伺服器軟體、P2P 下載、遊戲、遠端桌面等需要接受外部連線的程式，必須在 Windows 防火牆建立「允許的程式」例外規則。Windows 7 提供圖形介面與命令列兩種方式，本文以 GUI 為主。

圖形介面設定

1. 「控制台」＞「Windows 防火牆」。

2. 左側點選「允許程式或功能通過 Windows 防火牆」。

3. 點擊「變更設定」（需管理員權限），列表解鎖。勾選目標程式前的核取方塊，並選擇網路類型：
   • 家庭/公司 (私人)：信任區域，允許較寬鬆。
   • 公用：咖啡廳、機場等不信任網路，建議僅開必要埠。

4. 若清單無目標程式，點擊「允許其他程式」。

5. 在「瀏覽」選擇程式執行檔（.exe），點擊「新增」＞「確定」。

命令列快速建立（進階）

netsh advfirewall firewall add rule name="MyApp" dir=in action=allow program="C:\Path\MyApp.exe" enable=yes profile=private,domain

• `dir=in`：輸入規則（`out` 為輸出）。
• `profile=private,domain,public`：套用網路設定檔。
• 更多參數見 `netsh advfirewall firewall add rule ?`。

最佳實踐

• 最小權限原則：僅開啟必要埠/程式，優先選「私人/網域」而非「公用」。
• 範圍限制：進階安全性防火牆中可設定「遠端 IP 位址」僅允許特定 IP/網段存取。
• 定期稽核：匯出防火牆原則 `netsh advfirewall export fw.wfw` 版本控管。