前言

Windows XP 內建的 Internet 連線防火牆 (ICF) 預設封鎖 ICMP 回應，導致 ping、tracert、pathping 等網路診斷工具失效。本文說明如何透過 GUI 啟用所需 ICMP 類型。

操作步驟

1. 點選「開始」→「控制台」。
2. 雙擊「網路和網際網路連線」→「網路連線」。
3. 右鍵需啟用 ICF 的連線（如「區域連線」或「ADSL 撥號連線」）→「內容」。
4. 切換至「進階」頁籤，點選「設定」。
5. 在「進階設定」視窗選擇「ICMP」頁籤，點選「設定」。
6. 勾選所需 ICMP 類型（見下表），點選「確定」層層返回。

ICMP 類型功能對照表

ICMP 選項	訊息類型	主要用途	建議
允許傳入回應請求	Type 8 (Echo Request)	ping 連通性測試、遊戲伺服器延遲偵測	建議啟用（內網/受信環境）
允許傳入時間戳請求	Type 13/14	網路時間同步（極少用）	一般關閉
允許傳入子網遮罩請求	Type 17/18	開機時請求本地子網遮罩（DHCP 環境罕用）	一般關閉
允許傳入路由器請求	Type 10	請求路由器通告，協助同網段設備發現閘道	路由器環境可啟用
允許傳出目的不可達	Type 3 (Code 0-5,13)	回應網路/主機/協定/埠/片段/源路由不可達	建議啟用（利於路徑 MTU 發現）
允許傳出來源抑制	Type 4	擁塞控制，要求發送端降低速率（現代 TCP 已棄用）	一般關閉
允許傳出參數問題	Type 12	IP 標頭參數錯誤回報	建議啟用（診斷用）
允許傳出時間超過	Type 11	tracert/traceroute 依賴 TTL 逾時回報	建議啟用（啟用路由追蹤）
允許重新導向	Type 5	路由器建議更佳路徑（安全風險：可被利用重導向攻擊）	建議關閉

命令列替代方案

# 啟用 Ping 回應 (Type 8)
netsh firewall set icmpsetting 8 ENABLE

# 停用 Ping 回應
netsh firewall set icmpsetting 8 DISABLE

# 啟用 Traceroute 所需 Time Exceeded (Type 11)
netsh firewall set icmpsetting 11 ENABLE

安全性考量

• 對外介面（公網 IP）建議**僅啟用 Type 8 (Echo Reply) 與 Type 11 (Time Exceeded)**，其餘關閉。
• 內網介面可視管理需求啟用更多類型。
• ICMP 重導向 (Type 5) 歷來被用於中間人攻擊，**務必關閉**。

結語

精細控制 ICMP 類型而非全開/全關，能在保有網路診斷能力的同時，最小化資訊洩露與攻擊面。Windows XP ICF 雖簡易，仍提供足夠粒度的 ICMP 過濾選項，善用之。