WinXP SP2(以下简称SP2)中的Windows防火墙取代了原来的Internet Connection Firewall（ICF，互联网连接防火墙）。这个改进的防火墙默认设置为开启状态，并且支持IPv4和IPv6两种网络协议，可以为我们的电脑提供更多的安全保护。本文将带领大家来认识Windows防火墙的新特性以及基本设置方法。

    一、防火墙新特性

    与ICF相比，SP2中的Windows防火墙有了明显的改进。首先是防火墙的运行时间。在以前版本的WinXP中，从网络堆栈开始加载到ICF运行之间还有一段时间的间隔，这意味着在系统启动到防火墙完全运行这一段时间内整个系统是完全暴露的，并没有受到防火墙的保护。这是因为ICF运行所需要的系统服务是在系统引导完成后才开始启动的，而ICF服务还依赖于其他的一些系统服务，那些服务还没有运行的时候ICF的服务自然也就无法运行。在SP2系统中新增了一个名为“引导时策略”（Boot-Time Policy）的比较简单的防护，通过这个防护，我们只能使用到少数必需的网络服务，例如DNS服务器和DHCP服务器的联络等，直到防火墙启动后网络活动才能正常。

    新的Windows防火墙不仅默认处于开启状态，而且其配置界面也更加美观。除此之外，Windows防火墙新的特性还包括：本地子网限制；应用到所有连接的通用配置选项；内建IPv6支持；新的组策略配置选项；可通过应用程序的文件名指定特定的通信（原先的ICF只能指定端口，而不能指定程序，现在则可以在允许的通讯中直接选择特定的程序）。

    二、安全警报

    在SP2中，当用户在本地运行一个应用程序并将其作为Internet服务器提供服务时，Windows防火墙将会弹出一个新的安全警报对话框。通过对话框中的选项可以将此应用程序或服务添加到Windows防火墙的例外项中(即选择“解除阻止此程序”)，Windows防火墙的例外项配置将允许特定的进站连接。当然，也可以通过手工添加程序到例外项中或者添加端口到例外项中，具体的添加方法参见后面的防火墙选项设置。


一旦程序提供连接服务，防火墙就会提醒用户

    三、防火墙选项设置

    依次单击“开始→控制面板”，然后在控制面板经典视图中双击“Windows防火墙”一项，即可打开Windows防火墙控制台。此外，还可以在SP2新增加的安全中心界面下，点击“Windows防火墙”打开防火墙控制台。

    1．常规选项卡


防火墙控制台是SP2的新增项

    在Windows防火墙控制台“常规”选项卡中有两个主选项：启用（推荐）和关闭（不推荐），一个子选项“不允许例外”。如果选择了不允许例外，Windows防火墙将拦截所有的连接用户计算机的网络请求，包括在例外选项卡列表中的应用程序和系统服务。另外，防火墙也将拦截文件和打印机共享，还有网络设备的侦测。使用不允许例外选项的Windows防火墙简直就完全“闭关”了，比较适用于“高危”环境，如餐馆、宾馆和机场等场所连接到公共网络上的个人计算机。

    2．例外选项卡


不要随意允许服务器生效

    某些程序需要对外通讯，就可以把它们添加到“例外”选项卡中，这里的程序将被特许可以提供连接服务，即可以监听和接受来自网络上的连接。

    在“例外”选项卡界面下方有两个添加按钮，分别是：“添加程序”和“添加端口”，可以根据具体的情况手工添加例外项。如果不清楚某个应用程序是通过哪个端口与外界通信，或者不知道它是基于UDP还是TCP的，可以通过“添加程序”来添加例外项。例如要允许Windows Messenger通信，则点击“添加程序”按钮，选择应用程序“C:\Program Files\Messenger\Messenger\msmsgs.exe”，然后点击“确定”把它加入列表。

    如果对端口号以及TCP/UDP比较熟悉，则可以采用后一种方式，即指定端口号的添加方式。对于每一个例外项，可以通过“更改范围”指定其作用域。对于家用和小型办公室应用网络，推荐设置作用域为可能的本地网络。当然，也可以自定义作用域中的IP范围，这样只有来自特定的IP地址范围的网络请求才能被接受

    3．高级选项卡


使系统更安全，要好好研究一下高级设置项

    在“高级”选项卡中包含了网络连接设置、安全记录、ICMP设置和还原默认设置四组选项，可以根据实际情况进行配置。

    ◆网络连接设置

    这里可以选择Windows防火墙应用到哪些连接上，当然也可以对某个连接进行单独的配置，这样可以使防火墙应用更灵活。

    ◆安全记录

    新版Windows防火墙的日志记录与ICF大同小异，日志选项里面的设置可以记录防火墙的跟踪记录，包括丢弃和成功的所有事项。在日志文件选项里，可以更改记录文件存放的位置，还可以手工指定日志文件的大小。系统默认的选项是不记录任何拦截或成功的事项，而记录文件的大小默认为4MB。

    ◆ICMP设置

    Internet控制消息协议（ICMP）允许网络上的计算机共享错误和状态信息。在ICMP设置对话框中选定某一项时，界面下方会显示出相应的描述信息，可以根据需要进行配置。在缺省状态下，所有的ICMP都没有打开。

    ◆默认设置

    如果要将所有Windows防火墙设置恢复为默认状态，可以单击右侧的“还原为默认值”按钮。

    四、组策略部署


组策略的设置具有很高的优先级

    在ICF中，只能通过网络连接、网络创建向导和Internet连接向导执行启用或关闭ICF，而新版的Windows防火墙则可以通过组策略来控制防火墙状态、允许的例外等设置。

    依次单击“开始→运行”，在“运行”对话框中输入“gpedit.msc”，然后点击“确定”即可打开WinXP组策略编辑器。进入组策略编辑器后，就可以用它配置Windows防火墙了。从左侧窗格中依次展开“计算机配置→管理模板→网络→网络连接→Windows Firewall”。在Windows Firewall下可以看到两个分支，一个是域配置文件，一个是标准配置文件。简单的说，当计算机连接到有域控制器的网络中时(即有专门的管理服务器时)，是域配置文件起作用，相反，则是标准配置文件起作用。即使没有配置标准配置文件，缺省的值也会生效。

    提示：Windows防火墙的配置和状态信息还可以通过命令行工具Netsh.exe获得，可以在命令提示符窗口下输入“netsh firewall”命令来获取防火墙信息和修改防火墙设定。

    从前面的介绍可以看出，SP2中集成的Windows防火墙，在功能上已经接近不少成熟的个人防火墙产品。虽然这个新版的防火墙还欠缺一些第三方厂商的产品所拥有的功能(如输出过滤)，但它对个人用户来说，无疑是一个不错的选择。