Windows XP SP2的ICF配置指南

引言
微软将在2004年发布Windows XP的SP2，而近日已经有beta版的SP2流出，经过试用，我发现其在IE安全机制、自动更新以及ICF（Internet Connection Firewall）方面都有不小的改进，特别是ICF的改进尤为明显，可以看出微软确实在系统安全保护上花了不少气力。在本文中，我会详细的介绍ICF的新特性以及设置方法。
如果连较早版本的ICF都没有接触过，请先阅读yansy的经典文章

Windows XP和2003防火墙(ICF)设置指南
http://www.5dmail.net/html/2004-10-9/2004109100619.htm

ICF的新特性
在Windows XP SP2里，ICF发生了不小的变化，包括：
1.        缺省情况下，ICF在所有的网络连接中是开启的
2.        新的配置界面，如下图，可以看出ICF不仅变得更加美观，还加入了一些新的元素和选项
3.        新的隔离类型
从上图中我们可以看到，在ICF的常规选项卡中，除了从前就有的on和off外，又增加了一个On with no exceptions的选项，当ICF工作在这种模式下，将会丢弃所有进入的数据包。这样，当恶意程序扩散或者遭受突如其来的为止攻击时，可以临时选择这个选项保护系统的安全。
4.        本地子网限制
在旧版的ICF里，当你设置允许的通信的时候，只能选择端口，而不能约束IP，而新版的ICF则可以严格的设置子网，举例来说，利用子网限制，你可以让局域网内的用户访问你的文件共享，而Internet上的计算机则不能访问。
5.        应用到所有连接的通用配置选项。
你可以设置通用配置，应用到所有的连接。这意味着你不用还像在旧版本的XP里那样，为每个网络连接逐一的配置防火墙了
6.        可以通过应用程序的文件名指定特定的通信
从前ICF只能指定端口，而不能指定程序，现在你则可以在允许的通讯中直接选择特定的程序。这非常方便，例如如果你想允许MSN通信，却不知道MSN的端口号，你就可以直接浏览，选择MSN的应用程序，如%ProgramFiles%\Messenger\msmsgs.exe。
7.        内建的IPv6支持
8.        新的组策略配置选项
在旧版的ICF中，你只能通过网络连接、网络创建向导和Internet连接向导来开/关ICF。
而在新版的ICF中，可以通过组策略来控制ICF模式、允许的通信等设置。




ICF设置方法
了解了上面的新特性，你是否有这样那样的疑问呢？笔者将在下面具体介绍ICF设置方法，让你对ICF的用法了如指掌。

你可以在控制面板> Internet Connection Firewall里打开ICF面板，也可以通过右击网络连接的图标来打开ICF面板。如下图




接上




前面我们已经了解了ICF面板中的“常规”选项卡，下面让我们来看看其他几个选项卡：

“允许的通信”选项卡，这个选项卡中列出了允许与外界通信的项目（ICF缺省是除了这里列出并选择的项目以外，阻止一切通信），缺省列出的是一些基本的程序，我们可以通过在项目前打勾来允许它们与外界通信，去掉勾来阻止它们与外界通信。也许我们还需要其他的项目能够与外界通信，那么就要手动添加了，点击左下角的“添加”按钮，有两种添加项目的方法，一种是通过应用程序文件名，另一种是通过端口号。




如果我们不知道这个程序是通过哪个端口与外界通信，或者不知道它是基于UDP还是TCP的，就可以直接选择“选择一个程序”，填入其完整路径+文件名。例如我们要允许QQ与外界通信，可以直接通过浏览，找出程序的位置，并选择，加上一条注解，点确定就可以了。这里还会要求我们选择“所有的IP地址”或是“本地子网”，如果选择本地子网，就意味着这个程序只能与本地计算机通信了，因此我们一般选择“所有的IP地址”，除非有特殊的需要。




如果我们对端口号以及TCP/UDP比较清楚，便可以采取后一种方式，即指定端口号的方式。例如我们建了一个HTTP服务器，可以在端口号里填上80。而如果只希望局域网内的用户能够访问，就仅仅选择“本地子网”。




网络连接选项卡
在这里，你可以选择ICF应用到哪些连接上，当然，也可以通过点击左下角的设置来对某个连接进行单独的配置。




例如你想在本地连接上启用WEB服务器，只需点击本地连接，选择设置，添加一条允许的项目，在端口号填80（因为缺省就存在HTTP，因此这里的端口号一栏是灰色的，无法改变），第2条里填写本机的IP地址或者机器名，确定，并在项目前打勾就行了，如图




日志设置选项卡
新版ICF的日志选项卡与它的前身大同小异，日志选项里面的设置可以记录防火墙的跟踪记录，包扩丢弃和成功的所有事项，在日志文件选项里，我们可以更改记录文件存放的目录。我们还可以手工设置日志文件的大小。xp默认的选项是不记录任何拦截或成功的事项，同时记录文件的大小默认是4M。




ICMP选项卡
这个选项卡也基本没有什么变化，ICMP的作用很多的，我们可以打开或关闭某些。如图，当我们选定鼠标所指的选项时，下方会出来相应的描述信息，我们可以安装我们的要求进行配置。缺省情况下所有的ICMP都没有打开。




最后我们来介绍如何用组策略部署ICF
要打开组策略编辑器，只需单击选择“开始”→“运行”命令，在“运行”对话框的“打开”栏中输入“gpedit.msc”，然后单击“确定”按扭即可启动Windows XP组策略编辑器。（注：这个“组策略”程序位于“C:\WINNT\SYSTEM32”中，文件名为“gpedit.msc”。）
也可以通过MMC来打开组策略编辑器
（1）单击选择“开始”→“运行”命令，在弹出的对话框中键入“mmc”，然后单击“确定”按扭。打开Microsoft管理控制台窗口。
（2）选择“文件”菜单下的“添加/删除管理单元”命令。
（3）在“添加/删除管理单元”窗口的“独立”选项卡中，单击“添加”按扭。
（4）弹出“添加独立管理单元”对话框，并在“可用的独立管理单元”列表中选择“组策略”选项，单击“添加”按钮。
（5）由于是将组策略应用到本地计算机中，故在“选择组策略对象”对话框中，单击“本地计算机”，编辑本地计算机对象，或通过单击“浏览”按扭查找所需的组策略对象。
（6）单击“完成”→“关闭”→“确定”按扭，组策略管理单元即可打开要编辑的组策略对象。


进入组策略编辑器后，我们就可以开始用它配置ICF了
从控制台树上依次打开计算机配置>管理模板>网络 >网络连接>Internet Connection Firewall。在ICF树下，我们可以看到两个分支，一个是域配置文件，一个是移动配置文件。简单的说，当计算机连接到有域控制器的网络中时，是域配置文件起作用，相反，则是移动配置文件起作用。即使你没有配置移动配置文件，缺省的值也会生效，因此我建议你最好还是配置一下移动配置文件。




ICF的组策略设置包括以下选项：
1 操作模式：用来配置ICF的三种模式(Enabled相当于on, Disabled相当于off,Shielded则相当于on with no exceptions)。
2 合并用户偏好/则策略设置：用来使ICF上的本地设置生效。
3 定义允许的程序：通过文件名设置允许通信的应用程序
4 允许为RPC和DCOM动态分配端口：决定是否为RPC和DCOM打开监听端口
5 允许文件和打印共享
6 允许ICMP设置：用来设置ICMP，用法和直接操作一样
7 允许远程协助：接受远程请求
8 允许UPNP
9 设置端口：通过端口号设置允许通信的应用程序

应用组策略，我们可以将ICF的设置应用到各种容器中，例如域、OU和站点。这样大大的简化了管理员的工作



推荐的组策略设置：
1 操作模式：Enabled
2 合并用户偏好/则策略设置：Disabled
3 定义允许的程序：程序名
4 允许为RPC和DCOM动态分配端口：Disabled
5 允许文件和打印共享：需要时Enabled
6 允许ICMP设置：只允许基本的ICMP
7 允许远程协助：需要时Enabled
8 允许UPNP：需要时Enabled
9 设置端口：端口号