Win XP SP2防火墙设置详细讲解

1、Win XP SP2防火墙设置详细讲解根据微软资料编写 目前已经发布的英文版Windows XP Service Pack 2（SP2）包括了全新的Windows防火墙，即以前所称的Internet连接防火墙（ICF）。Windows防火墙是一个基于主机的状态防火墙，它丢弃所有未请求的传入流量，即那些既没有对应于为响应计算机的某个请求而发送的流量（请求的流量），也没有对应于已指定为允许的未请求的流量（异常流量）。Windows防火墙提供某种程度的保护，避免那些依赖未请求的传入流量来攻击网络上的计算机的恶意用户和程序。 在Windows XP SP2中，Windows防火墙有了许多新增特性，其中

2、包括： 默认对计算机的所有连接启用 应用于所有连接的全新的全局配置选项 用于全局配置的新增对话框集 全新的操作模式 启动安全性 本地网络限制 异常流量可以通过应用程序文件名指定 对Internet协议第6版（IPv6）的内建支持 采用Netsh和组策略的新增配置选项 本文将详细描述用于手动配置全新的Windows防火墙的对话框集。与Windows XP（SP2之前的版本）中的ICF不同，这些配置对话框可同时配置IPv4和IPv6流量。 Windows XP（SP2之前的版本）中的ICF设置包含单个复选框（在连接属性的“高级”选项卡上“通过限制或阻止来自Internet对此计算机的访问来保护我的

3、计算机和网络”复选框）和一个“设置”按钮，您可以使用该按钮来配置流量、日志设置和允许的ICMP流量。 在Windows XP SP2中，连接属性的“高级”选项卡上的复选框被替换成了一个“设置”按钮，您可以使用该按钮来配置常规设置、程序和服务的权限、指定于连接的设置、日志设置和允许的ICMP流量。 “设置”按钮将运行全新的Windows防火墙控制面板程序（可在“网络和Internet连接与安全中心”类别中找到）。 新的Windows防火墙对话框包含以下选项卡： “常规” “异常” “高级” “常规”选项卡 在“常规”选项卡上，您可以选择以下选项： “启用（推荐）” 选择这个选项来对“高级”选项卡

4、上选择的所有网络连接启用Windows防火墙。 Windows防火墙启用后将仅允许请求的和异常的传入流量。异常流量可在“异常”选项卡上进行配置。 “不允许异常流量” 单击这个选项来仅允许请求的传入流量。这样将不允许异常的传入流量。“异常”选项卡上的设置将被忽略，所有的连接都将受到保护，而不管“高级”选项卡上的设置如何。 “禁用” 选择这个选项来禁用Windows防火墙。不推荐这样做，特别是对于可通过Internet直接访问的网络连接。 注意对于运行Windows XP SP2的计算机的所有连接和新创建的连接，Windows防火墙的默认设置是“启用（推荐）”。这可能会影响那些依赖未请求的传入流量

5、的程序或服务的通信。在这样的情况下，您必须识别出那些已不再运作的程序，将它们或它们的流量添加为异常流量。许多程序，比如Internet浏览器和电子邮件客户端（如：Outlook Express），不依赖未请求的传入流量，因而能够在启用Windows防火墙的情况下正确地运作。 如果您在使用组策略配置运行Windows XP SP2的计算机的Windows防火墙，您所配置的组策略设置可能不允许进行本地配置。在这样的情况下，“常规”选项卡和其他选项卡上的选项可能是灰色的，而无法选择，甚至本地管理员也无法进行选择。 基于组策略的Windows防火墙设置允许您配置一个域配置文件（一组将在您连接到一个包含

6、域控制器的网络时所应用的Windows防火墙设置）和标准配置文件（一组将在您连接到像Internet这样没有包含域控制器的网络时所应用的Windows防火墙设置）。这些配置对话框仅显示当前所应用的配置文件的Windows防火墙设置。要查看当前未应用的配置文件的设置，可使用netsh firewall show命令。 要更改当前没有被应用的配置文件的设置，可使用netsh firewall set命令。 “异常”选项卡 在“异常”选项卡上，您可以启用或禁用某个现有的程序或服务，或者维护用于定义异常流量的程序或服务的列表。当选中“常规”选项卡上的“不允许异常流量”选项时，异常流量将被拒绝。 对于W

7、indows XP（SP2之前的版本），您只能根据传输控制协议（TCP）或用户数据报协议（UDP）端口来定义异常流量。对于Windows XP SP2，您可以根据TCP和UDP端口或者程序或服务的文件名来定义异常流量。在程序或服务的TCP或UDP端口未知或需要在程序或服务启动时动态确定的情况下，这种配置灵活性使得配置异常流量更加容易。 已有一组预先配置的程序和服务，其中包括： 文件和打印共享 远程助手（默认启用） 远程桌面 UPnP框架 这些预定义的程序和服务不可删除。 如果组策略允许，您还可以通过单击“添加程序” ，创建基于指定的程序名称的附加异常流量，以及通过单击“添加端口”，创建基于指定

8、的TCP或UDP端口的异常流量。 当您单击“添加程序”时，将弹出“添加程序”对话框，您可以在其上选择一个程序或浏览某个程序的文件名。 当您单击“添加端口”时，将弹出“添加端口”对话框，您可以在其中配置一个TCP或UDP端口。 全新的Windows防火墙的特性之一就是能够定义传入流量的范围。范围定义了允许发起异常流量的网段。在定义程序或端口的范围时，您有两种选择： “任何计算机” 允许异常流量来自任何IP地址。 “仅只是我的网络（子网）” 仅允许异常流量来自如下IP地址，即它与接收该流量的网络连接所连接到的本地网段（子网）相匹配。例如，如果该网络连接的IP地址被配置为192.168.0.99，子

9、网掩码为255.255.0.0，那么异常流量仅允许来自192.168.0.1到192.168.255.254范围内的IP地址。 当您希望允许本地家庭网络上全都连接到相同子网上的计算机以访问某个程序或服务，但是又不希望允许潜在的恶意Internet用户进行访问，那么“仅只是我的网络（子网）”设定的地址范围很有用。 一旦添加了某个程序或端口，它在“程序和服务”列表中就被默认禁用。 在“异常”选项卡上启用的所有程序或服务对“高级”选项卡上选择的所有连接都处于启用状态。 “高级”选项卡 “高级”选项卡包含以下选项： 网络连接设置 安全日志 ICMP 默认设置 “网络连接设置” 在“网络连接设置”中，您

10、可以： 1、指定要在其上启用Windows防火墙的接口集。要启用Windows防火墙，请选中网络连接名称后面的复选框。要禁用Windows防火墙，则清除该复选框。默认情况下，所有网络连接都启用了Windows防火墙。如果某个网络连接没有出现在这个列表中，那么它就不是一个标准的网络连接。这样的例子包括Internet服务提供商（ISP）提供的自定义拨号程序。 2、通过单击网络连接名称，然后单击“设置”，配置单独的网络连接的高级配置。 如果清除“网络连接设置”中的所有复选框，那么Windows防火墙就不会保护您的计算机，而不管您是否在“常规”选项卡上选中了“启用（推荐）”。如果您在“常规”选项卡上

11、选中了“不允许异常流量”，那么“网络连接设置”中的设置将被忽略，这种情况下所有接口都将受到保护。 当您单击“设置”时，将弹出“高级设置”对话框。 在“高级设置”对话框上，您可以在“服务”选项卡中配置特定的服务（仅根据TCP或UDP端口来配置），或者在“ICMP”选项卡中启用特定类型的ICMP流量。 这两个选项卡等价于Windows XP（SP2之前的版本）中的ICF配置的设置选项卡。 “安全日志” 在“安全日志”中，请单击“设置”，以便在“日志设置”对话框中指定Windows防火墙日志的配置， 在“日志设置”对话框中，您可以配置是否要记录丢弃的数据包或成功的连接，以及指定日志文件的名称和位置（

12、默认设置为Systemrootpfirewall.log）及其最大容量。 “ICMP” 在“ICMP”中，请单击“设置”以便在“ICMP”对话框中指定允许的ICMP流量类型， 在“ICMP”对话框中，您可以启用和禁用Windows防火墙允许在“高级”选项卡上选择的所有连接传入的ICMP消息的类型。ICMP消息用于诊断、报告错误情况和配置。默认情况下，该列表中不允许任何ICMP消息。 诊断连接问题的一个常用步骤是使用Ping工具检验您尝试连接到的计算机地址。在检验时，您可以发送一条ICMP Echo消息，然后获得一条ICMP Echo Reply消息作为响应。默认情况下，Windows防火墙不允

13、许传入ICMP Echo消息，因此该计算机无法发回一条ICMP Echo Reply消息作为响应。为了配置Windows防火墙允许传入的ICMP Echo消息，您必须启用“允许传入的echo请求”设置。 “默认设置” 单击“还原默认设置”，将Windows防火墙重设回它的初始安装状态。 当您单击“还原默认设置”时，系统会在Windows防火墙设置改变之前提示您核实自己的决定。WINDOWS 2000技术的54个问与答1、请问能否将域本地组加入其它域的全局组中？ 答：可以加入全局组的有通用组,全局组和域本地组. 2、administrators成员能不能用同一个帐号创建share folder和

14、Dfs root? 答：ADMINISTRATOR的权利在W2K中是最大的。除非通过GP进行限制。 3、POWER USER组能创建打印机吗？ 答：在PROFESSIONAL和SERVER，ADVANCED SERVER中可以用POWER USER创建打印机。提升为DC上就不在有POWER USER。 4、反成员资格“是什么意思？ 就是一个组所拥有的成员。 5、我登陆的时候说不允许从我这台计算机登陆。 有登陆限制！限制了你在哪一台计算机登陆。在DC的帐户属性中，的ACCOUNT选项中的LOGON TO 中可以设定从域中的哪一台计算机登陆。1.怎样安装活动目录? 答：通过开始菜单，选择“运行-输

15、入DCPROMO” 6.NTFS分区的权限设置以共享处权限为标准?还是以安全性权限为标准? 答：NTFS分区设置目录权限时，从本地访问是以本地安全处设置的权限为标准，如果从网络访问就是两个取小。、 7.NT4.0支持那些文件系统格式?WINDOWS 2000又支持那些文件系统格式? 答:NT4.0支持FAT、NTFS文件系统格式。 WINDOWS 2000支持FAT、FAT32、NTFS文件系统格式。 8.建立条带卷是否要用相同的硬盘? 答：可以使用不同的硬盘建立条带卷。 9.磁盘镜像的优点? 答：1.可以保护系统磁盘分区和引导磁盘分区。 2.镜像具有良好的读性能。 10.建立RAID-5卷最

16、少要多少个硬盘？ 答：最少需要3个硬盘。 11.在终端服务客户机要显示开始菜单应该用什么快捷键? 答:ALT+HOME 12.建立拨号连接的步骤? 答: 1.安装调制解调器 2.单击开始,指向设置,然后单击网络和拨号连接. 3.在网络和拨号连接窗口中,双击建立新连接. 4.单击拨号到专用网络 或者 拨号到INTERNET,输入电话号码等. 5.单击完成. 13.DFS根有那两种类型? 答:有独立存在的DFS根和基于域的DFS根. 14.文件加密的密钥是存放在什么位置的? 答:文件加密的密钥是放在文件头标的Data Decryption Field和 Data Recovery Field中.

17、15问：有一部分人的帳號無法登入server 但有時又可以 答：有可能是你设置了时间限制。 16 问：提示信息為帳號密特碼錯誤或嗣服器拒絕登入,但通過尋求電腦的方式又可以使用server的資源? 答：因为服务器的用户名和口令，和当前进入系统的用户名和口令是一样的。 17 问：CAL 是什么意思？ 答：购买客户防问许可证。 18 问：怎样理解域目录树共用连续的名字空间能给个例子吗？ 答：如au.contoso.msft 与contoso.msft 19 问：那au.contoso.msft 与contoso.msft连续？ 答：是连续的。 20问：什么是单一控制与多域控制？ 答：就是只有一个域与

18、多个域， 21问：OU怎么理解？ 答：OU表示组织单元。 22问：请问如何实现VPN？ 答：配置通过INTERNET连接到专用网。 23:对计算机的性能进行检测的时候，“计数器“产生的日志如何察看？最好能把每一种格式对应的察看工具都列出来。 性能日志可以分为CSV,TSV,二进制和二进制循环.CSV可以用电子表格软件查看,如EXCEL,TSV可以用文本编辑工具查看。 24 不能举个插接站(docking station)的实例？ 插接站是一种用来拓展笔记本电脑和膝上型电脑的拓展组件。 25 建立直接连接到另一个计算机主要用在什么情况？有什么好处？ 直接连接到另一个计算机是指两台计算机通过COM

19、端口进行计算机通信的方法，其受COM端口速率限制最大为BPS。注意，这时候这种方法不需要使用网卡。 26 VPN连接与普通的拔号连接有什么主要区别？只是省钱吗？省在什么地方？ VPN是VISAL PRIVATE NETWORK 的缩写，见附图。蓝色是拨号到企业，而黑色的粗线条表示通过连接到企业的网络。这种方式可以提供更高的安全性，如果是人员出差到外地就更可以剩下长途话费。而只需支付上网费和到的租用费用。 27 问：“热修复“是什么意思？能不能举个例子？. 答：见过针对某一个问题的补丁吗?这就可以算是一个HOTFIX. 28 怎样更改打印机的Spool? 答：Spool意思为打印机缓冲池，可以加

20、快打印速度，打印机缓冲池中的打印设备可以不一样，但是必须使用相同的打印机驱动程序。打印机缓冲池由一个打印机组成，通过打印服务器的多个打印端口连接到多个打印设备。 创建打印机缓冲池：打开打印机的”属性”对话框，在”端口”选项卡下，选择”启用打印机缓冲池”。 更改打印机缓冲池：打开打印机的”属性”对话框，在”高级”选项卡下，在”Spool文件夹中”，键入相应的缓冲池文件夹的目录所在位置。 29 问：224.224.224.224属于D类地址，其子网掩码为多少？ 答：224.224.224.224属于D类地址，D类地址保留作为多播使用，其没有ABC类所固有的子网掩码。但在局域网中可以根据你自己的设置

21、而定，所谓的ABCDE类只是传统的分类，将逐步被IPV6、CIDR和VLSM所淘汰。 30 问：测试TCP/IP配置最常用工具是Ipconfig、Ping和Nslookup中的哪两个？ 答：三个工具都常用，但最常用应该是Ipconfig和Ping。Ipconfig具体测试TCP/IP的配置（如IP地址、默认网关地址、DNS、WINS地址、子网掩码、MAC地址），而Ping则主要测试网络连通性。 31 问：IP地址可分为ABCDE五类，如192.168.1.10本属于C类地址，但有了子网掩码后，IP地址的分类就无效了，例如，子网掩码为255.255.0.0,那么上述地址就变成了B类地址,是这样吗

22、? 答：它们分类依然是存在的，只是其具体的掩码变了，这样做的目的是为了解决以住IP地址分类的局限性所带来的缺陷，这样可以节约IP地址空间，使IP地址的分配和管理更加灵活。 32 问：帧中继的传输速度是多少？ 答：帧中继的传输速度可以达到155-622M，可以达到其线路所能提供的带宽的速度。 33 问：在运行Win 98的机器中使用TCP/IP实用程序（如ARP，Ping），应该在什么地方输入？ 答：打开”开始”菜单，进入”程序”的”附件”中的”命令提示符”。 34 问: RPC是什么? 答: rpc是远程进程调用 35 问: 用户名中后缀的作用是什么? 答: 区别一个用户可以访问的资源的作用域

23、! 36 问: 如果一个C类网络用掩码255.255.255.192划分子网，那么会产生多少个可用的子网？ 答: 先将192化为二进制是:,用他和C类网进行与操作,所以可以的网络号 为:XXX.XXX.XXX.;XXX.XXX.XXX.;XXX.XXX.XXX.;XXX.XXX.XXX.;有四个网络ID. 37 问: 在同一个域中的计算机都必须中同一个IP子网中吗？ 答: 不必!可以是不同的子网的! 38 问：我想让你给我解释一下子网是如何划分的。把单个的CIDR网络ID划分成较小的网络ID就不会增加路由器中路由表的数量了吗？请你给我举例说明一下，可以吗？希望你能把具体的IP地址，网络ID，子

24、网掩码列出来。 答：是的把单个的CIDR网络划分成较小的网络会增加路由表中的信息，CIDR是为了优化节约IP地址的分配并结合具体实际而产生的，由于IPV4 IP地址的分类的局限性使一个大于255台主机的网络都必须用一个B类地址，故造成了IP地址的巨大浪费，另一种情况就是用很多个C类地址去补，那么则造成了路由表的快速增长，但只有RIP2和OSPF路由协议支持CIDR。下面是一个具体的例子： 如果一个公司有1500台主机，公司有一个网络ID165.223.0.0的B类网址，公司有三个部门其中总部（A）有180台PC，IT资源部（B）有1200台PC，人力资源部（C）有120台PC,你怎样优化公司的

25、网络地址的分配。则这个题的答案为： A:网络ID可为165.223.1.0掩码为255.255.255.0主机IP地址范围为165.223.1.1-165.223.1.254 B:网络ID可为165.223.2.0掩码为255.255.248.0主机IP地址范围为165.223.2.1-165.223.7.254 C:网络ID可为165.223.8.0掩码为255.255.255.254主机IP地址范围为165.223.8.1-165.223.8.127 如果用B类地址将造成64036个IP地址的浪费，用C类地址需要6个C类网络，则需要在路由表中增加6条记录，而用CIDR只需要三条记录，并且其

26、它的IP地址可分配给其它的公司。 39 问：我在WIN2000 ADVANCED SERVER 中安装内置得全拼输入法后，无法输入汉字，只能显示成小方框，OS好像又不支持其它的拼音输入法！ 答：这个问题应该是在WORD中不能输入汉字，这可能是由于2000的BUG所引起的，但可以在其它字处理软件(如FRONTPG)中输入汉字，这样你可以在其它文档中(如FRONTPG)输入后，再复制过来排版就没有问题了。我也是这样处理的，目前确实只有这个办法。 40 问：我的机器在不同的分区安装了winme和win2k，我想让两个操作系统的OE（outlook express）邮件共享同一文件夹,请问怎样操作。

27、答：具体做法如下：打开OE-工具-选项-维护-存储文件夹-更改-输入新文件夹的位置即可。 41 问：域和工作组的区别 答：域和工作组都是一组计算机的逻辑组合。工作组俗称对等网络，其中没有专用的服务器。工作组中的用户帐号和计算机帐号存储在本地计算机的安全数据库中。资源的使用、管理和身份鉴定都在计算机本地进行。通常情况下工作组中的计算机数目不超过10个，且对数据安全要求不高和网络增长不大。域中计算机共享一个公共的安全数据库，用于存储安全信息。域中资源的使用、管理和身份验证都是在域控制器上集中进行。域中所有的用户帐户都存储在域控制器上。域的规模是可伸缩的。 42 问：Single Master do

28、main、Multiple Master domain、Complete Trust domain的区别？ 答：单主控域是只单域结构且只有一个域控制器，多主控域指单域结构多个域控制器；完全信任域是指有明确信任关系的域。在1561B中讲得较为详细。 43 问：请详细说明 “森林中的树共享一个公用的配置”这句话的意思。 答：森林共享一个公用的配置即指森林中的树共享一个通用的目录架构、配置信息和全局目录。 44 问：创建子OU需要哪些权限？ 答：需要Read、List Contents、Create All Child Objects的权限。具有读的权限你才能够访问OU，列表的权限可以让你看见自己创建的子OU，创建所有子对象的权限能够创建子OU。 45 问:AGGDLP是什么意思? 答:AGGDLP是一种授权方式:具体如下:account-globle group-domain local group-permission.这样可以比较容易的控制权限. 46 问: 在同一个域中的计算机都必须中同一个IP子网中吗？ 答: 不必.可以在几个IP子网. 47问: “管理WEB站点”是不是用来管理“默认WEB站点”的？ 答: 管理WEB站点是用来管理WEB服务器的实际上,管理W