“衝擊波”等蠕蟲病毒特征之（zhī）一就（jiù）是利用有（yǒu）漏洞的操作係統進行端口攻擊，因此防範此（cǐ）類病毒的簡單方法就是屏蔽不必要的端口，防火牆軟件都有此功能，其實對於采用（yòng）Windows2003或者（zhě）WindowsXP的用戶來（lái）說，不（bú）需要安裝任何其他軟件，因為可（kě）以利用係統自帶的“Internet連接防火牆”來防範黑客的攻擊。

一、基本設置（zhì）

1、鼠標右鍵單擊“網上鄰居”，選擇“屬性”。

2、然後鼠標右鍵單擊“本地連接”，選擇“屬性”，出（chū）現圖1界（jiè）麵。如圖（tú）選擇（zé）“高級”選項，選中“Internet連接防火牆”，確定後防火牆即起了作（zuò）用（yòng）。

圖 1

二、測試基本（běn）設置

1、在另為一（yī）台機子（zǐ）上ping本機，出（chū）現Request timed out表示ping不同本機

2、在另為一台機子上用漏洞掃描工具掃描本機發現沒（méi）有打開的端口。

這兩種測試通過後說明防火牆已經起了作用。

三、高級設置

點擊圖1中（zhōng）“設置(G)...”按鈕出現圖2界麵可進行高級設置（zhì）。

圖2

1、選擇要開通的服務

如圖3所示，如果本機要開通相應的（de）服務可選中（zhōng）該服務，本例（lì）選（xuǎn）中了FTP服（fú）務，這樣（yàng）從（cóng）其（qí）它機器就（jiù）可FTP到本機，掃描本（běn）機可以發現21端口是開放的。可以按“添（tiān）加”按鈕增加相（xiàng）應的服務端口（kǒu）。

圖3

2、設（shè）置日（rì）誌

如（rú）圖4所示，選擇要記錄的項目，防（fáng）火牆將記錄相應的數據，日誌默認在c:\windows\pfirewall.log，用記事（shì）本就可以打開看看。

圖4

3、設置ICMP協議

如圖5所示，最常用的ping就（jiù）是用的ICMP協議，默認設置完後ping不通本機就是因為屏蔽了ICMP協議，如果想ping通本機隻需將“允許傳（chuán）入（rù）響應請求”一項（xiàng）選中即可。

圖5

四、幾點疑問

設置非常簡單，但我在給別人設置過程中，有些人提出了以下幾點疑問，不知您（nín）是否也有（yǒu）下麵的困惑?

1、端（duān）口都封住了（le）怎麽與別的計算機通信?

按默認設置完成（chéng）後，可（kě）以看出沒有添加一個端（duān）口，那端口都封住（zhù）了怎麽與別的（de）計算機通（tōng）信呢?

在Internet上（shàng）相互通信是靠TCP/IP協議完成（chéng）的，而上網訪問網頁時（shí），是在本（běn）機上隨機打開一個（gè）大於1024的端（duān）口去連服務器的80服務端口，用Telnet協議登陸其（qí）它設備也（yě）是在本機上（shàng）隨機打開一個大於1024的端口去連服務器（qì）的23服務端口。“Internet連接防火牆”封住的是服務端口，例（lì）如HTTP的80端口，FTP的21端口、TELNET的23端口等，隻要係統提供了這些服務，一開機這些端口就是開放的，等待別的計算（suàn）機連接到提供服務（wù）的計算機上，可以說這些端口是長期有效的。而隨機打開的端（duān）口是臨（lín）時的，比如當你上（shàng）網（wǎng）訪問一（yī）個網站，你（nǐ）的計算機（jī）隨機開個端口1026連接到網（wǎng）站服務器的80端口，當訪問完畢關閉網頁（yè）後，本機的1026端（duān）口隨之關閉，而服務器的80端口始終是開著的。有上可見“Internet連接防火牆”是封住的服務（wù）端口，而（ér）不是臨時打開的端口，所以一個端口不添（tiān）加也可正常上網。WIN98默認不提供任何服務就沒有打開的端口，不照樣能正常（cháng）上網嗎?

一般上網用（yòng）戶不用提供任何服務，所（suǒ）以沒有必要開放任（rèn）何端口，但是要利用一些（xiē）網絡聯絡工具，比如要開通FTP服務的話，就要把（bǎ）“21”這個端口打開，同理，如果發現某個常用的網絡工具不起作用時，請（qǐng）查清它在本機所開的端口，然後在“Internet連接防火牆”中添加端口即可。

2、設置了“Internet 連接防（fáng）火牆”後用netstat –na命令察看，可是端口還是開的?

有些人以為如上設置後就沒有端（duān）口開放了，可設置完（wán）後用netstat–na命令察看開放的端口與沒設置之前一樣一（yī）個不少，難道（dào）沒（méi）起作用?

實際上端口是由（yóu）某個服務的進程打（dǎ）開的，要徹底關閉某（mǒu）個端口就要結束相應（yīng）的服務，例（lì）如要（yào）關閉（bì）80端口（kǒu）就要（yào）停止WWW服務。而我們用“Internet連接防火牆”是在外圍建一個防火牆，打個簡單的比喻，一所房子有很（hěn）多的門（mén），要保證安全有兩（liǎng）個辦法，一是把門用（yòng）磚（zhuān）頭堵住;二是留著門，在房子周圍建一道牆。用結束進程來關閉端口（kǒu）用的是第一種辦法（fǎ），用“Internet連接（jiē）防火牆”用的是（shì）第二種方法，雖然用netstat–na察看端口是開放的，但在外圍已建了一睹密不透風（fēng）的牆。

如（rú）何（hé）知道防火牆是否起作用了?最簡單（dān）的方（fāng）法就是在另外一台機子上用xscan、superscan之類的掃描（miáo）工具掃描本機，如（rú）果沒有打開的端口表示在房子周（zhōu）圍建一道牆是（shì）沒有漏洞的。

3、沒有掃描軟件如何在遠（yuǎn）程測試本（běn）機端口是否打開（kāi）

如果手頭沒有掃描軟件，可以用telnet命令（lìng）來測試（shì）相應（yīng）的（de）端口是否打開，例如測試21端口（kǒu）是否打開，可以在另為一台機器上telnetxxx.xxx.xxx.xxx21，如果端口打（dǎ）開會出現提示信息，如果沒有打開則出現連（lián）接失敗的提示。