Windows Server 2008 引入「網路中心」集中管理網路設定，核心在於網路位置分類，自動套用對應的防火牆規則與共用設定。正確選擇網路位置是伺服器安全基線的第一步。
三種網路位置類型與預設行為
| 網路位置 |
適用情境 |
網路探索 |
檔案/印表機共用 |
防火牆預設策略 |
| 家庭 |
家庭或受信任的小型辦公室網路 |
開啟 |
開啟 |
允許輸入連線（較寬鬆） |
| 公司 |
企業內部網路（已加入網域） |
開啟 |
開啟 |
依群組原則/域隔離策略 |
| 公用 |
咖啡廳、機場、旅館等公共熱點 |
關閉 |
關閉 |
封鎖大多數輸入連線（最嚴格） |
如何選擇與變更網路位置
- 開啟 網路和共用中心（控制台或右下角網路圖示右鍵）。
- 點選目前網路連線下方的 網路位置 連結（顯示為「家庭網路」、「公司網路」或「公用網路」）。
- 在「設定網路位置」對話方塊中選擇適當類型。
- 已加入網域的電腦 會自動偵測並設為「公司網路」，通常無法手動變更（由網域群組原則控制）。
Windows 防火牆與網路位置的互動
- 每個網路位置擁有獨立的防火牆規則集（輸入/輸出規則）。
- 當您在「公用」位置解除封鎖某程式（如允許遠端桌面），該規則會套用到所有「公用」網路介面。
- 若頻繁在公用網路解除封鎖多個程式，建議改設為「家庭」或「公司」位置（前提是信任該網路），並配合進階防火牆建立精確規則。
- 建立程式例外 比開啟連接埠更安全：例外僅在程式執行時開放通訊；開啟連接埠則持續開放，增加攻擊面。
伺服器環境最佳實務建議
- 生產伺服器預設選「公用」：若伺服器直接暴露於網際網路或不受信任網段，選擇「公用」並僅開放必要服務連接埠（如 80/443、特定管理埠）。
- 內網域控制站/成員伺服器選「公司」：自動套用網域隔離 IPsec 原則，啟用網路探索以利管理。
- 勿在伺服器啟用「檔案及印表機共用」：除非為檔案伺服器角色，否則關閉以減少攻擊面。
- 使用進階安全性 Windows 防火牆 (WF.msc)：建立精確的輸入/輸出規則，限制來源/目的地 IP、通訊協定、連接埠、使用者/電腦群組。
- 記錄被封鎖的連線：啟用防火牆記錄，定期審計異常存取嘗試。
常見問題
- Q: 為什麼我無法變更網路位置？
- A: 已加入網域的電腦由網域控制站透過群組原則強制設定為「公司網路」，本機無法覆寫。請洽網域管理員調整 GPO。
- Q: 切換網路位置後，原本的防火牆規則會消失嗎？
- A: 不會。規則綁定於設定檔（域/私人/公用），切換位置只是切換作用中的設定檔，規則仍保留在各自設定檔中。
- Q: 伺服器有多張網卡，如何分別設定？
- A: 每張網卡獨立識別網路位置。可在「網路和共用中心」針對各連線分別設定。建議管理網卡設為「公司」，服務對外網卡設為「公用」。