Windows XP Service Pack 2 引入全新的「Windows 防火牆」取代舊版 ICF，預設開啟、支援 IPv4/IPv6、提供圖形化管理介面。本文詳細說明三大頁籤 (一般、例外、進階) 所有設定項目與實務建議。
開啟防火牆控制台
- 「開始」→「控制台」→ 經典檢視 → 雙擊「Windows 防火牆」。
- 或「安全中心」→「Windows 防火牆」。
一、 「一般」頁籤
- 啟用 (建議)：開啟防火牆，依例外清單允許通訊。
- 關閉 (不建議)：完全關閉防火牆，電腦裸奔於網路。
- 不允許例外：勾選後**封鎖所有輸入連線**，包含例外清單中的程式/連接埠、檔案與印表機共用、網路裝置探索。**適用場景**：連接公共 Wi-Fi (咖啡廳/機場/飯店)、直接連接公網 IP、遭受攻擊緊急封鎖。日常使用**請勿勾選**。
二、 「例外」頁籤 — 核心管理區
允許特定程式/連接埠接受**輸入連線** (作為伺服器/被動連線)。輸出連線預設允許 (XP 防火牆不預設過濾輸出)。
1. 程式例外
- 點「新增程式」→ 瀏覽選擇 `.exe` (如 `C:\Program Files\Windows Live\Messenger\msnmsgr.exe`) → 確定。
- 適用：不確定程式使用哪些連接埠、或使用動態連接埠的應用 (P2P、VoIP、遊戲)。
2. 連接埠例外
- 點「新增連接埠」→ 名稱 (如 "Remote Desktop")、連接埠號 (3389)、協定 (TCP/UDP) → 確定。
- 適用：明確知道連接埠號、需精確控制 (如開放 80/443 架站、3389 遠端桌面、21 FTP、1433 SQL)。
3. 變更範圍 (Scope) — 關鍵安全設定
- 對每個例外項目點「變更範圍」：
✅ **任何電腦 (含網際網路)** — 高風險，全網可連。
✅ **我的網路 (僅子網路)** — 推薦家用/小型辦公室，僅區域網路可連。
✅ **自訂清單** — 輸入特定 IP/網段 (如 192.168.1.0/255.255.255.0、10.0.0.5)，**最安全**。
三、 「進階」頁籤
1. 網路連線設定
- 勾選要套用防火牆的網路介面卡 (通常全勾選)。
- 點「設定」可針對單一介面卡自訂例外/記錄/ICMP (如：無線網卡啟用「不允許例外」，有線網卡正常)。
2. 安全性記錄 (Log)
- 預設**不記錄**。建議開啟：
☑ 記錄已捨棄的封包 (被阻擋的嘗試)
☑ 記錄成功的連線
☑ 記錄檔路徑：`%windir%\pfirewall.log` (可改)
☑ 最大檔案大小：預設 4 MB (建議 10~50 MB)。
- 日誌格式：日期 時間 動作 協定 來源IP 目的IP 來源Port 目的Port 等，可用 Log Parser/Excel 分析。
3. ICMP 設定
- ICMP 訊息類型控制 (預設全關閉)：**建議僅開啟必要項**
☑ 允許傳入回應要求 (Echo Request / Ping) — 方便網管測試連通性。
☑ 允許傳入逾時 (Time Exceeded) — Traceroute 需要。
☑ 允許傳入參數問題 (Parameter Problem) — 診斷用。
☐ 其他 (重導向、來源抑制、目的地不可達) 保持關閉減少資訊洩露。
4. 還原預設值
- 點「還原預設值」→ 所有設定回復安裝初始狀態 (啟用、無例外、無記錄、ICMP 全關)。**操作不可復原**，謹慎使用。
四、 實務最佳實踐建議
- **預設拒絕輸入，按需開放例外**，並**限制範圍為「我的網路」或自訂 IP 範圍**。
- **啟用日誌**，定期檢視 `pfirewall.log` 發現掃描/暴力破解嘗試。
- **開啟 ICMP Echo Request 回應**，關閉其餘 ICMP。
- **不要勾選「不允許例外」** 除非在高危公共網路。
- **搭配防毒軟體、自動更新、強密碼、最小權限帳號** 構建纵深防禦。
- **XP 終止支援 (2014/4/8)**：強烈建議升級至 Windows 10/11，獲得現代防火牆 (WFAS) 雙向過濾、IPSec、GPO 管理、AppLocker 等完整功能。
熟練掌握 XP 防火牆設定，是理解 Windows 防火牆演進與核心邏輯的基礎，對維護舊系統、學習網路安全極有幫助。