1、WinXP SP2自带防火墙设置详解 http:/ 2006年 10月 18日 来源/作者： 互联网/未知 在 windows xp sp2中，windows 防火墙有了许多新增特性，其中包括：默认对计算机的所有连接启用、应用于所有连接的全新的全局配置选项、用于全局配置的新增对话框集、全新的操作模式、启动安全性、本地网络限制、异常流量可以通过应用程序文件名指定对 internet协议第 6版（ipv6）的内建支持 采用 netsh和组策略的新增配置选项 本文将详细描述用于手动配置全新的 windows防火墙的对话框集。与 windows xp（sp2 之前的版本）中的 icf不同，这些配置对话
2、框可同时配置 ipv4和 ipv6流量。 windows xp（sp2 之前的版本）中的 icf设置包含单个复选框（在连接属性的“高级”选项卡上“通过限制或阻止来自 internet对此计算机的访问来保护我的计算机和网络”复选框）和一个“设置”按钮，您可以使用该按钮来配置流量、日志设置和允许的icmp流量。在 windows xp sp2中，连接属性的“高级”选项卡上的复选框被替换成了一个“设置”按钮，您可以使用该按钮来配置常规设置、程序和服务的权限、指定于连接的设置、日志设置和允许的 icmp流量。 “设置”按钮将运行全新的 windows防火墙控制面板程序（可在“网络和internet连接
3、与安全中心”类别中找到）。 新的 windows防火墙对话框包含以下选项卡： “常规”“异常”“高级”“常规”选项卡 在“常规”选项卡上，您可以选择以下选项：“启用（推荐）” 选择这个选项来对“高级”选项卡上选择的所有网络连接启用 windows防火墙。windows 防火墙启用后将仅允许请求的和异常的传入流量。异常流量可在“异常”选项卡上进行配置。 “不允许异常流量” 单击这个选项来仅允许请求的传入流量。这样将不允许异常的传入流量。“异常”选项卡上的设置将被忽略，所有的连接都将受到保护，而不管“高级”选项卡上的设置如何。 “禁用” 选择这个选项来禁用 windows防火墙。不推荐这样做，特别
4、是对于可通过internet直接访问的网络连接。 注意：对于运行 windows xp sp2的计算机的所有连接和新创建的连接，windows防火墙的默认设置是“启用（推荐）”。这可能会影响那些依赖未请求的传入流量的程序或服务的通信。在这样的情况下，您必须识别出那些已不再运作的程序，将它们或它们的流量添加为异常流量。许多程序，比如 internet浏览器和电子邮件客户端（如：outlook express），不依赖未请求的传入流量，因而能够在启用 windows防火墙的情况下正确地运作。 如果您在使用组策略配置运行 windows xp sp2的计算机的 windows防火墙，您所配置的组策略
5、设置可能不允许进行本地配置。在这样的情况下，“常规”选项卡和其他选项卡上的选项可能是灰色的，而无法选择，甚至本地管理员也无法进行选择。基于组策略的 windows防火墙设置允许您配置一个域配置文件（一组将在您连接到一个包含域控制器的网络时所应用的 windows防火墙设置）和标准配置文件（一组将在您连接到像 internet这样没有包含域控制器的网络时所应用的 windows防火墙设置）。这些配置对话框仅显示当前所应用的配置文件的 windows防火墙设置。要查看当前未应用的配置文件的设置，可使用 netsh firewall show命令。要更改当前没有被应用的配置文件的设置，可使用 net
6、sh firewall set命令。 “异常”选项卡 在“异常”选项卡上，您可以启用或禁用某个现有的程序或服务，或者维护用于定义异常流量的程序或服务的列表。当选中“常规”选项卡上的“不允许异常流量”选项时，异常流量将被拒绝。 对于 windows xp（sp2 之前的版本），您只能根据传输控制协议（tcp）或用户数据报协议（udp）端口来定义异常流量。对于 windows xp sp2，您可以根据 tcp和 udp端口或者程序或服务的文件名来定义异常流量。在程序或服务的 tcp或 udp端口未知或需要在程序或服务启动时动态确定的情况下，这种配置灵活性使得配置异常流量更加容易。 已有一组预先配置
7、的程序和服务，其中包括：文件和打印共享、远程助手（默认启用）、远程桌面、upnp 框架，这些预定义的程序和服务不可删除。 如果组策略允许，您还可以通过单击“添加程序”，创建基于指定的程序名称的附加异常流量，以及通过单击“添加端口”，创建基于指定的 tcp或 udp端口的异常流量。 当您单击“添加程序”时，将弹出“添加程序”对话框，您可以在其上选择一个程序或浏览某个程序的文件名。当您单击“添加端口”时，将弹出“添加端口”对话框，您可以在其中配置一个tcp或 udp端口。 全新的 windows防火墙的特性之一就是能够定义传入流量的范围。范围定义了允许发起异常流量的网段。在定义程序或端口的范围时，
8、您有两种选择： “任何计算机”允许异常流量来自任何 ip地址。 “仅只是我的网络（子网）” 仅允许异常流量来自如下 ip地址，即它与接收该流量的网络连接所连接到的本地网段（子网）相匹配。例如，如果该网络连接的 ip地址被配置为 192.168.0.99，子网掩码为 255.255.0.0，那么异常流量仅允许来自 192.168.0.1到 192.168.255.254范围内的 ip 地址。 当您希望允许本地家庭网络上全都连接到相同子网上的计算机以访问某个程序或服务，但是又不希望允许潜在的恶意 internet用户进行访问，那么“仅只是我的网络（子网）”设定的地址范围很有用。 一旦添加了某个程序
9、或端口，它在“程序和服务”列表中就被默认禁用。 在“异常”选项卡上启用的所有程序或服务对“高级”选项卡上选择的所有连接都处于启用状态。 “高级”选项卡 “高级”选项卡包含以下选项： 网络连接设置、安全日志、icmp、默认设置 “网络连接设置”在“网络连接设置”中，您可以： 1、指定要在其上启用 windows防火墙的接口集。要启用 windows防火墙，请选中网络连接名称后面的复选框。要禁用 windows防火墙，则清除该复选框。默认情况下，所有网络连接都启用了 windows防火墙。如果某个网络连接没有出现在这个列表中，那么它就不是一个标准的网络连接。这样的例子包括 internet服务提供
10、商（isp）提供的自定义拨号程序。 2、通过单击网络连接名称，然后单击“设置”，配置单独的网络连接的高级配置。如果清除“网络连接设置”中的所有复选框，那么 windows防火墙就不会保护您的计算机，而不管您是否在“常规”选项卡上选中了“启用（推荐）”。如果您在“常规”选项卡上选中了“不允许异常流量”，那么“网络连接设置”中的设置将被忽略，这种情况下所有接口都将受到保护。 当您单击“设置”时，将弹出“高级设置”对话框。 在“高级设置”对话框上，您可以在“服务”选项卡中配置特定的服务（仅根据tcp或 udp端口来配置），或者在“icmp”选项卡中启用特定类型的 icmp流量。 这两个选项卡等价于
11、windows xp（sp2 之前的版本）中的 icf配置的设置选项卡。“安全日志”在“安全日志”中，请单击“设置”，以便在“日志设置”对话框中指定 windows防火墙日志的配置，在“日志设置”对话框中，您可以配置是否要记录丢弃的数据包或成功的连接，以及指定日志文件的名称和位置（默认设置为systemrootpfirewall.log）及其最大容量。 “icmp”在“icmp”中，请单击“设置”以便在“icmp”对话框中指定允许的 icmp流量类型，在“icmp”对话框中，您可以启用和禁用 windows防火墙允许在“高级”选项卡上选择的所有连接传入的 icmp消息的类型。icmp 消息用于
12、诊断、报告错误情况和配置。默认情况下，该列表中不允许任何 icmp消息。诊断连接问题的一个常用步骤是使用 ping工具检验您尝试连接到的计算机地址。在检验时，您可以发送一条 icmp echo消息，然后获得一条 icmp echo reply消息作为响应。默认情况下，windows 防火墙不允许传入 icmp echo消息，因此该计算机无法发回一条 icmp echo reply消息作为响应。为了配置 windows防火墙允许传入的 icmp echo消息，您必须启用“允许传入的 echo请求”设置。 “默认设置” 单击“还原默认设置”，将 windows防火墙重设回它的初始安装状态。 当您单击“还原默认设置”时，系统会在 windows防火墙设置改变之前提示您核实自己的决定。
