微软技术网杂誌 - 管理 Windows Vista 防火墙

本文我将详细说明 Windows Vista® 防火墙中专为简化企业管理而设计的功能，并且针对利用这项功能来简化工作、以及确保使用者安全这两点，提供一些建议。
随着 Windows Vista SP1 的推出，一般预料企业也会跟进部署 Windows Vista (通常企业会等到第一个 Service Pack 发行之后，再移转到新的作业系统)。如果您是一位为了企业环境而认真考虑 Windows Vista 的 IT 专业人员，那么就该好好研究一下防火墙。一旦了解 Windows Vista 防火墙的功能之后，也许您就会重新协议协力厂商安全性套件的合约，将防火墙从套件中移除。
虽然原版 Windows® XP 的防火墙仍有很多有待改进的地方，不过已经足够应付当时商务主机防火墙的安全性功能需求，所以并未再做任何新增或改革的动作。
但是到了 Windows XP SP2 之后，防火墙已经全然改貌，此时的防火墙完全是针对简化企业管理而设计。Windows XP SP2 的防火墙具有轻量、有效、反入侵和集中管理等特性，相当引人注目。不过最吸引人的可能还是：Windows XP SP2 防火墙能够在开机时保护系统。
最后一点可以说是最关键的一点。过去我见过许多系统在开机时中毒，即使已经开启防火墙了还是无法悻免于难。事实上，在爆破手 (Blaster) 瘟疫流行的高峰期，攻击率高达每四分钟一次。换言之，如果您没有做任何保护措施，就让电脑暴露在网际网路中，它的中毒机率大约是每四分钟一次。而如果您所信赖的防火墙未能在开机时保护系统，那么在重新开机时，12 部系统里面就有一部会中毒。这些数字在在鞭策着 Microsoft 做出可以确保开机时保护系统的 Windows XP SP2 防火墙。
Windows Vista 的防火墙还接受过一次彻底改造。从管理角度来看，最明显的改变是它把网际网路通讯协定安全性 (IPsec) 和防火墙的管理介面合而为一。这是一项深富逻辑性的改变。IPsec 和防火墙的目的，都是要把不准通关的东西封锁在外。两者不同之处在于，防火墙中负责定义哪些东西获准通关的参数不够严密，而 IPsec 中封锁或接受大量位址空间的程序却是相当麻烦。
自从把两种功能共同放在一个管理介面之后，系统管理员就可以轻鬆使用它们，而不必担心哪些部分该套用 IPsec 规则，哪些部分该遵守防火墙筛选条件。也就是说，您现在只有一个系统网路攻击面的检视，而这一点可以把犯错的风险降到最低。