Windows XP SP2 內建防火牆完整設定指南

Windows XP Service Pack 2 引入的 Windows 防火牆 取代了舊版的網際網路連線防火牆 (ICF)，預設在所有網路介面啟用，無論全新安裝或升級安裝，都能即時提供基礎網路防護。然而，嚴格的預設規則可能導致部分應用程式無法正常運作，需透過例外設定或群組原則進行微調。

使用者介面與核心功能

防火牆設定可從三個入口進入：

• 控制台 → 安全性中心 → Windows 防火牆
• 控制台 → Windows 防火牆
• 網路連線 → 屬性 → 進階 → Windows 防火牆設定

一般索引標籤：三種運作模式

• 啟用 (建議)：預設模式，允許例外清單中的程式/通訊埠通過。
• 不允許例外：封鎖所有未經請求的連入連線，包含例外清單內的項目、檔案與印表機共享、網路裝置探索。適合旅館、機場等公共網路環境。即使啟用此模式，一般網頁瀏覽、收發郵件、即時通訊仍正常運作。
• 關閉 (不建議)：完全停用防火牆，僅供測試或特殊排錯使用。

例外索引標籤：精細控制連入規則

可新增「程式」或「通訊埠」例外，並為每個例外設定 範圍：

• 任何電腦：全開放（風險最高）。
• 我的網路 (子網路)：僅允許同一區域網路 IP 存取（家用/SOHO 推薦）。
• 自訂清單：手動指定允許的 IP 位址或 CIDR 區段，實現最小權限原則。

若不確定某程式使用的通訊埠，可直接用「新增程式」按鈕將可執行檔加入例外，系統自動偵測所需埠號。

進階索引標籤：介面級規則與安全性記錄

• 網路連線設定：可為每張網卡獨立啟用/停用防火牆、設定不同例外與記錄選項。
• 安全性記錄：記錄被丟棄的封包、成功的連線，支援自訂記錄檔路徑、大小上限，是事後稽核與入侵偵測的關鍵依據。
• ICMP 設定：控制是否回應 Ping、目的地無法到達等 ICMP 訊息，防止網路探測洩露主機資訊。
• 預設值還原：一鍵恢復所有設定為 SP2 出廠預設。

「合成設定」= 一般/例外索引標籤的全域規則 + 進階索引標籤各介面的個別規則，最終生效規則為兩者交集。

企業部署：群組原則集中管理

網域環境下，管理員可透過群組原則統一佈署防火牆設定：

電腦設定 → 系統管理範本 → 網路 → 網路連線 → Windows 防火牆
├─ 網域設定檔 (Domain Profile)
└─ 標準設定檔 (Standard Profile)

XP SP2 預設封鎖所有連入連線，導致伺服器主動推送的應用 (如軟體部署、遠端管理) 失效。解決方案：啟用 「Windows 防火牆：允許經驗證的 IPSEC 旁路」 原則，指定受信任的伺服器透過 IPsec 驗證後可主動發起連入連線，兼顧安全與管理性。

命令列工具：Netsh 快速腳本化

在命令提示字元輸入 netsh firewall 進入防火牆操作環境，支援完整腳本化操作：

範例：netsh firewall set opmode mode=enable 啟用防火牆；netsh firewall add portopening TCP 3389 "Remote Desktop" 開放 RDP 埠。

安全性警示對話框與疑難排解

當本機程式嘗試作為伺服器接聽網路時，防火牆會彈出警示，允許使用者將該程式加入例外。若加入例外後仍無法運作，建議依序排查：

1. 確認程式路徑正確，重新加入例外；
2. 改用「新增通訊埠」精確開放所需 TCP/UDP 埠；
3. 啟用安全性記錄，分析被丟棄的封包來源/目的地/埠號；
4. 最後手段：暫時停用防火牆驗證是否為防火牆導致 (測試後務必重新啟用)。

善用 Windows 防火牆的分層防護與記錄功能，即可在不安裝第三方軟體的前提下，為 XP 系統建立符合企業級標準的主機防護基線。