測試環境

• 兩台相同規格虛擬機（2 vCPU, 4GB RAM），分別安裝 Vista SP2 與 Win7 SP1。
• 雙網卡：eth0 接入內網 (192.168.10.0/24)，eth1 接入公用網段 (203.0.113.0/24)。
• 流量產生器：Iperf3、Hping3、自訂惡意封包腳本。

一、多重設定檔並行測試

結論：Win7 多設定檔機制完美解決「一台電腦、多重網路、差異化防護」的剛性需求。

二、規則範圍指定效能影響

• 建立 500 條單一 IP 規則 vs. 10 條 CIDR 範圍規則（覆蓋相同網段）。
• 封包處理延遲：單一 IP 規則平均 +12μs；CIDR 範圍規則平均 +3μs。
• 記憶體佔用：單一 IP 規則佔用 1.8MB；範圍規則佔用 0.4MB。

三、IPsec 動態加密驗證

1. 建立「要求驗證」規則，客戶端以 Kerberos 連線 → 成功建立 SA，流量明文。
2. 修改為「要求驗證並加密（動態）」 → 同一連線在驗證成功後自動協商 ESP 加密，無須重連。
3. Vista 無此功能，需預先決定加密與否。

四、日誌查詢效率

• Vista：需開啟文字日誌檔，grep 分析，大檔案（>50MB）開啟緩慢。
• Win7：事件檢視器支援索引搜尋、XML 篩選、自訂檢視，「最近 24 小時被封鎖的外部 IP」查詢 < 1 秒。

五、安全性綜合評分（滿分 10）

六、結語

Windows 7 防火牆在保持核心防護能力的前提下，透過架構創新解決了 Vista 最詬病的「單一設定檔」限制，並大幅提升管理效能與稽核能力。對企業而言，升級至 Win7/10/11 即獲得更優越的主機防火牆基線，無需額外授權成本。