Windows 防火牆雖提供基礎防護，但在國內環境下常與第三方安全軟件 (360、火綜、騰訊電腦管家) 衝突，導致網絡延遲、應用阻攔、藍屏。本文說明**何時建議關閉**、**標準關閉步驟**、**替代防護方案**。

何時建議關閉 Windows 防火牆

• 已安裝**功能完整的第三方安全套件** (含防火牆、HIPS、流量監控)，如 360 總裁版、火綜、Comodo、ESET 等。
• 服務器部署在**硬件防火牆/雲安全組**後方，邊界已做訪問控制。
• 排查網絡連通性故障時，需暫時排除防火牆干擾。
• 運行特定老舊應用/工控軟件，與 Windows 防火牆不兼容且無法配置例外。

標準關閉步驟 (圖解)

1. 控制面板 → 系統和安全 → Windows 防火牆
   
2. 左側「打開或關閉 Windows 防火牆」
   
3. 專用網絡/公用網絡均選「關閉 Windows 防火牆 (不推薦)」，確定

命令行快速關閉/開啟 (適合腳本/遠程)

# 關閉所有配置文件
netsh advfirewall set allprofiles state off

# 開啟
netsh advfirewall set allprofiles state on

# 查看狀態
netsh advfirewall show allprofiles

替代防護方案 (擇一啟用)

方案	優點	缺點
第三方安全套件防火牆	界面友好、規則可視化、集成 HIPS/行為分析	佔用資源較大、可能捆綁推廣
Windows 防火牆進階安全 (WFAS)	原生、輕量、GPO 統一管理、支持 IPSec	配置界面專業、無應用層感知
雲安全組/硬件防火牆	邊界攔截、不佔用主機資源、集中策略	無法防禦主機內部橫向移動
TinyWall / Windows Firewall Control	極輕量、增強原生防火牆易用性、免費	需手動維護規則

關閉後必做：建立基線規則 (若保留原生防火牆)

# 僅允許必要入站
netsh advfirewall firewall add rule name="Allow SSH" dir=in action=allow protocol=TCP localport=22
netsh advfirewall firewall add rule name="Allow HTTP" dir=in action=allow protocol=TCP localport=80
netsh advfirewall firewall add rule name="Allow HTTPS" dir=in action=allow protocol=TCP localport=443
# 其餘默認阻擋入站，允許出站

**結論**：不盲目關閉，不盲目開啟。**「邊界防火牆 + 主機原生防火牆精細規則 + 端點 EDR」** 才是纵深防禦正解。若確需關閉，請確保已部署替代防護並記錄變更。