多重作用防火墙策略

　　在Vista中，尽管你有公用网络和私用网络两个配置文件，但是只会有一个在指定的时间内起作用。所以如果你的计算机发生要同时连接两个不同网络的情况，那你就要倒霉啦。最严格的那条配置文件会被用户到所有的连接上，这意味着你可能无法在本地（私用）网络中做你想做的事，因为你是在公用网络在规则下操作。而在Windows 7(和Server 2008 R2)中，不同网络适配器上可以使用不同的配置文件。也就是说专用网络之间的网络连接受专用网络规则支配，而与公用网络之间的流量则应用公用网络规则。

　　起作用的是那些不显眼的小事

　　在很多事例中，更好的可用性往往取决于小的改变，MS听取了用户的意见并将一些“不显眼而又起作用小东西”加入了Windows 7 firewall之中。比如，在Vista中当你创建防火墙规则时，必须分别列出各个IP地址和端口。而现在你只需要指定一个范围，这样一来用在执行一般 管理任务上的时间就被大大缩短了。

　　你还可以在防火墙控制台中创建连接安全规则（Connection Security Rules）来指定哪些端口或协议有使用IPsec的需求，而不必再使用netsh命令，对于那些喜欢GUI的人，这是一个更方便的改进。

　　连接安全规则（Connection Security Rules）还支持动态加密。意思是如果服务器收到一个客启端发出的未加密（但是通过了验证）的信息，安全关联会通过已议定的“运行中”来要求加密，以建立更安全的通讯。

　　在“高级设置”中对配置文件进行配置

　　使用“高级设置”控制面板，你可以对每一个网络类型的配置文件进行设置.

　　对配置文件，你可以进行如下设置：

* 开启/关闭防火墙

* （拦截、拦截全部连接或是允许）入站连接

* （允许或拦截）出部连接

* （在有程序被拦截后是否通知你）通知显示

* 允许单播对多播或广播响应

* 除组策略防火墙规则以外允许本地管理员创建并应用本地防火墙规则

　　关于用netsh.exe配置系统防火墙

　　(1).查看、开启或禁用系统防火墙

　　打开命令提示符输入输入命令“netsh firewallshow state”然后回车可查看防火墙的状态，从显示结果中可看到防火墙各功能模块的禁用及启用情况。命令“netsh firewall set opmode disable”用来禁用系统防火墙，相反命令“netsh firewall set opmode enable”可启用防火墙。

　　(2).允许文件和打印共享

　　文件和打印共享在局域网中常用的，如果要允许客户端访问本机的共享文件或者打印机，可分别输入并执行如下命令：

netsh firewall add portopening UDP 137 Netbios-ns(允许客户端访问服务器UDP协议的137端口)

netsh firewall add portopening UDP 138 Netbios-dgm(允许访问UDP协议的138端口)

netsh firewall add portopening TCP 139 Netbios-ssn(允许访问TCP协议的139端口)

netsh firewall add portopening TCP 445 Netbios-ds(允许访问TCP协议的445端口)

　　命令执行完毕后，文件及打印共享所须的端口都被防火墙放行了。

　　(3).允许ICMP回显

　　默认情况下，Windows 7出于安全考虑是不允许外部主机对其进行Ping测试的。但在一个安全的局域网环境中，Ping测试又是管理员进行网络测试所必须的，如何允许Windows 7的ping测试回显呢？

当然，通过系统防火墙控制台可在“入站规则”中将“文件和打印共享(回显请求– ICMPv4-In)”规则设置为允许即可(如果网络使用了IPv6，则同时要允许ICMPv6-In的规则。)。不过，我们在命令行下通过netsh命令可快速实现。执行命令“netsh firewall set icmpsetting 8”可开启ICMP回显，反之执行“netsh firewall set icmpsetting 8 disable”可关闭回显。