前言：邊界防火牆不夠了
企業通常部署邊界防火牆、IPS、防毒軟體，但「堡壘總是從內部攻破」。內部員工誤操作、惡意下載 P2P 佔用頻寬、內網橫向移動、未授權連接埠開放，邊界設備難以察覺。Windows Server 2008 引入的「進階安全 Windows 防火牆」整合主機防火牆與 IPsec，提供每台主機的本地防護與電腦間連線安全，實現縱深防禦關鍵一環。
核心特色
- 主機級強制執行：在每台執行 Windows Server 2008 的電腦本地運行，不依賴網路拓撲。
- IPsec 整合：支援連線驗證 (Kerberos/憑證/預共用金鑰) 與資料加密/完整性保護。
- 雙向規則：獨立控制輸入/輸出流量，精準封鎖惡意外連 (如 P2P、C&C 回連)。
- 集中管理：透過群組原則 (GPO) 下發規則至整個 OU/網域，適合企業環境 (不適合家用)。
實戰案例：封鎖 P2P 軟體 (迅雷等) 佔用頻寬
P2P 工具常使用 TCP/UDP 3077、3078 等連接埠進行追蹤器通訊與資料傳輸。透過進階防火牆建立輸出封鎖規則即可有效遏制。
操作步驟
- 以系統管理員登入 → 開始 → 系統管理工具 → 伺服器管理員。
- 左側選擇「設定」→ 「進階安全 Windows 防火牆」。
- 右鍵「輸出規則」→ 「新增規則」。
- 規則類型選「連接埠」→ 下一步。
- 選「TCP」並指定「特定遠端連接埠」輸入
3077,3078 (可依實際 P2P 工具增減) → 下一步。
- 動作選「封鎖連線」→ 下一步。
- 設定檔全勾選 (網域、私人、公用) → 下一步。
- 命名：「Block P2P Thunder Ports 3077-3078」→ 完成。
進階：搭配 IPsec 隔離高風險主機
若需更嚴格控制，可建立「連線安全性規則」，要求特定伺服器間通訊必須經 IPsec 驗證/加密，未驗證連線直接丟棄，防止內網橫向移動。
管理建議
- 採用「預設拒絕，按需開放」原則：輸入/輸出預設封鎖，僅開放業務必要連接埠與 IP 範圍。
- 定期匯出防火牆原則 (
netsh advfirewall export) 納入版本控管。
- 啟用防火牆記錄 (記錄丟棄/成功封包)，定期分析異常連線嘗試。
- 搭配「安全性精靈 (SCW)」產生角色型安全性原則，一鍵套用至同角色伺服器。
結語
進階安全 Windows 防火牆是 Windows Server 2008+ 內建、免費且強大的主機級防護工具。善用它封鎖未授權輸出、強制內部服務加密通訊、集中管控千台伺服器規則，能大幅提升整體資安態勢，彌補邊界防禦的盲區。