Windows Vista防火墙全攻略(中)

　　Windows防火墙的高级安全

　　在Windows Vista之中的新东西是第二接口，被叫做“高级安全的Windows防火墙”（Windows Firewall with Advanced Security）。 这个接口不是为了传统的家庭用户准备的，但是相对来说更具弹性，为一些水平较高的用户提供了相关的能力，以便执行特别细微的Windows防火墙配置任务。

　　这个高级接口可以通过几个不同的方法进行访问：
　　◆通过控制面板： Start（开始） | Control Panel（控制面板） | Class View（传统视图） | Administrative Tools（管理工具） | Windows Firewall with Advanced Security（高级安全的Windows防火墙）.
　　◆或者，执行下述步骤：

　　1. 进入“Start（启动） | All Programs（所有程序） | Accessories（附件）”，然后选择“Run（运行）”。
　　2. 在“Run（运行）”框中，输入“MMC”，然后按下回车键。
　　3. 在微软的管理控制台窗口中，找到“File（文件） | Add/Remove Snap-in（添加/删除快照）.”
　　4. 在“Add/Remove Snap-in（添加/删除快照）”对话框中，如图H所示，在可用的快照面板中，卷动窗口，直到“Windows Firewall with Advanced Security（高级安全的Windows防火墙）”。

图H Add/Remove Snap-in（添加/删除快照）窗口。

　　5. 点击“Add（添加）”按钮。
　　6. 当被询问要求选择被快照所应当管理的电脑时，选择本地电脑选项，然后按下“Finish（结束）”。
　　7. 按下“OK（确定）”。 这会将你带回MMC。
　　8. 按下Windows Firewall with Advanced Security（高级安全的Windows防火墙）旁边的向下箭头。 这会打开防火墙的配置选项，并显示当前的防火墙状态。 这个屏幕如图I所示。

图I 显示了Windows防火墙状态的MMC

　　在这个主要的配置窗口，有大量的配置选项可用。 我将在本文中对主要的几点进行一下讲述。 首先，要注意Overview（概要）区域，这里提供给你很多和Windows防火墙相关的信息。

　　高级安全的Windows防火墙属性窗口

　　第一个要留心的地方，就是防火墙的属性窗口，可以通过Actions（动作）面板中的Properties（属性）链接进行访问。 注意这一点，在图J中，Domain Profile（域文件）页面被选中了。 另外，也要注意Public Profile（公共文件）和Private Profile（私人文件）页面都有和Domain Profile（域文件）页面同样的选项。

图J 被打开的属性页面，Domain Profile页面被选中了

　　在继续朝下讲之前，现在是解释一下不同Profile之间区别的好时候。
　　◆Domain Profile:（域文件） 在这个Profile中提供的选项，是当电脑连接某个共同域时所强制执行的选项。
　　◆Private Profile:（私人文件） 在这个Profile中提供的选项，是当电脑连接某个私人网络时所强制执行的选项。
　　◆Public Profile:（公共文件） 在这个Profile中提供的选项，是当电脑连接某个公共网络时所强制执行的选项。

　　在任何一个Profile文件页面，都可以执行很多任务：
　　◆通过点击“Firewal state（防火墙状态）”按钮，启用或者禁止防火墙。
　　◆确认进入方向的连接应当被如何处理。 你的选择有：

　　1. Block（禁止，这是默认的）： 根据你预先定义好的通信规则，对进入方向的通信进行阻挡。
　　2. Block all connections（阻挡所有连接）: 阻挡所有进入的通信，而不管防火墙规则如何。
　　3. Allow（允许）: 允许所有的通讯都穿越防火墙。

　　◆确定如何处理外出的连接；你的选择是允许或者阻挡。 这里没有阻挡所有（blocking all）的选项。
　　◆通过按下Settings（设定）旁边的“Customize”（自定义）按钮，来自定义Windows防火墙的行为。
　　◆通过按下Logging（记录）旁边的“Customize”（自定义）按钮，来自定义Windows防火墙该如何处理记录。

　　在图K中所示的屏幕，展示了当你按下属性页面中的Setting（设定）区域的Customize（自定义）按钮之后是怎样的。 在这个屏幕上，决定了你将如何处理防火墙的通知，以及是否在多播/广播通信允许的情况下进行回应。

图K 在选定profile下的自定义设定

　　如果你想修改记录选项（logging），点击窗户底部的“Customize（自定义）”按钮。 你会看到类似图L这样的一个窗口。
 

图L 在选定profile下的自定义记录（logging）设定

　　在这个窗口中，使用“Browse（浏览）”按钮来选择防火墙记录文件的存放路径以及文件名。 这里也可以定义最大的记录文件尺寸，并指出是否打算记录丢弃的数据包以及（或者）成功的连接。 如果你记录了太多信息的话，你的记录文件可能会迅速变得很笨重而难以处理。

　　回到属性页面，唯一和其他不一样的页面，是IPsec设定页面，如图M所示。
 

图M Ipsec设定页面

　　这个屏幕上没多少东西。 在这里，你可以呼出更多的IPsec实质配置窗口，如图N所示。你也可以选择是否从Ipsec中排除ICMP数据包。 这么做，可以简化你的网络调试，因为它将IPsec的层面从等式中去除了。
 

图N 更多的防火墙IPsec配置自定义

　　在图N中所示的选项是真实的，在IPsec的配置之下的东西。 在这里，你可以对你的key交换模式，数据保护模式，以及认证方式等进行配置。 注意，每一个选项都提供了“默认（Default）”的一个设置，就像其他可以选择的选项一样。 每一个选项同样也提供了一个“Advanced（高级）”选择。 当你选择了一个高级选项时，相关的“Customize（自定义）”按钮就可用了。 当你按下其中的一个自定义按钮之后，你看到的选项，将允许对IPsec配置进行非常细微的配置。 每一个高级选项窗口都如下面的图O，图P，和图Q所示。
 

图O 在Windows防火墙中可用的高级IPsec key交换选项
 

图P 高级IPsec数据保护选项
 

图Q 高级认证模式窗口，以及其他认证选项