Win Vista的防火墻使用技巧10點

　　微軟對Vista中的Windows防火墻做了重大改變，從而增強了安全性，讓高級用戶更容易配置及定制，同時保留了新手用戶所需的簡潔性。

　　一、采用兩種界面來滿足不同需求

　　Vista防火墻有兩種獨立的圖形配置界面:一是基本的配置界面，可以通過“安全中心”和“控制面板”來訪問;二是高級配置界面，用戶在創建自定義的MMC后，可作為插件來訪問。這可以防止新手用戶無意中的改變而導致連接中斷，又為高級用戶對防火墻設置進行更細化地定制以及控制出站和入站流量提供了一種方法。用戶還可以在netshadvfirewall上下文中使用命令，從命令行對Vista防火墻進行配置;也可以編寫腳本，針對一組計算機自動對防火墻進行配置;還可以通過組策略來控制Vista防火墻的設置。

　　二、默認設置下的安全

　　Vista中的Windows防火墻在默認狀態下采用安全配置，同時仍支持最佳易用性。默認狀態下，大多數入站流量被阻擋，出站連接被允許。 Vista防火墻可與Vista的Windows服務加固這項新功能協同工作，所以如果防火墻檢測到被Windows服務加固網絡規則禁止的行為，它就會阻擋該行為。防火墻還完全支持純IPv6的網絡環境。

　　三、基本配置選項

　　利用基本配置界面，用戶可以啟動或者關閉防火墻，或者設置防火墻完全阻擋所有程序;還可以允許有例外情況存在(可以指定不阻擋哪些程序、服務或者端口)，并且指定每種例外情況的范圍(是否適用于來自所有計算機的流量，包括互聯網上的計算機、局域網/子網上的計算機，或者是你指定了IP地址或者子網的計算機);還可以指定希望防火墻保護哪些連接，并且配置安全日志和ICMP設置。

　　四、ICMP消息阻擋

　　默認狀態下，入站ICMP回應請求可以通過防火墻，而其他所有ICMP信息被阻擋在外。這是因為，Ping工具定期用來發送回應請求消息，用于故障診斷。不過，黑客也可以發送回應請求消息來鎖定目標主機。用戶可以通過基本配置界面上的“高級”選項卡，阻擋回應請求消息。

　　五、多個防火墻配置文件

　　附帶高級安全MMC插件的Vista防火墻可以讓用戶在計算機上創建多個防火墻配置文件，那樣就可以針對不同環境使用不同的防火墻配置。這對便攜式計算機來說特別有用。譬如說，當用戶連接到公共無線熱點時，可能需要比連接到家庭網絡時更安全的配置。用戶最多可以創建三個防火墻配置文件:一個用于連接到Windows域、一個用于連接到專用網絡，另一個用于連接到公共網絡。

　　六、IPSec功能

　　通過高級配置界面，用戶可以定制IPSec設置，指定用于加密和完整性的安全方法、確定密鑰的生命周期按時間計算還是按會話計算，并且選擇所需的Diffie-Hellman密鑰交換算法。默認狀態下，IPSec連接的數據加密功能是禁用的，但可以啟用它，并且選擇哪些算法用于數據加密和完整性。

　　七、安全規則

　　通過向導程序，用戶可以逐步創建安全規則，從而控制單臺計算機或者一組計算機之間如何及何時建立安全連接;也可以根據域成員或者安全狀況等標準來限制連接，但允許指定的計算機可以不符合連接驗證要求;還可以創建規則，要求兩臺特定的計算機(服務器到服務器)連接時需要驗證，或者使用隧道規則對網關之間的連接進行驗證。

　　八、自定義的驗證規則

　　在創建自定義的驗證規則時，要指定單臺計算機或者一組計算機(通過IP地址或者地址范圍)成為連接端點。用戶可以請求或者要求對入站連接、出站連接或者兩者進行驗證。

　　九、入站和出站規則

　　用戶可以創建入站和出站規則，從而阻擋或者允許特定程序或者端口進行連接;可以使用預先設置的規則，也可以創建自定義規則，“新建規則向導” 可以幫用戶逐步完成創建規則的步驟;用戶可以將規則應用于一組程序、端口或者服務，也可以將規則應用于所有程序或者某個特定程序;可以阻擋某個軟件進行所有連接、允許所有連接，或者只允許安全連接，并要求使用加密來保護通過該連接發送的數據的安全性;可以為入站和出站流量配置源IP地址及目的地IP地址，同樣還可以為源TCP和UDP端口及目的地TCP和UPD端口配置規則。

　　十、基于活動目錄的規則

　　用戶可以創建規則來阻擋或者允許基于活動目錄用戶、計算機或者組賬戶的連接，只要連接通過帶有Kerberosv5(包含活動目錄賬戶信息)的IPSec來保護安全。用戶還可以使用具有高級安全功能的Windows防火墻，執行網絡訪問保護(NAP)策略。

　　Windows Meeting Space(WMS)是Windows Vista內置的一個新程序，它便于最多10個協作者共享桌面、文件和演示文檔，并通過網絡傳送個人消息給對方。

　　微軟：Vista為Windows安全性奠定基石

　　微軟Windows核心安全小組的高級項目經理Crispin Cowan表示，一直以來，Windows Vista的UAC（用戶帳戶控制）功能使得用戶感到非常地困擾，其頻繁彈出的對話框經常會干擾到用戶的正常工作。后來，我們重新撰寫了UAC功能，使得用戶能夠控制UAC對話框的提示頻率，不過仍然在很大程度上地保障了用戶計算機的安全性。

　　在Windows 7中，微軟在其UAC中添加了滑塊控制功能，使得用戶能夠較好地控制UAC對話框的彈出頻率，為用戶免除了很多的安全隱患，從本質上提升了UAC對危險的辨別和用戶的工作效率。

　　一直以來，Windows的安全性廣受外界用戶的質疑，不斷遭受攻擊者攻擊，而受到威脅最多的就是早在2001年推出的Windows XP，主要原因就是它缺乏當今環境中必備的一些安全機制。

　　Cowan表示，Windows 7的安全性已經得到了很大程度上的提升，與Unix變種諸如Linux之間的差距越來越小。究其原因，主要是因為Windows Vista率先不允許所有用戶帳戶都獲得完整的管理權限，而Windows 7也就順理成章地繼承了Vista的光榮傳統。

　　Cowan指出，雖然Unix是行業中的安全標兵，不過微軟Windows的安全性正向其逐步逼近，并逐步超越。

　　解析Win7系統的防火墻配置

　　Windows XP集成的防火墻常被視為雞肋，但現在的WIN7防火墻強悍的功能也有了點“專業的味道。今天教和大家一起來看看該如何使用WIN7防火墻。

　　與Vista相同的是，可以通過訪問控制面板程序對Windows 7 firewall進行基礎配置。與Vista不同的是，你還可以通過訪問控制面板的方式對其進行高級配置（包括對出站連接過濾器的配置），而不是一定要創 建空白MMC并加入嵌入式管理單元來實現。只是點擊一下左側面板里的高級配置選項。

　　Vista 防火墻允許你去選擇是在公共網格上還是在專用網絡中，而在Windows 7中你有三個選擇－－公用網絡、家庭網絡、辦公網絡。后兩個選項是專用網絡的細化。

　　如果你選擇了“家庭網絡選項，你將可以建立一個“家庭組。在這種環境中，“網路發現會自動啟動，你將可以看到網絡中其它的計算機和設備，同時他 們也將可以看到你的計算機。隸屬于“家庭組的計算機能夠共享圖片、音樂、視頻、文檔庫以及如打印機這樣的硬件設備。如果有你不想共享的文件夾在文檔庫 中，你還可以排除它們。

　　如果你選擇的是“工作網絡，“網路發現同樣會自動啟動，但是你將不能創建或是加入“家庭組。如果你的計算機加入了Windows域（通過控制面 板－－系統和安全－－系統－－高級系統配置－－計算機名 選項卡）并通過DC驗證，那么防火墻將自動識別網絡類型為域環境網絡。

　　而“公用網絡類型是當你在機場、賓館、咖啡館或使用移動寬帶網絡聯通公共wi-fi網絡時的適當選擇，“網路發現將默認關閉，這樣其它網絡中的計 算機就不會發現你的共享而你也將不能創建或加入“家庭組。

　　在全部的網絡模式中，Windows 7 firewall都將在默認情況下攔截任何發送到不屬于白名單中應用程序的連接。Windows 7允許你對不同網絡類型分別配置。

　　多重作用防火墻策略

　　在Vista中，盡管你有公用網絡和私用網絡兩個配置文件，但是只會有一個在指定的時間內起作用。所以如果你的計算機發生要同時連接兩個不同網絡的情 況，那你就要倒霉啦。最嚴格的那條配置文件會被用戶到所有的連接上，這意味著你可能無法在本地（私用）網絡中做你想做的事，因為你是在公用網絡在規則下操 作。而在Windows 7 (和 Server 2008 R2)中，不同網絡適配器上可以使用不同的配置文件。也就是說專用網絡之間的網絡連接受專用網絡規則支配，而與公用網絡之間的流量則應用公用網絡規則。

　　起作用的是那些不顯眼的小事

　　在很多事例中，更好的可用性往往取決于小的改變，MS聽取了用戶的意見并將一些“不顯眼而又起作用小東西加入了Windows 7 firewall之中。比如，在Vista中當你創建防火墻規則時，必須分別列出各個IP地址和端口。而現在你只需要指定一個范圍，這樣一來用在執行一般 管理任務上的時間就被大大縮短了。

　　你還可以在防火墻控制臺中創建連接安全規則（Connection Security Rules）來指定哪些端口或協議有使用IPsec的需求，而不必再使用netsh命令，對于那些喜歡GUI的人，這是一個更方便的改進。

　　連接安全規則（Connection Security Rules）還支持動態加密。意思是如果服務器收到一個客啟端發出的未加密（但是通過了驗證）的信息，安全關聯會通過已議定的“運行中來要求加密，以建 立更安全的通訊。

　　在“高級設置中對配置文件進行配置

　　使用“高級設置控制面板，你可以對每一個網絡類型的配置文件進行設置.

　　對配置文件，你可以進行如下設置：

　　* 開啟/關閉防火墻

　　* （攔截、攔截全部連接或是允許）入站連接

　　* （允許或攔截）出部連接

　　* （在有程序被攔截后是否通知你）通知顯示

　　* 允許單播對多播或廣播響應

　　* 除組策略防火墻規則以外允許本地管理員創建并應用本地防火墻規則

　　關于用netsh.exe配置系統防火墻

　　(1).查看、開啟或禁用系統防火墻

　　打開命令提示符輸入輸入命令“netsh firewallshow state然后回車可查看防火墻的狀態，從顯示結果中可看到防火墻各功能模塊的禁用及啟用情況。命令“netsh firewall set opmode disable用來禁用系統防火墻，相反命令“netsh firewall set opmode enable可啟用防火墻。

　　(2).允許文件和打印共享

　　文件和打印共享在局域網中常用的，如果要允許客戶端訪問本機的共享文件或者打印機，可分別輸入并執行如下命令：

　　netsh firewall add portopening UDP 137 Netbios-ns

　　(允許客戶端訪問服務器UDP協議的137端口)

　　netsh firewall add portopening UDP 138 Netbios-dgm

　　(允許訪問UDP協議的138端口)

　　netsh firewall add portopening TCP 139 Netbios-ssn

　　(允許訪問TCP協議的139端口)

　　netsh firewall add portopening TCP 445 Netbios-ds

　　(允許訪問TCP協議的445端口)

　　命令執行完畢后，文件及打印共享所須的端口都被防火墻放行了。

　　(3).允許ICMP回顯

　　默認情況下，Windows 7出于安全考慮是不允許外部主機對其進行Ping測試的。但在一個安全的局域網環境中，Ping測試又是管理員進行網絡測試所必須的，如何允許 Windows 7的ping測試回顯呢?

　　當然，通過系統防火墻控制臺可在“入站規則中將“文件和打印共享(回顯請求– ICMPv4-In)規則設置為允許即可(如果網絡使用了 IPv6，則同時要允許 ICMPv6-In 的規則。)。不過，我們在命令行下通過netsh命令可快速實現。執行命令“netsh firewall set icmpsetting 8可開啟ICMP回顯，反之執行“netsh firewall set icmpsetting 8 disable可關閉回顯。

【Win Vista的防火墻使用技巧10點】相關文章：

win2003防火墻設置11-21

win10怎么關閉防火墻09-02

win7防火墻規則設置10-19

win10怎樣設置防火墻11-07

win10系統防火墻怎么關閉04-06

防火墻在哪里設置win1008-19

最新關于Win8動態磁貼使用技巧介紹04-02

win7電腦防火墻在哪里設置08-19

Win10防火墻無法啟動的解決方法04-14