防火牆預設規則往往過於寬鬆或過於嚴格，無法滿足特定環境需求。本文分享網路防火牆規則調校的實務經驗，涵蓋功能設定、ICMP 類型過濾、安全等級選擇與日誌記錄策略，助您建立兼顧安全與可用性的防護基線。
功能設定：啟動模式與安全等級
啟動模式選擇
- 固定 IP/伺服器主機：建議設為「隨系統自動啟動」，確保開機即受保護。
- 撥號/行動裝置：可採「撥號成功後觸發啟動」腳本，或手動控制。
安全等級建議
| 環境類型 | 建議等級 | 理由 |
|---|
| 固定 IP 企業內網/伺服器 | 中高 | IP 不易變動，需更嚴格防禦掃描與暴力破解。 |
| 動態 IP 家用/筆電 | 中低 | IP 頻繁變化，攻擊者難持續鎖定，過高等級易誤攔正常服務。 |
| 高風險公開 Wi-Fi | 高 | 啟用嚴格輸出管制，僅允許白名單程式聯網。 |
避免直接選「最高」等級卻未配合規則微調，會導致線上影音、VoIP、P2P 等正常應用中斷。
規則設定核心原則
ICMP 過濾策略
ICMP 封包常被用於主機探測（Ping）、路徑追蹤，也可能被濫用為 ICMP Flood 攻擊。建議：
- 封鎖 ICMP 類型 0/8 (Echo Reply/Request)：防止 Ping 掃描確認主機存活。
- 允許 ICMP 類型 3 (Destination Unreachable)、11 (Time Exceeded)：維持路由錯誤回報與 MTU 路徑探索正常運作。
- 其餘類型預設拒絕：減少攻擊面。
若擔心 ICMP 漏洞（如 Ping of Death），優先修補系統補丁，而非全盤封鎖 ICMP 導致網路診斷失效。
反木馬/駭客規則維護
- 預設規則庫僅涵蓋已知常見威脅，新型木馬、零時差漏洞需自行補充。
- 訂閱威脅情報來源（如 AbuseIPDB、AlienVault OTX），定期匯入惡意 IP 清單至封鎖規則。
- 針對高風險埠（TCP 135/139/445/3389/4444、UDP 137/138/1434）實施「僅信任子網存取」規則。
日誌與稽核機制
- 啟用防火牆日誌：
wf.msc → 右鍵根節點 → 內容 → 自訂 → 勾選「記錄已捨棄的封包」與「記錄成功的連線」。
- 設定日誌路徑與大小上限（建議 ≥ 10 MB），避免覆寫關鍵紀錄。
- 定期匯出日誌至 SIEM 或集中日誌伺服器，配合關鍵字告警（如大量連線被拒、特定埠掃描特徵）。
常見誤區提醒
- ❌ 「全部封鎖 ICMP」→ 導致 PMTUD 失效、VPN 斷線、網路診斷盲目。
- ❌ 「只設輸入規則、忽略輸出規則」→ 木馬外連、資料外洩無法偵測。
- ❌ 「規則建立後從不檢視」→ 僵屍規則累積、效能下降、誤判風險上升。
防火牆設定非一次完成，需隨環境變化持續調校。建立「變更申請→測試驗證→上線部署→定期審核」的生命週期管理，才能發揮最大防護效益。