Windows 7 防火牆經過多版本迭代，已成熟為合格的個人主機防火牆。外觀簡潔，功能卻不遜第三方產品。本文涵蓋啟動、修復、分網絡配置、程式例外、進階入站/出站規則全流程。

一、全新啟動與一鍵修復

• 啟動：控制台 → 系統和安全 → Windows 防火牆 → 左側「高級設置」。
• 一鍵還原：左側「還原預設設置」，將所有規則重置為出廠狀態，解決因誤配置導致的網絡不通、應用異常。

二、分網絡環境自定義安全規則（核心亮點）

點擊主界面左側「開啟或關閉 Windows 防火牆」，可分別針對家庭/工作 (專用) 網絡與公用網絡設置不同策略：

切換網絡位置：網絡和共享中心 → 點擊網絡圖標下方「家庭/工作/公用」鏈接切換。

三、程式例外：精準放行而非全開

1. 主界面左側「允許程式或功能通過 Windows 防火牆」。
2. 列表勾選需放行程式（分專用/公用兩欄）。
3. 列表無目標程式 → 「允許另一個程式」→「瀏覽」選擇可執行文件（如遊戲主程式）。

原則：僅放行必要程式、必要網絡類型，拒絕「全開」。

四、進階安全規則：入站/出站/連接安全規則

打開「高級設置」→ 左側「入站規則」/「出站規則」/「連接安全規則」。

新建入站規則範例：禁止迅雷自動升級 (ThunderLiveUD.exe)

1. 右鍵「入站規則」→「新建規則」。
2. 規則類型選「程式」，瀏覽選擇 ThunderLiveUD.exe。
3. 動作選「阻止連接」。
4. 配置文件：勾選「域」、「專用」、「公用」（全環境生效）。
5. 命名「Block ThunderLiveUD AutoUpdate」完成。

同理可建立出站規則阻止可疑程式外連（如遙測上傳、木馬反彈），連接安全規則強制 IPSec 加密特定服務通信。

五、連接安全規則：強制加密關鍵服務通信

• 適用場景：內網域控同步、資料庫複制、管理遠程桌面 (RDP) 等敏感流量。
• 新建規則 → 類型「隧道」或「自定義」 → 要求雙向驗證 + 加密（ESP/AH + AES）。
• 需雙端同步配置，配合組策略下發。

六、最佳實踐清單

• [ ] 專用/公用網絡分策略啟用防火牆。
• [ ] 公用網絡勾選「阻止所有傳入連接」。
• [ ] 程式例外最小化，定期審查移除不用項目。
• [ ] 關鍵服務建立「僅允許安全連接」入站規則（IPSec）。
• [ ] 可疑程式建立「阻止連接」出站規則。
• [ ] 導出防火牆策略（netsh advfirewall export）備份/部署他機。
• [ ] 定期查看「監視」→「防火牆日誌」（預設 %systemroot%\system32\LogFiles\Firewall\pfirewall.log），分析被阻連接。

Windows 7 防火牆功能完備、整合度高、零成本。善用「分網絡策略 + 精準例外 + 進階規則」，足以應對絕大多數主機層面網絡威脅。