Windows XP Service Pack 2 引入的「Windows 防火牆」取代了早期的 ICF（Internet Connection Firewall），成為系統級網絡防護的基石。雖然 XP 已停止支持，但理解其配置邏輯對維護老舊系統、學習防火牆原理仍有參考價值。本文通過圖解詳述 SP2 防火牆的四大配置界面與關鍵設置。

進入防火牆設置入口

1. 控制面板 → 網絡連接
2. 右鍵「本地連接」→「屬性」
3. 切換至「高級」選項卡 → 點擊「設置」按鈕

四大核心配置界面詳解

1. 總體開關與例外模式

• 開啟（推薦）：預設阻擋所有未請求的入站連接
• 關閉：完全禁用防火牆，僅測試環境使用
• 不允許例外：勾選後忽略「例外」列表，拒絕所有入站連接（適合公共 Wi-Fi、咖啡廳等高危環境）

2. 例外設置 — 允許特定程序/端口通信

此處可為受信任的程序或端口「打洞」：

• 程序例外：添加 .exe 完整路徑（如 C:\Program Files\MyApp\app.exe），允許其接收入站連接
• 端口例外：指定協議（TCP/UDP）與端口號（如 TCP 80 Web 服務、UDP 5060 SIP），限定作用範圍（任何/本地子網/自定義 IP 列表）
• 編輯/刪除：動態管理規則，避免長期開放無用端口

警示：非網絡專業人員請勿隨意修改端口例外，錯誤開放高危端口（135/139/445/3389 等）將直接暴露系統攻擊面。

3. 高級設置 — 逐介面卡配置與日誌/ICMP

• 網絡連接設置：為每張網卡獨立啟用/禁用防火牆，針對多網卡場景（如內網/外網雙網卡）差異化防護
• 安全日誌：記錄丟棄/成功的連接嘗試，路徑 %windir%\pfirewall.log，支持最大文件大小限制
• ICMP 設置：控制 Ping、路徑 MTU 發現、重定向等 ICMP 訊息的響應策略，平衡可用性與隱匿性

常見故障與應對

現象	可能原因	排查步驟
文件共享失效	未添加「文件和打印機共享」例外	例外列表勾選該項，或手動開放 TCP 139/445
遠程桌面無法連接	TCP 3389 被阻擋	添加端口例外 TCP 3389，或勾選「遠程桌面」例外
特定應用無法聯網	程序未加入例外	添加程序例外，指定完整路徑
網速變慢/延遲高	日誌記錄過度/規則衝突	關閉日誌、精簡規則、檢查是否多重防火牆並存

最佳實踐建議

1. 默認拒絕，按需放行：保持「開啟」+「不允許例外」為基線，僅為業務必需程序/端口添加例外
2. 區分網絡位置：域/專用/公用環境應用不同策略（XP SP2 僅支持單一配置，Vista+ 引入多配置文件）
3. 定期審核日誌：分析 pfirewall.log 發現異常掃描、暴力破解嘗試
4. 配合軟件防火牆：SP2 防火牆僅做入站過濾，出站控制需第三方軟件（如 ZoneAlarm、Comodo）補齊

歷史定位

XP SP2 防火牆是微軟將安全內建到作業系統的里程碑，雖功能較現代 Windows Defender 防火牆（雙向過濾、IPSec 整合、組策略管理）簡陋，但其「例外機制」設計思想延續至今。對於仍在運行 XP 的嵌入式設備、工控機、隔離網環境，正確配置 SP2 防火牆仍是最後一道防線。

責任編輯：李旭海 | 來源：eNet 網絡學院