确保安全 详述 Vista 防火墙

　　在本文中，我将详细说明 Windows Vista 防火墙中专为简化企业管理而设计的一些功能，并针对如何利用这些功能来简化任务和确保用户安全提供一些建议。

　　随着近期 Windows Vista SP1 的发布，您可能预料企业也将随之部署 Windows Vista。(通常企业会等待第一个 Service Pack 发布之后，再迁移到新的操作系统。)如果您是一位要针对企业环境认真了解 Windows Vista 的 IT 专业人员，就应该好好研究一下防火墙。了解 Windows Vista 防火墙的功能之后，您可能会重新协商第三方安全套件的协议以从软件包中删除防火墙。

　　Windows 防火墙的今与昔

　　虽然最初的 Windows XP 版本中的防火墙有很多需要改善的地方，但足以应付当时基于商务主机的防火墙的安全性功能需求，所以并未进行任何新增或创新。

　　然而到了 Windows XP SP2，防火墙就已经全面改观了，此时的防火墙专门针对简化企业管理而设计。Windows XP SP2 防火墙是一种反入侵的轻型高效防火墙，并可进行集中管理，因此相当吸引人。不过最吸引人的可能还是：Windows XP SP2 防火墙能够在启动时保护系统。

　　最后这一点非常关键。过去我见过许多系统在启动时中毒，即使已经打开防火墙也无法幸免。实际上，在 Blaster(冲击波)病毒传播的高峰期，攻击率高达每四分钟一次。换句话说，如果将一台未采取保护措施的计算机暴露在 Internet 中，那么平均每隔四分钟该计算机就会被感染一次。如果您所依赖的防火墙未能在启动时保护系统，那么重新启动时，每 12 个系统中就会有一个被感染。面对这么严峻的形势，Microsoft 推出了可确保在启动时保护系统的 Windows XP SP2 防火墙。

　　到了 Windows Vista，防火墙又进行了一次全面革新。从管理角度来看，最明显的改变是将 Internet 协议安全 (IPsec) 和防火墙的管理界面合而为一。这是一项颇具逻辑性的更改。IPsec 和防火墙的用途都是将不允许的内容阻止在外。二者的区别在于，防火墙中负责定义允许内容的参数不够严密，而通过 IPsec 阻止或允许大量地址空间也相当麻烦。

　　将两种功能放在同一个管理界面中之后，管理员就可以无缝地使用这两种技术，而无需考虑某个部分是需要应用 IPsec 规则，还是应该应用防火墙筛选器。也就是说，您只有一个系统网络攻击面视图，这可以将犯错的风险降到最低。

　　Windows Vista SP1 在防火墙功能中添加了一些可靠性增强功能，同时也为 IPsec 添加了一些新算法，特别是 Suite B 算法。这是一组与加密相关的算法，包括高级加密系统 (AES)、椭圆曲线密码 (ECC) 以及安全哈希算法 (SHA) 256 和 384。

　　但最重要的是，Service Pack 1 添加了对网络访问保护 (NAP) 的支持。NAP 是一种策略实施工具，它可以在托管客户端和尚未泄露的客户端获准连接网络之前，利用最新的安全策略、更新和反恶意软件定义确保它们保持最新状态。虽然 NAP 无法阻止恶意主机连接到网络，但只要所有托管主机没有被主动泄露，就可以确保它们完全受到保护。

　　Windows Server? 2008 也采用了 Windows Vista 防火墙，即称为具有高级安全性的 Windows 防火墙。所有功能都可以实现远程管理，而且可以使用组策略进行跨网络配置。