Windows 首次連接網絡時強制要求選擇「網絡位置類型」，這不僅是標籤，更直接決定防火牆規則集、網路發現、檔案共享、家庭群組等核心網絡行為。理解四種類型的差異與安全邊界，是端點安全基線配置的必修課。

四大網絡位置類型對比

類型	適用場景	網路發現	檔案/印表機共享	家庭群組	防火牆預設行為	可手動切換
專用 (家庭/工作)	家庭、受信任辦公室	開啟	開啟	可加入/建立	允許入站連線 (核心服務)	是
公用	咖啡廳、機場、酒店、直連 Internet	關閉	關閉	不可用	阻擋幾乎所有非請求入站連線	是
網域	加入 Active Directory 域的企業電腦	由 GPO 控制	由 GPO 控制	不適用 (用域控)	由域控策略分發	否 (域控強制)

深度剖析：安全機制差異

1. 專用網絡 (Private/Home/Work)

• 防火牆規則組：啟用「網路發現」(LLMNR、mDNS、SSDP、UPnP)、檔案與印表機共享 (SMB/TCP 445, 139)、遠端管理 (RPC/WMI/ICMP)。
• 風險：若在不可信環境 (如公共 Wi-Fi) 誤選專用，設備將對區域網內所有人可見，SMB 埠暴露易遭永恆之藍類漏洞利用。
• 家庭群組 (已棄用 Win10 1803+)：歷史產物，現建議用 OneDrive/SharePoint/NAS 替代。

2. 公用網絡

• 最高防禦姿態：Windows 防火牆載入「公用」設定檔，默認拒絕所有未主動請求的入站連線 (含 ICMP Ping、SMB、RDP)。
• 例外處理：應用程式 (如遠端桌面、P2P 軟體) 彈窗請求「允許通過防火牆」時，僅對當前網絡位置類型生效。若在公用網絡解除攔截，同類型所有網絡均生效——極易誤開後門。
• 最佳實踐：不確定環境一律選「公用」；需開放服務時，改為專用並配合「僅限特定 IP/子網」的防火牆規則。

3. 網域網絡

• 僅當電腦成功加入 AD 域且能連線域控制器時自動識別。
• 所有防火牆、網路發現、共享策略由群組策略 (GPO) 下發，本地管理員無法覆蓋 (除非封鎖繼承)。
• 域內機器互信，Kerberos 單點登入，無需逐台輸入憑證。

如何查看與修改當前網絡位置

圖形介面 (Win10/11)

1. Win + I → 「網路和網際網路」→ 「以太網」/「Wi-Fi」→ 點擊已連線網絡名稱。
2. 在「網絡設定檔類型」下拉選單選擇「公用」或「專用」。

PowerShell (腳本化/批次)

# 查看當前網卡網絡類別
Get-NetConnectionProfile | Format-Table Name, NetworkCategory, InterfaceAlias

# 修改指定介面為專用 (Private)
Set-NetConnectionProfile -InterfaceAlias "Ethernet0" -NetworkCategory Private

# 修改為公用
Set-NetConnectionProfile -InterfaceAlias "Wi-Fi" -NetworkCategory Public

企業級部署建議

• GPO 強制鎖定：「電腦配置 → 管理範本 → 網路 → 網路連線 → Windows 防火牆 → 域/專用/公用設定檔」統一管控。
• NLA (網絡位置感知) 優化：部署 NLS (網絡位置伺服器) 讓域機器快速識別企業網絡，避免誤判為公用導致群組策略無法應用。
• 零信任架構下：即使專用網絡，也不應默認信任；部署微隔離、裝置健康證明 (Health Attestation)、條件式存取。

常見誤區

• ❌ 「家庭網絡比工作網絡更安全」→ 兩者防火牆預設規則相同，僅圖示/術語不同 (Win7 區分 Home/Work，Win8+ 合併為 Private)。
• ❌ 「公用網絡完全不通」→ 出站連線不受影響；僅入站被阻。瀏覽網頁、發郵件、看視頻完全正常。
• ❌ 「切換類型需重啟」→ 即時生效，防火牆規則集熱切換。

正確選擇網絡位置，是零成本、高收益的端點安全基線動作。下次彈窗詢問時，請三思：這裡是我能信任的區域網嗎？