[06-23] Win XP SP2防火墙设置详细讲解
目前已经发布的英文版windows xp service pack 2（sp2）包括了全新的windows防火墙，即以前所称的internet连接防火墙（icf）。windows防火墙是一个基于主机的状态防火墙，它丢弃所有未请求的传入流量，即那些既没有对应于为响应计算机的某个请求而发送的流量（请求的流量），也没有对应于已指定为允许的未请求的流量（异常流量）。windows防火墙提供某种程度的保护，避免那些依赖未请求的传入流量来攻击网络上的计算机的恶意用户和程序。" x2 `! _6 O7 [( u
' u, S3 X4 [1 d. v
在windows xp sp2中，windows防火墙有了许多新增特性，其中包括：
2 L# W8 n5 L+ C$ Z. ^ I! |$ S6 a2 H 默认对计算机的所有连接启用
2 a/ \ p9 X; W: C1 U 应用于所有连接的全新的全局配置选项; `9 W1 x2 M2 V# y0 T
用于全局配置的新增对话框集
! y6 Z5 G. R3 U1 Z5 x 全新的操作模式5 F* ~3 A! r% I \1 ?1 Y p' J) }
启动安全性0 F0 u& I) E# C' |
本地网络限制
2 m" Q/ O4 g" Y. ~, \ 异常流量可以通过应用程序文件名指定
5 u3 y* K) x$ j& f: i 对internet协议第6版（ipv6）的内建支持9 M8 D4 P2 i& D6 x" `& T/ S2 C/ \
, I( e5 y1 H$ t7 {3 c采用netsh和组策略的新增配置选项
$ I# n" Q6 C, d7 z本文将详细描述用于手动配置全新的windows防火墙的对话框集。与windows xp（sp2之前的版本）中的icf不同，这些配置对话框可同时配置ipv4和ipv6流量。
$ r) L- ~5 U# W: O. D5 [7 g3 nwindows xp（sp2之前的版本）中的icf设置包含单个复选框（在连接属性的“高级”选项卡上“通过限制或阻止来自internet对此计算机的访问来保护我的计算机和网络”复选框）和一个“设置”按钮，您可以使用该按钮来配置流量、日志设置和允许的icmp流量。" h( Y* U+ }" n6 x5 c
在windows xp sp2中，连接属性的“高级”选项卡上的复选框被替换成了一个“设置”按钮，您可以使用该按钮来配置常规设置、程序和服务的权限、指定于连接的设置、日志设置和允许的icmp流量。
: [! A. G) m; B1 O4 A3 ^' I“设置”按钮将运行全新的windows防火墙控制面板程序（可在“网络和internet连接与安全中心”类别中找到）。9 d' k1 @8 T7 Y! H7 t! W2 k# h
新的windows防火墙对话框包含以下选项卡：
& i' p9 x% s5 x# j( X1 \3 u “常规”( U5 |" D* |3 E ~* u/ n. Z, t
“异常”
0 [0 |/ {! z4 e8 B8 J; K* w% m “高级”2 ]' ~% J0 ^! q* E" _* S" T
“常规”选项卡+ M9 B3 [: l9 V% j
在“常规”选项卡上，您可以选择以下选项：# w4 t* y1 N) P' D: @
“启用（推荐）”
! S( F# S( U8 q; D9 h5 ^ 选择这个选项来对“高级”选项卡上选择的所有网络连接启用windows防火墙。
# \7 l. y, c4 ^# k2 Y* m& jwindows防火墙启用后将仅允许请求的和异常的传入流量。异常流量可在“异常”选项卡上进行配置。2 t- f# k1 l6 P' I" \0 u
“不允许异常流量”3 I' o d3 i$ v2 v9 @' P
单击这个选项来仅允许请求的传入流量。这样将不允许异常的传入流量。“异常”选项卡上的设置将被忽略，所有的连接都将受到保护，而不管“高级”选项卡上的设置如何。3 l# V0 x6 \1 d2 A
“禁用”- l! ^) ?3 Y: q$ I, G) M @
选择这个选项来禁用windows防火墙。不推荐这样做，特别是对于可通过internet直接访问的网络连接。9 w' Q0 r+ ?( G' l, i" Z
+ ]0 S( r3 _+ `7 [& E5 ~/ d; W* Z& \ 注意对于运行windows xp sp2的计算机的所有连接和新创建的连接，windows防火墙的默认设置是“启用（推荐）”。这可能会影响那些依赖未请求的传入流量的程序或服务的通信。在这样的情况下，您必须识别出那些已不再运作的程序，将它们或它们的流量添加为异常流量。许多程序，比如internet浏览器和电子邮件客户端（如：outlook express），不依赖未请求的传入流量，因而能够在启用windows防火墙的情况下正确地运作。0 V) l M" b8 g- Q
7 R9 a& V; m, j+ _- k! C
如果您在使用组策略配置运行windows xp sp2的计算机的windows防火墙，您所配置的组策略设置可能不允许进行本地配置。在这样的情况下，“常规”选项卡和其他选项卡上的选项可能是灰色的，而无法选择，甚至本地管理员也无法进行选择。
6 J, f: ?& {1 t0 A
9 r1 a4 ]6 q4 u( Z$ w0 t# k! X 基于组策略的windows防火墙设置允许您配置一个域配置文件（一组将在您连接到一个包含域控制器的网络时所应用的windows防火墙设置）和标准配置文件（一组将在您连接到像internet这样没有包含域控制器的网络时所应用的windows防火墙设置）。这些配置对话框仅显示当前所应用的配置文件的windows防火墙设置。要查看当前未应用的配置文件的设置，可使用netsh firewall show命令。要更改当前没有被应用的配置文件的设置，可使用netsh firewall set命令。
( r" R! x5 F5 H+ ?! K* P8 H) x/ q2 Z2 }! i/ ]! }
“异常”选项卡
4 W0 R1 M0 Q( F 在“异常”选项卡上，您可以启用或禁用某个现有的程序或服务，或者维护用于定义异常流量的程序或服务的列表。当选中“常规”选项卡上的“不允许异常流量”选项时，异常流量将被拒绝。' {; l" D0 P, w; `& ~3 ` u
对于windows xp（sp2之前的版本），您只能根据传输控制协议（tcp）或用户数据报协议（udp）端口来定义异常流量。对于windows xp sp2，您可以根据tcp和udp端口或者程序或服务的文件名来定义异常流量。在程序或服务的tcp或udp端口未知或需要在程序或服务启动时动态确定的情况下，这种配置灵活性使得配置异常流量更加容易。/ C# F3 U: |8 M# Y* m1 q) B
已有一组预先配置的程序和服务，其中包括：
1 d9 n/ J* H& g; b& \, y; _ 文件和打印共享2 r3 ?. X2 [! [- o1 a
远程助手（默认启用）; t% r5 Z* z6 W% o3 M) d s
远程桌面
% e) c& ~% p) E2 I) u7 I$ G0 L1 { upnp框架
7 x+ {! Y) @0 I$ @. i! R- E 这些预定义的程序和服务不可删除。
7 s/ K6 R, d; N 如果组策略允许，您还可以通过单击“添加程序”
2 N M: Z/ a. F# h! w: Q，创建基于指定的程序名称的附加异常流量，以及通过单击“添加端口”，创建基于指定的tcp或udp端口的异常流量。! @7 Z* S2 F" E. S
当您单击“添加程序”时，将弹出“添加程序”对话框，您可以在其上选择一个程序或浏览某个程序的文件名。; ~( V, `6 Z4 d3 L
当您单击“添加端口”时，将弹出“添加端口”对话框，您可以在其中配置一个tcp或udp端口。
+ r/ U1 D8 r6 W8 w: H3 I/ f 全新的windows防火墙的特性之一就是能够定义传入流量的范围。范围定义了允许发起异常流量的网段。在定义程序或端口的范围时，您有两种选择：, ^6 N. d1 D8 Y5 n# ]/ n9 e
“任何计算机”4 x( V) w* d: z) \* `1 O
允许异常流量来自任何ip地址。
: R5 E$ [7 e5 f, N& Q “仅只是我的网络（子网）”" h' R+ [( C! G3 A- R
仅允许异常流量来自如下ip地址，即它与接收该流量的网络连接所连接到的本地网段（子网）相匹配。例如，如果该网络连接的ip地址被配置为 192.168.0.99，子网掩码为255.255.0.0，那么异常流量仅允许来自192.168.0.1到192.168.255.254范围内的 ip地址。9 l1 X! {% d& a
当您希望允许本地家庭网络上全都连接到相同子网上的计算机以访问某个程序或服务，但是又不希望允许潜在的恶意internet用户进行访问，那么“仅只是我的网络（子网）”设定的地址范围很有用。8 u* X5 a$ ?! J5 }/ l/ a9 S
一旦添加了某个程序或端口，它在“程序和服务”列表中就被默认禁用。' O& O# b5 i6 w
在“异常”选项卡上启用的所有程序或服务对“高级”选项卡上选择的所有连接都处于启用状态。' w8 ? w# g& O
“高级”选项卡
/ ?7 \9 l& E, |" Z, Z “高级”选项卡包含以下选项：
; m) n: ?8 Z0 `" R 网络连接设置9 i2 a" q6 f/ Q9 t6 \& K" ^2 u9 ^5 j
安全日志4 k b/ y3 C' N# c) j$ |
icmp% e& q) O y: h+ M3 J* t+ ~
默认设置$ }- O" D) q! h
“网络连接设置”
+ A$ d5 a0 T# E6 i( ^6 ~+ k 在“网络连接设置”中，您可以：" S, g7 i# H. ]/ s" \$ r0 ?6 e; P" f
+ Q" L. N0 T" d V3 G8 X6 n; w
1、指定要在其上启用windows防火墙的接口集。要启用windows防火墙，请选中网络连接名称后面的复选框。要禁用windows防火墙，则清除该复选框。默认情况下，所有网络连接都启用了windows防火墙。如果某个网络连接没有出现在这个列表中，那么它就不是一个标准的网络连接。这样的例子包括internet服务提供商（isp）提供的自定义拨号程序。0 {1 W3 \$ A5 g2 A
2、通过单击网络连接名称，然后单击“设置”，配置单独的网络连接的高级配置。
7 D3 K7 P' {/ C7 @9 l/ w% R2 @ 如果清除“网络连接设置”中的所有复选框，那么windows防火墙就不会保护您的计算机，而不管您是否在“常规”选项卡上选中了“启用（推荐）”。如果您在“常规”选项卡上选中了“不允许异常流量”，那么“网络连接设置”中的设置将被忽略，这种情况下所有接口都将受到保护。% J2 t( v! @2 o1 g
当您单击“设置”时，将弹出“高级设置”对话框。1 P) `; k/ g# v
在“高级设置”对话框上，您可以在“服务”选项卡中配置特定的服务（仅根据tcp或udp端口来配置），或者在“icmp”选项卡中启用特定类型的icmp流量。
1 l/ D+ [8 P* W/ @7 ~& T这两个选项卡等价于windows xp（sp2之前的版本）中的icf配置的设置选项卡。
0 x2 d5 Q$ Z$ G+ G" x. [
* H' R& |2 o2 u6 X “安全日志”( e+ E! `$ k+ y, y
在“安全日志”中，请单击“设置”，以便在“日志设置”对话框中指定windows防火墙日志的配置，
8 S9 ?- {1 N( A5 p. Z 在“日志设置”对话框中，您可以配置是否要记录丢弃的数据包或成功的连接，以及指定日志文件的名称和位置（默认设置为systemrootpfirewall.log）及其最大容量。
% B3 ]. {3 X6 h, \- i8 K7 v “icmp”
( Z5 K" w) g p! l$ D; L4 O 在“icmp”中，请单击“设置”以便在“icmp”对话框中指定允许的icmp流量类型，
& R6 `- H* [; x2 t6 v% G 在“icmp”对话框中，您可以启用和禁用windows防火墙允许在“高级”选项卡上选择的所有连接传入的icmp消息的类型。icmp消息用于诊断、报告错误情况和配置。默认情况下，该列表中不允许任何icmp消息。
1 @0 [/ M/ g; O 诊断连接问题的一个常用步骤是使用ping工具检验您尝试连接到的计算机地址。在检验时，您可以发送一条icmp echo消息，然后获得一条icmp echo reply消息作为响应。默认情况下，windows防火墙不允许传入icmp echo消息，因此该计算机无法发回一条icmp echo reply消息作为响应。为了配置windows防火墙允许传入的icmp echo消息，您必须启用“允许传入的echo请求”设置。
$ i) w/ Z E! Z N, x4 K2 Y- r1 h% y) ^ “默认设置”
9 W+ f7 q. ]1 {2 ~- F 单击“还原默认设置”，将windows防火墙重设回它的初始安装状态。
: y( z2 ]1 V" A7 j当您单击“还原默认设置”时，系统会在windows防火墙设置改变之前提示您核实自己的决定
