Windows XP SP2 引入的「Windows 防火牆」取代 ICF，帶來啟動期保護、IPv6 支持、應用程序級例外、組策略集中管理等里程碑級改進。本文從新特性、安全警報、三大選項卡配置、組策略部署四個維度，助你將其打造為企業級終端防護基線。

核心新特性：解決啟動期暴露、應用感知、IPv6就緒

• 啟動期策略：系統啟動早期加載極簡規則集，僅允許 DHCP/DNS/啟動關鍵服務通信，防火牆服務完全啟動前系統不「裸奔」。
• 應用程序級例外：突破 ICF 僅能按端口放行的限制，直接指定 .exe 路徑（如 C:\Program Files\Messenger\msmsgs.exe），動態匹配進程身份，更精準。
• IPv6 原生支持：同步過濾 IPv4/IPv6 流量，應對雙棧環境。
• 組策略全面托管：域環境下「域配置文件」生效，工作組/離線時「標準配置文件」生效，實現「一次配置、全網生效」。

安全警報機制：首次監聽即提示，決策權還給用戶/管理員

應用程序首次作為服務端監聽端口時，彈出「Windows 安全警報」對話框：

• 解除阻止：自動在「例外」列表添加該程序，允許入站連接。
• 繼續阻止：保持攔截，不創建例外。
• 管理員介入：組策略可設定「禁止用戶創建例外」或「禁止顯示通知」，強制由IT審批統一下發。

三大選項卡精細配置圖解

1. 常規：全局開關與「高危模式」

• 啟用 (推薦)：默認狀態，例外列表生效。
• 關閉 (不推薦)：完全關閉防火牆，僅排查兼容性問題時臨時使用。
• 不允許例外 (勾選)：「高危模式」—— 忽略例外列表，阻斷所有未經主動發起的入站連接，含文件共享、網絡發現、UPnP。適用：咖啡廳、機場、酒店公共 Wi-Fi 環境。

2. 例外：應用與端口的精細放行清單

• 添加程序：瀏覽選擇 .exe，自動解析其監聽端口（TCP/UDP均覆蓋），適合不知端口的應用。
• 添加端口：指定端口號、協議（TCP/UDP）、名稱，適合標準服務（如遠程管理 3389、自建 Web 8080）。
• 變更範圍（關鍵）：本地子網（推薦，僅信任同廣播域）、自定義列表（指定信任 IP/CIDR）、任何電腦（等同全網開放，極度不推薦）。
• 服務示例：文件和打印機共享（僅本地子網）、遠程桌面（僅管理員跳板機 IP）、SQL Server（僅應用服務器 IP 段）。

3. 高級：日志、ICMP、接口綁定、重置

分頁	關鍵設置	建議值
網絡連接設置	選擇防火牆綁定的接口	全部勾選（含VPN虛擬網卡），或按需排除管理專用接口
安全日志	記錄丟棄/成功的連接、日志路徑、最大體積	啟用「記錄丟棄的封包」、路徑 %windir%\pfirewall.log、大小 16-64MB
ICMP 設置	允許入站 ICMP 類型	僅啟用「允許傳入回顯請求」(Ping)、「允許傳入不可達」、「允許傳入超時」；禁用重定向、掩碼請求等
還原默認值	一鍵回滾至出廠狀態	配置錯亂時使用，慎用

組策略集中管控：域環境的「定海神針」

gpedit.msc / gpmc.msc
電腦配置 → 管理範本 → 網絡 → 網絡連接 → Windows Firewall
├── 域配置文件 (域環境生效)
│   ├── Windows Firewall: Protect all network connections (啟用)
│   ├── Windows Firewall: Do not allow exceptions (禁用/視高危策略啟用)
│   ├── Windows Firewall: Allow local port exceptions (啟用，配合授權端口列表)
│   └── Windows Firewall: Define program exceptions (授權程序列表，含路徑/範圍)
└── 標準配置文件 (工作組/離線生效)
    └── 同域配置，建議同步或更嚴格

命令行利器：netsh firewall / netsh advfirewall

• 查看狀態：netsh firewall show state / netsh advfirewall show allprofiles
• 導出策略：netsh advfirewall export "C:\FW_Policy.wfw"
• 導入策略：netsh advfirewall import "C:\FW_Policy.wfw"
• 批量腳本化：配合 for 循環、PowerShell 實現跨機器統一配置。

已知短板與補充建議

• 無出站過濾：無法阻止惡意軟體主動外連 C2、竊取數據。補充：部署具備出站控制的第三方 EDR/XDR Agent，或升級至 Win7+ 使用 netsh advfirewall 出站規則。
• 無應用控制/HIPS：無法攔截進程注入、DLL劫持、腳本惡意行為。補充：AppLocker (Win7 Ent/Ult+)、WDAC、第三方 HIPS。
• 無集中日志分析：本地日志難以關聯分析。補充：Windows Event Forwarding (WEF) → SIEM (Splunk/ELK/Azure Sentinel)。

XP SP2 防火牆在當年是里程碑，今日視角下屬於「基礎入站屏障」。現代終端防護請升級至 Windows 10/11 + Defender for Endpoint / 第三方 EDR，並納入零信任架構統一管控。