二、場景一：入站例外——安全開放 FTP 服務

需求

本機開啟 FTP 服務（TCP 21），需允許外部連入，其餘入站維持封鎖。

操作步驟

1. 右鍵 輸入規則 → 新增規則。
2. 規則類型：**連接埠** → 下一步。
3. 協定：**TCP**，特定本機連接埠：**21** → 下一步。
4. 動作：**允許連線** → 下一步。
5. 設定檔：全選（或僅標準設定檔） → 下一步。
6. 名稱：Allow FTP Inbound，描述：允許 TCP 21 入站連線供 FTP 服務 → 完成。

限制：無法針對特定多個設定檔勾選（只能全選或單選），彈性稍遜。

三、場景二：出站例外——封鎖 IE 存取特定網站

需求

禁止 IE 存取特定惡意/非業務網站（IP/網段），驗證出站過濾能力。

操作步驟

1. 右鍵 輸出規則 → 新增規則。
2. 規則類型：**自訂** → 下一步 → 命名 Block IE to BadSite。
3. 關閉精靈，右鍵新規則 → 內容。
4. 程式頁籤：這個程式路徑 → 瀏覽選擇 C:\Program Files\Internet Explorer\iexplore.exe。
5. 動作頁籤：封鎖連線。
6. 範圍頁籤：遠端 IP 位址 → 自訂 → 新增 → 輸入目標 IP/網段（如 203.0.113.0/24） → 確定。

測試：IE 無法存取目標站點，其他瀏覽器/程式不受影響。驗證出站過濾程式感知 + IP 精準封鎖能力達標。

四、功能缺口與改進期許

• UI 整合度不足：進階功能分散在 secpol.msc（本地原則）與 wf.msc（防火牆獨立單元），未整合於控制台「Windows 防火牆」圖形介面，一般用戶難以發現。
• 規則管理擴充性：缺乏群組式規則管理、標籤分類、匯入匯出範本。
• 日誌與告警：預設日誌路徑 %windir%\system32\LogFiles\Firewall\pfirewall.log，格式單一，無內建儀表板/告警。
• 自動化介面：支援 Netsh advfirewall、PowerShell Cmdlet（New-NetFirewallRule），適合腳本化部署。

五、企業級部署建議

1. GPO 統一下發：網域環境透過群組原則（Computer Configuration → Policies → Windows Settings → Security Settings → Windows Firewall with Advanced Security）集中管理規則集。
2. 基線規則集：參考 Microsoft Security Baseline、CIS Benchmarks 制定企業標準規則包。
3. 出站管控策略：預設拒絕出站，僅允許經審核的業務程式/目的地/埠口（零信任網路微隔離雛形）。
4. 日誌集中收集：配置事件轉發至 SIEM/Log Analytics，關聯分析異常連線。
5. 定期審計：每季檢視規則有效性、清理殘留測試規則、驗證例外業務必要性。

結語

Vista 防火牆（WFAS）是 Windows 內建防火牆的里程碑式升級，出站過濾與連線安全規則填補了長達十年的功能空白。雖 UI 整合度待提升，但核心引擎已具備企業級防禦能力。配合 GPO、PowerShell 自動化與 SIEM 聯動，可構建低成本、高覆蓋的主機級纵深防禦體系。對無法採購協力廠商 EDR 的中小企業，WFAS 是不可忽視的安全資產。