Windows 內建防火牆歷經三代演進，從 XP 的「僅擋入站」簡易模式，到 Vista 引入 WFP (Windows Filtering Platform) 雙向過濾，再到 Windows 7 針對行動裝置優化、引入**多重作用防火牆設定檔**，完成了從「被動防禦」到「情境感知防禦」的蛻變。

三代演進脈絡

版本	核心架構	關鍵能力	管理介面
Windows XP (SP1 前)	ICF (Internet Connection Firewall)	僅阻擋未主動發起的入站連線，預設關閉	控制台簡易頁面
Windows XP SP2 / SP3	Windows Firewall (舊核心)	預設開啟、支援例外清單、可透過群組原則 (GPO) 管理	控制台 + GPO
Windows Vista	WFP (Windows Filtering Platform) 全新核心	**雙向過濾** (出站/入站)、IPSec 整合、進階安全 MMC 嵌入式管理單元	控制台基礎 + wf.msc 進階
Windows 7 / Server 2008 R2	WFP 精進版	多重作用防火牆設定檔 (域/專用/公用)、家庭群組整合、控制台整合進階設定、更細緻通知	控制台 (含進階設定) + wf.msc + PowerShell + GPO

Windows 7 三大網路位置類型與預設行為

網路位置	適用場景	網路探索	家庭群組	預設入站規則
家庭網路	受信任家庭/小型辦公室	開啟	可建立/加入	阻擋非白名單應用程式
公司網路	企業域環境	開啟	不可建立/加入	阻擋非白名單應用程式
公用網路	機場、咖啡廳、旅館 Wi-Fi、行動寬頻	關閉	不可建立/加入	阻擋所有非白名單入站

**域網路**：電腦加入 AD 域並通過 DC 驗證時，防火牆自動識別為「網域網路」，套用域群組原則部署的規則，優先級最高。

進階安全設定 (wf.msc) 核心功能

• 輸出/入站規則：依程式路徑、通訊埠、通訊協定、IP 範圍、使用者/群組、ICMP 類型、邊緣周遊等多維度定義允許/阻擋。
• 連線安全規則 (IPSec)：強制驗證/加密特定主機間通訊 (如伺服器叢集、管理流量)。
• 監視節點：即時查看作用中規則、連線安全關聯、記錄的封包丟棄/允許事件。
• 匯入/匯出原則：將完整規則集匯出為 .wfw 檔，跨機器部署或版本控管。

行動裝置優化亮點

• **網路位置感知 (NLA) 服務** 自動偵測網路類型 (網域/專用/公用)，零設定切換設定檔。
• **位置感知列印**：依網路位置自動顯示/隱藏印表機。
• **DirectAccess / VPN 重新連線** 整合：防火牆規則自動配合通道建立/拆除動態調整。

管理員實務建議

1. **基線規則**：透過 GPO 部署公司標準規則集 (阻擋非必要輸出、限制 RDP 來源 IP、啟用核心服務輸出)。
2. **記錄審計**：啟用「記錄捨棄的封包」與「記錄成功的連線」，定期匯出分析異常流量。
3. **例外最小化**：應用程式例外僅開啟必要埠口與範圍，避免「全開」規則。
4. **定期演練**：模擬勒索軟體橫向移動，驗證輸出阻擋規則有效性。

Windows 7 防火牆已具備企業級宿主入侵防護 (HIPS) 雛形，善用「多重設定檔 + 進階安全 + GPO 自動化」，即可低成本構建纵深防禦第一線。