網路。

方法二：進階分頁精確控制 ICMP (推薦)

1. 「進階」分頁 → 雙擊對應內網的網路連線 (如「區域連線」)
2. 切換「ICMP」分頁 → 勾選 「允許傳入的回應要求」
3. 確定套用

ICMP 協定小知識

ICMP (Internet Control Message Protocol) 是 TCP/IP 協定族的子協定，負責傳遞網路控制訊息 (主機可達、路由狀態等)。Ping 與 Tracert 皆基於 ICMP 運作。適度開放內網 ICMP 有助網管診斷，外網則宜封鎖以減少攻擊面。

總結：實戰部署檢核表

• ☐ 一般環境：啟用防火牆 + 勾選必要例外 (檔案共享、遠端協助、UPnP 架構)
• ☐ 筆電外出：啟用「不允許例外」模式
• ☐ 遠端管理：開放 TCP 445 並限制來源 IP 為管理電腦
• ☐ NetMeeting 用戶：手動新增三個程式例外
• ☐ 內網診斷：進階分頁對內網介面啟用 ICMP 回應要求
• ☐ 批次部署：使用 netsh firewall 腳本自動化上述設定