WinXP SP2(以下簡(jiǎn)稱SP2)中的Windows防火墻取代了原來(lái)的Internet Connection Firewall(ICF，互聯(lián)網(wǎng)連接防火墻)。這個(gè)改進(jìn)的防火墻默認(rèn)設(shè)置為開(kāi)啟狀態(tài)，并且支持IPv4和IPv6兩種網(wǎng)絡(luò)協(xié)議，可以為我們的電腦提供更多的安全保護(hù)。本文將帶領(lǐng)大家來(lái)認(rèn)識(shí)Windows防火墻的新特性以及基本設(shè)置方法。

一、防火墻新特性

與ICF相比，SP2中的Windows防火墻有了明顯的改進(jìn)。首先是防火墻的運(yùn)行時(shí)間。在以前版本的WinXP中，從網(wǎng)絡(luò)堆棧開(kāi)始加載到ICF運(yùn)行之間還有一段時(shí)間的間隔，這意味著在系統(tǒng)啟動(dòng)到防火墻完全運(yùn)行這一段時(shí)間內(nèi)整個(gè)系統(tǒng)是完全暴露的，并沒(méi)有受到防火墻的保護(hù)。這是因?yàn)镮CF運(yùn)行所需要的系統(tǒng)服務(wù)是在系統(tǒng)引導(dǎo)完成后才開(kāi)始啟動(dòng)的，而ICF服務(wù)還依賴于其他的一些系統(tǒng)服務(wù)，那些服務(wù)還沒(méi)有運(yùn)行的時(shí)候ICF的服務(wù)自然也就無(wú)法運(yùn)行。在SP2系統(tǒng)中新增了一個(gè)名為“引導(dǎo)時(shí)策略”(Boot-Time Policy)的比較簡(jiǎn)單的防護(hù)，通過(guò)這個(gè)防護(hù)，我們只能使用到少數(shù)必需的網(wǎng)絡(luò)服務(wù)，例如DNS服務(wù)器和DHCP服務(wù)器的聯(lián)絡(luò)等，直到防火墻啟動(dòng)后網(wǎng)絡(luò)活動(dòng)才能正常。

新的Windows防火墻不僅默認(rèn)處于開(kāi)啟狀態(tài)，而且其配置界面也更加美觀。除此之外，Windows防火墻新的特性還包括:本地子網(wǎng)限制;應(yīng)用到所有連接的通用配置選項(xiàng);內(nèi)建IPv6支持;新的組策略配置選項(xiàng);可通過(guò)應(yīng)用程序的文件名指定特定的通信(原先的ICF只能指定端口，而不能指定程序，現(xiàn)在則可以在允許的通訊中直接選擇特定的程序)。

二、安全警報(bào)

在SP2中，當(dāng)用戶在本地運(yùn)行一個(gè)應(yīng)用程序并將其作為Internet服務(wù)器提供服務(wù)時(shí)，Windows防火墻將會(huì)彈出一個(gè)新的安全警報(bào)對(duì)話框。通過(guò)對(duì)話框中的選項(xiàng)可以將此應(yīng)用程序或服務(wù)添加到Windows防火墻的例外項(xiàng)中(即選擇“解除阻止此程序”)，Windows防火墻的例外項(xiàng)配置將允許特定的進(jìn)站連接。當(dāng)然，也可以通過(guò)手工添加程序到例外項(xiàng)中或者添加端口到例外項(xiàng)中，具體的添加方法參見(jiàn)后面的防火墻選項(xiàng)設(shè)置。

一旦程序提供連接服務(wù)，防火墻就會(huì)提醒用戶

三、防火墻選項(xiàng)設(shè)置

依次單擊“開(kāi)始→控制面板”，然后在控制面板經(jīng)典視圖中雙擊“Windows防火墻”一項(xiàng)，即可打開(kāi)Windows防火墻控制臺(tái)。此外，還可以在SP2新增加的安全中心界面下，點(diǎn)擊“Windows防火墻”打開(kāi)防火墻控制臺(tái)。

1.常規(guī)選項(xiàng)卡

防火墻控制臺(tái)是SP2的新增項(xiàng)

在Windows防火墻控制臺(tái)“常規(guī)”選項(xiàng)卡中有兩個(gè)主選項(xiàng):啟用(推薦)和關(guān)閉(不推薦)，一個(gè)子選項(xiàng)“不允許例外”。如果選擇了不允許例外，Windows防火墻將攔截所有的連接用戶計(jì)算機(jī)的網(wǎng)絡(luò)請(qǐng)求，包括在例外選項(xiàng)卡列表中的應(yīng)用程序和系統(tǒng)服務(wù)。另外，防火墻也將攔截文件和打印機(jī)共享，還有網(wǎng)絡(luò)設(shè)備的偵測(cè)。使用不允許例外選項(xiàng)的Windows防火墻簡(jiǎn)直就完全“閉關(guān)”了，比較適用于“高危”環(huán)境，如餐館、賓館和機(jī)場(chǎng)等場(chǎng)所連接到公共網(wǎng)絡(luò)上的個(gè)人計(jì)算機(jī)。

2.例外選項(xiàng)卡

不要隨意允許服務(wù)器生效

某些程序需要對(duì)外通訊，就可以把它們添加到“例外”選項(xiàng)卡中，這里的程序?qū)⒈惶卦S可以提供連接服務(wù)，即可以監(jiān)聽(tīng)和接受來(lái)自網(wǎng)絡(luò)上的連接。

在“例外”選項(xiàng)卡界面下方有兩個(gè)添加按鈕，分別是:“添加程序”和“添加端口”，可以根據(jù)具體的情況手工添加例外項(xiàng)。如果不清楚某個(gè)應(yīng)用程序是通過(guò)哪個(gè)端口與外界通信，或者不知道它是基于UDP還是TCP的，可以通過(guò)“添加程序”來(lái)添加例外項(xiàng)。例如要允許Windows Messenger通信，則點(diǎn)擊“添加程序”按鈕，選擇應(yīng)用程序“C:Program FilesMessengerMessengermsmsgs.exe”，然后點(diǎn)擊“確定”把它加入列表。

如果對(duì)端口號(hào)以及TCP/UDP比較熟悉，則可以采用后一種方式，即指定端口號(hào)的添加方式。對(duì)于每一個(gè)例外項(xiàng)，可以通過(guò)“更改范圍”指定其作用域。對(duì)于家用和小型辦公室應(yīng)用網(wǎng)絡(luò)，推薦設(shè)置作用域?yàn)榭赡艿谋镜鼐W(wǎng)絡(luò)。當(dāng)然，也可以自定義作用域中的IP范圍，這樣只有來(lái)自特定的IP地址范圍的網(wǎng)絡(luò)請(qǐng)求才能被接受

3.高級(jí)選項(xiàng)卡

使系統(tǒng)更安全，要好好研究一下高級(jí)設(shè)置項(xiàng)

在“高級(jí)”選項(xiàng)卡中包含了網(wǎng)絡(luò)連接設(shè)置、安全記錄、ICMP設(shè)置和還原默認(rèn)設(shè)置四組選項(xiàng)，可以根據(jù)實(shí)際情況進(jìn)行配置。

◆網(wǎng)絡(luò)連接設(shè)置

這里可以選擇Windows防火墻應(yīng)用到哪些連接上，當(dāng)然也可以對(duì)某個(gè)連接進(jìn)行單獨(dú)的配置，這樣可以使防火墻應(yīng)用更靈活。

◆安全記錄

新版Windows防火墻的日志記錄與ICF大同小異，日志選項(xiàng)里面的設(shè)置可以記錄防火墻的跟蹤記錄，包括丟棄和成功的所有事項(xiàng)。在日志文件選項(xiàng)里，可以更改記錄文件存放的位置，還可以手工指定日志文件的大小。系統(tǒng)默認(rèn)的選項(xiàng)是不記錄任何攔截或成功的事項(xiàng)，而記錄文件的大小默認(rèn)為4MB。

◆ICMP設(shè)置

Internet控制消息協(xié)議(ICMP)允許網(wǎng)絡(luò)上的計(jì)算機(jī)共享錯(cuò)誤和狀態(tài)信息。在ICMP設(shè)置對(duì)話框中選定某一項(xiàng)時(shí)，界面下方會(huì)顯示出相應(yīng)的描述信息，可以根據(jù)需要進(jìn)行配置。在缺省狀態(tài)下，所有的ICMP都沒(méi)有打開(kāi)。

◆默認(rèn)設(shè)置

如果要將所有Windows防火墻設(shè)置恢復(fù)為默認(rèn)狀態(tài)，可以單擊右側(cè)的“還原為默認(rèn)值”按鈕。

四、組策略部署

組策略的設(shè)置具有很高的優(yōu)先級(jí)

在ICF中，只能通過(guò)網(wǎng)絡(luò)連接、網(wǎng)絡(luò)創(chuàng)建向?qū)Ш虸nternet連接向?qū)?zhí)行啟用或關(guān)閉ICF，而新版的Windows防火墻則可以通過(guò)組策略來(lái)控制防火墻狀態(tài)、允許的例外等設(shè)置。

依次單擊“開(kāi)始→運(yùn)行”，在“運(yùn)行”對(duì)話框中輸入“gpedit.msc”，然后點(diǎn)擊“確定”即可打開(kāi)WinXP組策略編輯器。進(jìn)入組策略編輯器后，就可以用它配置Windows防火墻了。從左側(cè)窗格中依次展開(kāi)“計(jì)算機(jī)配置→管理模板→網(wǎng)絡(luò)→網(wǎng)絡(luò)連接→Windows Firewall”。在Windows Firewall下可以看到兩個(gè)分支，一個(gè)是域配置文件，一個(gè)是標(biāo)準(zhǔn)配置文件。簡(jiǎn)單的說(shuō)，當(dāng)計(jì)算機(jī)連接到有域控制器的網(wǎng)絡(luò)中時(shí)(即有專門的管理服務(wù)器時(shí))，是域配置文件起作用，相反，則是標(biāo)準(zhǔn)配置文件起作用。即使沒(méi)有配置標(biāo)準(zhǔn)配置文件，缺省的值也會(huì)生效。

提示:Windows防火墻的配置和狀態(tài)信息還可以通過(guò)命令行工具Netsh.exe獲得，可以在命令提示符窗口下輸入“netsh firewall”命令來(lái)獲取防火墻信息和修改防火墻設(shè)定。

從前面的介紹可以看出，SP2中集成的Windows防火墻，在功能上已經(jīng)接近不少成熟的個(gè)人防火墻產(chǎn)品。雖然這個(gè)新版的防火墻還欠缺一些第三方廠商的產(chǎn)品所擁有的功能(如輸出過(guò)濾)，但它對(duì)個(gè)人用戶來(lái)說(shuō)，無(wú)疑是一個(gè)不錯(cuò)的選擇。