任务四 Windows 系统的防火墙
知识点
1.任务描述：防火墙为什么重要
教材原句：防火墙对于每一个计算机用户的重要性不言而喻，尤其是在当前网络威胁泛滥的环境下，通过专业可靠的工具有效保护计算机信息安全十分重要。
本任务的做法：以 Windows 7 操作系统下的防火墙为例，介绍防火墙的启动、功能等。
与任务三的衔接：任务三的结尾说"下面讨论的防火墙技术就是目前应对黑客入侵的有效方法"——本任务就是这句话的落地。
2.Windows 防火墙是什么（回看项目导读）
- 防火墙（Firewall）是一种保障信息安全的设备或软件，依照特定的规则，允许或是禁止传输的数据通过；
- 它可以是一台专门的硬件，也可以是运行在硬件上的软件；
- Windows 防火墙是 Windows 操作系统中系统自带的软件防火墙。
"软件防火墙"的含义：它装在本机上，管的是本机进出的流量（个人级），而不是像硬件防火墙那样架在网络边界上。
3.启动防火墙界面
操作路径：点击"控制面板" → "Windows 防火墙"，启动如图 9-3 所示的管理窗口。
管理窗口左侧的五个功能链接（必背，考试常考"五个链接分别是什么"）：
- 允许程序或功能通过 Windows 防火墙；
- 更改通知设置；
- 打开或关闭 Windows 防火墙；
- 还原默认设置；
- 高级设置。
顺序记忆：放行（允许程序）→ 提醒（通知）→ 开关（开关防火墙）→ 复位（还原）→ 深配（高级）。
图 9-3 的界面结构：
| 区域 | 内容 |
|---|---|
| 左侧导航 | 上述五个功能链接（另有"对网络故障进行排查"等辅助项） |
| 主区域 | "使用 Windows 防火墙来帮助保护您的计算机"说明文字 |
| 状态区 | 家庭或工作（专用）网络、公用网络两条连接状态（是否已连接） |
| 状态明细 | Windows 防火墙状态（启用／关闭）、传入连接（阻止所有与未在允许程序列表中的程序）、活动的公用网络、通知状态（阻止新程序时通知我） |
一个关键认识：Windows 防火墙是按"网络位置"分别配置的——"家庭或工作（专用）网络"与"公用网络"是两套独立开关。
4.功能（1）：允许程序或功能通过 Windows 防火墙
入口：点击图 9-3 中"允许程序或功能通过 Windows 防火墙"，进入如图 9-4 所示界面。
定位：这是 Windows 防火墙最基础的功能，可以设置某个功能或程序是否使用网络。
添加方法（很简单）：点击"允许运行另一程序"，选择用户想要添加的程序即可。
图 9-4 的界面要点：程序列表有名称一列，右侧按**"家庭/工作（专用）"与"公用"两个网络类型分别打勾**；下方有"允许运行另一程序""删除"按钮。
两个重要局限（教材明说，必考）：
- 本操作不能对端口进行控制；
- 也不能区分 TCP 协议和 UDP 协议。
为什么这是局限：勾一个程序，等于把它用到的所有端口、两种协议全部放行——粒度太粗。要精细到"端口 + 协议"，必须去高级设置里写规则。
顺带解释：同一个程序在两列里可以一个勾一个不勾，这就实现了"在家（专用网络）允许、在咖啡厅（公用网络）不允许"的效果。
5.功能（2）：更改通知设置与打开或关闭 Windows 防火墙
入口：点击这两个操作后，均看到如图 9-5 所示的窗口（同一个"自定义每种类型的网络的设置"窗口）。
窗口能做什么：
- 可以打开和关闭家庭或工作网络和公用网络的 Windows 防火墙；
- 分两组设置：家庭或工作（专用）网络位置设置、公用网络位置设置；
- 每组都是**"启用 Windows 防火墙"／"关闭 Windows 防火墙（不推荐）"** 二选一。
两条操作建议（教材原句）：
- 如果启用防火墙，建议"阻止所有传入连接，包括位于允许程序列表中的程序"不用勾上——不然会影响个别程序的运行；
- 建议勾选"Windows 防火墙阻止新程序时通知我"，以方便获得程序被阻止时的提醒。
理解这两条：勾上"阻止所有传入连接"是最高安全等级（连白名单也不放过），代价是共享、打印、远程桌面等一切入站服务都会断；而"阻止新程序时通知我"是为了排障——不通知的话，程序连不上网你还找不到原因。
图 9-5 的四个单选（每个网络位置各两个）：
| 网络位置 | 选项 |
|---|---|
| 家庭或工作（专用）网络 | 启用 Windows 防火墙（下含两个勾选项）／关闭 Windows 防火墙（不推荐） |
| 公用网络 | 启用 Windows 防火墙（下含两个勾选项）／关闭 Windows 防火墙（不推荐） |
两个勾选项：① 阻止所有传入连接，包括位于允许程序列表中的程序；② Windows 防火墙阻止新程序时通知我。
6.功能（3）：还原默认设置
入口：点击"还原默认设置"后，界面如图 9-6 所示。
作用（教材原句）：如果用户把防火墙配置调整得比较混乱，那么可以选择还原默认设置，此时防火墙的规则就会恢复到系统初始时的状态。
图 9-6 的提示文字：还原默认设置将删除已为所有网络位置配置的所有 Windows 防火墙设置，这可能导致某些程序停止工作。
使用场景：装了一堆软件后规则冲突、程序莫名连不上、怀疑规则被恶意篡改——先"还原默认"，再重新放行必要的程序。
注意：这个是**"清空重来"**，不是"撤销上一次"——自定义的规则会全部丢失。
7.功能（4）：高级设置（本任务重点）
入口：点击"高级设置"后，窗口如图 9-7 所示。
能配什么（教材原句）：如果用户对网络安全知识有比较深入的学习，则可以对入站规则、出站规则、连接安全规则等进行自定义配置。
图 9-7 的界面结构：
| 区域 | 内容 |
|---|---|
| 左树 | 入站规则、出站规则、连接安全规则、监视 |
| 中栏（规则列表） | 每条规则显示名称、组、配置文件（专用／公用）、已启用、操作（允许／阻止） |
| 右栏（操作） | 新建规则…、筛选依据配置文件、查看、刷新、导出列表、帮助 |
在"入站规则"和"出站规则"里，针对每一个程序，Windows 提供了三种实用的网络连接方式（必背）：
| 连接方式 | 含义 |
|---|---|
| 允许连接 | 程序或端口在任何情况下都可以被连接到网络 |
| 只允许安全连接 | 程序或端口只有 IPSec 保护的情况下才允许连接到网络 |
| 阻止连接 | 阻止此程序或端口的任何状态下连接到网络 |
用户可以根据自己的安全需求进行相应的设置。
三种方式的强度排序：阻止连接（最严）＞ 只允许安全连接（要求 IPSec 认证与加密）＞ 允许连接（最松）。
"只允许安全连接"的实质：不是"能连就行"，而是必须先用 IPSec 完成身份认证与加密才放行——相当于给连接加了"验明正身 + 加密"两道手续。
8.入站规则与出站规则（概念说明，含教学补充）
教材的落点：教材只说"可对入站规则、出站规则、连接安全规则自定义配置"，并给出三种连接方式。为了让"入站／出站"讲得通，这里补一层概念（以下为讲解补充，非教材原文）：
| 方向 | 谁的连接 | 典型例子 | 默认态度 |
|---|---|---|---|
| 入站（Inbound） | 别人连进来 | 别人访问你的共享文件夹、远程桌面连你、你做的网站被别人访问 | 默认阻止（更安全） |
| 出站（Outbound） | 你连出去 | 浏览器访问网页、邮件客户端发信、软件自动更新 | 默认允许 |
为什么入站默认阻止、出站默认允许：入站是别人主动找你（风险不可控），出站是你自己要上网（拦了就没法用）。所以 Windows 的默认策略是"外来的先挡，出去的先放"。
规则的四要素（写规则时想这四件事）：程序（哪个 exe）＋ 端口（哪个号）＋ 协议（TCP／UDP）＋ 作用域（哪些 IP／哪些配置文件），再配一个动作（允许／阻止）。
与"允许程序通过"的区别（对比表）：
| 比较项 | 允许程序或功能通过（图 9-4） | 高级设置里的规则（图 9-7） |
|---|---|---|
| 粒度 | 只能到程序 | 可到端口、协议、IP 范围 |
| 能否区分 TCP／UDP | 不能 | 能 |
| 能否限定端口 | 不能 | 能 |
| 入站／出站 | 只涉及入站放行 | 入站、出站都能写 |
| 适用者 | 普通用户 | 有一定安全知识的管理员 |
这张表就是本任务的核心对比——"允许程序"是傻瓜式，"高级设置"是精细式。
9.任务实施要点
- 启动计算机，在搜索工具中以"Windows 防火墙设置"为关键词搜索；
- 浏览搜索结果中关于 Windows 防火墙使用方法的叙述；
- 搜索 Windows 防火墙中入站和出站规则的使用方法；
- 检索在 Windows 防火墙中开启或关闭某些特定 IP 的访问操作方法；
- 按《计算机网络基础综合模拟实训》中"项目三十 Windows 安全模板配置"的内容配置形成 Windows 的安全模板。
速查表
| 考点 | 一句话答案 |
|---|---|
| Windows 防火墙的性质 | Windows 系统自带的软件防火墙 |
| 启动路径 | 控制面板 → Windows 防火墙 |
| 左侧五个功能链接 | 允许程序或功能通过、更改通知设置、打开或关闭、还原默认设置、高级设置 |
| 最基础的功能 | 允许程序或功能通过 Windows 防火墙 |
| 添加程序点哪里 | "允许运行另一程序" |
| 该功能的两点局限 | 不能控制端口、不能区分 TCP 与 UDP |
| 网络位置分几套 | 两套：家庭或工作（专用）、公用 |
| "阻止所有连接"要不要勾 | 不用勾（会影响个别程序运行） |
| 建议勾选的选项 | 阻止新程序时通知我 |
| 还原默认设置的作用 | 规则恢复到系统初始状态（自定义规则会丢失） |
| 高级设置里能配什么 | 入站规则、出站规则、连接安全规则 |
| 三种连接方式 | 允许连接、只允许安全连接、阻止连接 |
| "只允许安全连接"的前提 | IPSec 保护 |
| 入站默认 | 阻止 |
| 出站默认 | 允许 |
| 写规则的四要素 | 程序、端口、协议、作用域 + 动作 |