Windows Server 2003 內建 Internet 連線防火牆 (ICF，Internet Connection Firewall)，提供狀態檢測封包過濾功能，無需第三方軟體即可實現基礎主機防護。本文詳細說明 ICF 基礎啟用、連通性測試、進階服務/埠口開放、日誌記錄配置，助您快速建立主機級防禦陣線。

一、基礎啟用 (三步驟)

1. 右鍵「網路芳鄰」→「內容」。
2. 右鍵「區域連線」 (對外介面) →「內容」。
3. 切換「進階」索引標籤 → 勾選 「保護我的電腦和網路... 透過限制或防止從網路存取這台電腦」 (即「Internet 連線防火牆」) →「確定」。

二、基礎功能驗證

1. Ping 測試：另一台機器 ping <伺服器IP> → 應顯示 Request timed out (ICMP Echo Request 被封鎖)。
2. 埠掃描測試：使用 Nmap/SuperScan 掃描伺服器 IP → 應發現 零個開放埠口 (ICF 預設封鎖所有未授權入站連線)。

兩項測試通過，確認 ICF 已生效攔截未請求的入站流量。

三、進階設定：開放業務必要服務/埠口

在「進階」索引標籤點擊「設定」按鈕，進入「進階設定」對話框。

1. 服務頁面：勾選預定義服務

ICF 內建常見服務定義 (含協定、埠、方向)。勾選即開放對應入站流量：

• FTP 伺服器：TCP 21 (控制) + 被動模式資料埠範圍 (需額外配置)。
• Web 伺服器 (HTTP)：TCP 80。
• 安全 Web 伺服器 (HTTPS)：TCP 443。
• 遠端桌面：TCP 3389 (RDP)。
• 郵件伺服器 (SMTP/POP3/IMAP)：TCP 25/110/143。
• DNS 伺服器：TCP/UDP 53。

2. 新增自訂埠口 (預定義無涵蓋時)

點擊「新增」按鈕：
• 服務描述：自訂名稱 (如 MyApp-Port)
• 埠號：8080
• 協定：TCP 或 UDP
• 確定加入清單並勾選啟用。

3. 安全性記錄配置

切換「安全性記錄」索引標籤：

• ✓ 記錄已捨棄的封包 (被防火牆阻擋的嘗試)。
• ✓ 記錄成功的連線 (通過防火牆的連線)。
• 日誌檔路徑：預設 %SystemRoot%\pfirewall.log (可修改)。
• 大小上限：預設 4096 KB，建議調大至 10-50 MB 避免覆寫。

日誌格式為標準文字，可用記事本開啟，欄位包含：日期、時間、動作 (OPEN/DROP/INFO)、協定、來源 IP、目的地 IP、來源埠、目的地埠、方向 (SEND/RECEIVE) 等，便於腳本分析或匯入 SIEM。

四、ICF 限制與補強建議

• 無應用層檢測：ICF 僅作用於網路/傳輸層 (IP/TCP/UDP/ICMP)，無法識別 HTTP SQL Injection、FTP 指令注入等應用層攻擊。
  → 補強：部署 WAF (Web Application Firewall) 或 IIS URLScan/Request Filtering。
• 無出站控制：ICF 僅過濾入站，無法阻擋惡意軟體外連 C&C。
  → 補強：前端防火牆啟用出站規則、主機端部署 HIPS/EDR。
• 無入侵防禦 (IPS)：無特徵碼匹配、異常行為偵測。
  → 補強：部署 Snort/Suricata 感應器或商用 IPS。
• 單機管理：無集中管理主控台，大量伺服器需配合 GPO 推送設定或腳本統一配置。
  → netsh firewall set ... 命令列自動化。
• IPv6 不支援：Win2003 ICF 僅支援 IPv4。

五、生產環境部署檢核清單

1. [ ] 確認對外介面已啟用 ICF。
2. [ ] 僅勾選業務必要服務 (Web/FTP/RDP/郵件/DNS 等)。
3. [ ] 自訂埠口皆有文件記錄 (服務名、埠號、協定、負責人)。
4. [ ] 安全性記錄啟用雙向記錄，路徑指向非系統盤且大小 ≥ 20 MB。
5. [ ] 定期 (每日) 彙總分析 pfirewall.log，關注重複 DROP 來源 IP (掃描/暴力破解特徵)。
6. [ ] 前端網路防火牆/UTM 已同步封鎖已知惡意 IP 情報。
7. [ ] 每季演練「封鎖緊急埠口/啟用緊急服務」變更流程。

Windows Server 2003 ICF 雖屬基礎宿主防火牆，但配合合理的埠口白名單、完整日誌稽核、前端網路防禦層，仍能構成纵深防禦的關鍵一環。對於無法部署第三方代理的舊版系統，ICF 是零成本、零相容性風險的最佳選擇。