自從windows XP首次集成防火墻以來，MS就在后續的windows版本中不斷的對firewall進行改善。對于在最新的客戶端操作系統內嵌的Windows Firewall，Windows 7在創新的基礎上更進一步，它提供一些很棒的調整來使其更帖近用戶，而最顯著的是對移動用戶的改進。在本篇文章中，我們將了解Windows 7中的Windows Firewall以及向你展示怎樣對多重作用防火墻策略下對Firewall進行配置。

    Windows Firewall的演變過程

    Windows XP中的防火墻是一款簡單、初級僅保護流入信息，攔截任何不是由你主動發啟入站連接的軟件－－它是默認關閉的。SP2后它才被默認啟動并可以通過組策略的方式由管理員進行配置。而 Vista  Firewall 是建立在一個新的Windows Filtering Platform (WFP、Windows過濾平臺)上、并通過Advanced Security MMC嵌入式管理單元 添加了新的過濾外發信息的能力。在Windows 7中MS對firewall做了進一步的微調，使其更具可用性，尤其針對移動計算機，更是舔加了對多重作用防火墻策略的支持。

    Windows 7 Firewall簡介

    與Vista相同的是，可以通過訪問控制面板程序對Windows 7 firewall進行基礎配置。與Vista不同的是，你還可以通過訪問控制面板的方式對其進行高級配置（包括對出站連接過濾器的配置），而不是一定要創建空白MMC并加入嵌入式管理單元來實現。與圖1所視一樣，只是點擊一下左側面板里的高級配置選項。

圖1 在Windows 7中，你可以通過控制面板程序進行防火墻高級配置

    更多的網絡配置

    Vista firewall允許你去選擇是在公共網格上還是在專用網絡中，而在Windows 7中你有三個選擇－－公用網絡、家庭網絡、辦公網絡。后兩個選項是專用網絡的細化。

    如果你選擇了“家庭網絡”選項，你將可以建立一個“家庭組”。在這種環境中，“網路發現”會自動啟動，你將可以看到網絡中其它的計算機和設備，同時他們也將可以看到你的計算機。隸屬于“家庭組”的計算機能夠共享圖片、音樂、視頻、文檔庫以及如打印機這樣的硬件設備。如果有你不想共享的文件夾在文檔庫中，你還可以排除它們。

    如果你選擇的是“工作網絡”，“網路發現”同樣會自動啟動，但是你將不能創建或是加入“家庭組”。如果你的計算機加入了Windows域（通過控制面板－－系統和安全－－系統－－高級系統配置－－計算機名　選項卡）并通過DC驗證，那么防火墻將自動識別網絡類型為域環境網絡。

    而“公用網絡”類型是當你在機場、賓館、咖啡館或使用移動寬帶網絡聯通公共wi-fi網絡時的適當選擇，“網路發現”將默認關閉，這樣其它網絡中的計算機就不會發現你的共享而你也將不能創建或加入“家庭組”。

    在全部的網絡模式中，Windows 7 firewall都將在默認情況下攔截任何發送到不屬于白名單中應用程序的連接。如圖２所示，Windows 7允許你對不同網絡類型分別配置。

圖2 Windows 7允許你對各個網絡類型分別配置

    多重作用防火墻策略

    在Vista中，盡管你有公用網絡和私用網絡兩個配置文件，但是只會有一個在指定的時間內起作用。所以如果你的計算機發生要同時連接兩個不同網絡的情況，那你就要倒霉啦。最嚴格的那條配置文件會被用戶到所有的連接上，這意味著你可能無法在本地（私用）網絡中做你想做的事，因為你是在公用網絡在規則下操作。而在Windows 7 (和 Server 2008 R2)中，不同網絡適配器上可以使用不同的配置文件。也就是說專用網絡之間的網絡連接受專用網絡規則支配，而與公用網絡之間的流量則應用公用網絡規則。
    

    起作用的是那些不顯眼的小事

    在很多事例中，更好的可用性往往取決于小的改變，MS聽取了用戶的意見并將一些“不顯眼而又起作用小東西”加入了Windows 7 firewall之中。比如，在Vista中當你創建防火墻規則時，必須分別列出各個IP地址和端口。而現在你只需要指定一個范圍，這樣一來用在執行一般管理任務上的時間就被大大縮短了。

    你還可以在防火墻控制臺中創建連接安全規則（Connection Security Rules）來指定哪些端口或協議有使用IPsec的需求，而不必再使用netsh命令，對于那些喜歡GUI的人，這是一個更方便的改進。

    連接安全規則（Connection Security Rules）還支持動態加密。意思是如果服務器收到一個客啟端發出的未加密（但是通過了驗證）的信息，安全關聯會通過已議定的“運行中”來要求加密，以建立更安全的通訊。

    
    在“高級設置”中對配置文件進行配置

    使用“高級設置”控制面板，你可以對每一個網絡類型的配置文件進行設置，如圖3所標

圖3 你可以通過“高級設置”來設置每一個配置文件
 

    對配置文件，你可以進行如下設置：

    * 開啟/關閉防火墻
    * （攔截、攔截全部連接或是允許）入站連接
    * （允許或攔截）出部連接
    * （在有程序被攔截后是否通知你）通知顯示
    * 允許單播對多播或廣播響應
    * 除組策略防火墻規則以外允許本地管理員創建并應用本地防火墻規則
    * 除組策略連接安全規則以外允許本地管理員創建并應用本地連接安全規則

     記錄日志

    在Vista firewall里可以為把日志事件設置為記錄到文件中（默認路徑為Windows/System32/LogFiles/Firewall/pfirewall.log）。而在Windows 7中，為了更容易訪問，還可以把日志事件寫入“事件查看器”的“應用程序和服務（Applications and Services）”中。并通過打開“事件查看器”，在左邊面板，點擊高級配置中的“應用程序和服務日志” －－ Microsoft －－Windows －－Windows Firewall with Advanced Security對日志進行訪問，如圖4所示。
 

圖4 Windows 7事件查看器中的防火墻日志

    在事件查看器日志中，你可以通過創建一個自定義查看，對日志進行過濾、搜索或者進行更詳細的日志記錄。

    Netsh命令

    Windows 7包含了向后兼容的netsh環境，不過，如果你運行它，你將收到一條重要信息提示不贊成使用"netsh firewall"，最好用"netsh advfirewall firewall"代替。

    總結

    Windows 7 Firewall對Windows Vista firewall進行了諸多改進，并將“隱藏的”高級特性都顯示了出來。因為沒有在防火墻應用程序里顯示出來，很多用戶，包括一些IT專業人士，都沒有發現在Vista firewall中就可以對出站的通訊進行過濾、監控等等性能高級配置。在Windows 7中，MS內置了一個比之以前的版本功能更加強大的防火墻，這也使其替代其它第三方主機防火墻產品成為一種切實的可能。