Windows XP 內建防火牆 ICF 完整設定與應用指南

ICF（Internet Connection Firewall，網際網路連線防火牆）是 Windows XP 內建的狀態式封包過濾防火牆，位於電腦與網際網路之間，允許你請求的資料通過，攔截未經請求的封包。本文詳細說明 ICF 原理、設定方法與局限性。

ICF 運作原理

ICF 維護一份通訊表，記錄所有源自本機的通訊（目的 IP、連接埠、服務等）。當外部封包進入時，ICF 比對通訊表：若有對應記錄（說明通訊由內部發起），允許通過；否則丟棄。此機制有效阻擋 Port Scan 等常見攻擊，且不干擾正常網路應用（如 Outlook Express 收發郵件、RPC 通知等）。

啟用與停用 ICF

1. 開啟「控制台 → 網路連線」
2. 右鍵點選要保護的連線（撥號/區域網路） → 「內容」
3. 切換至「進階」索引標籤 → 「網際網路連線防火牆」區塊
4. 勾選「透過限制或封鎖來自網際網路對此電腦的存取，以保護我的電腦和網路」即啟用；取消勾選則停用

網路服務設定（例外規則）

在「進階」索引標籤點選「設定」，可管理允許外部存取的服務。預設已開放 Messenger、遠端桌面、FTP、Telnet 等；POP3、SMTP、HTTP 等常用服務系統會視需求自動開放。

新增服務範例：Messenger 檔案傳輸

Messenger 檔案傳輸使用 TCP 6891-6900 連接埠。在服務設定中點選「新增」，依序填入：

• 描述：Messenger File Transfer
• 本機 IP 位址：127.0.0.1
• 連接埠：6891（TCP）

確定後即可順利傳送檔案。

安全性記錄設定

ICF 使用 W3C 延伸記錄檔格式。在「進階 → 設定 → 安全性記錄」中可設定：

• 記錄卸除的封包：記錄被防火牆阻擋的嘗試（如 Ping、Tracert 被拒）
• 記錄成功的連線：記錄所有成功通過防火牆的連線
• 記錄檔路徑、名稱與大小限制：可自訂儲存位置與大小（建議 512KB 即足夠）

ICMP 設定

ICMP（網際網路控制訊息協定）用於錯誤回報與控制訊息交換。在「進階 → 設定 → ICMP」索引標籤可選擇允許回應的 ICMP 訊息類型（如允許傳入回應要求以支援 Ping）。

ICF 的局限性

• 不適合伺服器：ICF 依賴「內部發起請求」判斷合法性，伺服器主要接收外部主動連線，無法適用
• 無應用程式層級控制：無法像 Norton Personal Firewall 針對特定程式（IE 可、Navigator 不可）設定權限
• 無封包檢查策略：無法建立基於 IP 封包深度檢查的規則

適用建議

ICF 資源佔用極低、免費內建，對個人電腦（尤其是撥接上網用戶：連線時間短、動態 IP、較難被鎖定）提供的保護已足夠。若需全方位防護，建議搭配 ZoneAlarm Pro 或 Norton Personal Firewall；但對一般用戶，ICF 「又經濟又實惠」是最佳選擇。

注意事項

• 勿在區域網路連線（無直接連網）啟用 ICF，會干擾區網通訊
• 若網路已有防火牆或 Proxy 伺服器，應關閉 ICF