企業用戶要謹慎處理這些設定－其中一些選項可能是區域網路中路由通訊所必需的。
可以設定一條全局規則來處理這些未知傳輸協定（包括類似IPX或者NetBEUI的傳輸協定）－建議設定該項規則來進行遮閉。
改動收益：防止未來可能經由這些連接阜的訊息洩漏。
付出代價：出於Outpost採用的處理規則的方式，這些改動可能會顯著增大相關處理流程的數量，尤其對於使用文件共享程序或者位於比較繁忙區域網路中的用戶來說。
步驟：
未使用的傳輸協定
?進入「選項／系統／系統和套用程式全局規則／設定」；
?點選「增加」新增新的全局規則；
?設定指定傳輸協定為IP，此時其後面所跟的「檔案檔案類型」是「未定義」；
?點擊「未定義」進入IP檔案檔案類型列表視窗；
?選定你想要遮閉的檔案檔案類型然後點擊OK；
?設定回應操作為「禁止」，再自己定義恰當的規則名稱後點擊OK。
未知傳輸協定
?進入「選項／系統／系統和套用程式全局規則／設定」；
?點選「增加」新增新的全局規則；
?設定傳輸協定為「未知」，回應操作為「禁止」，再自己定義恰當的規則名稱後點擊OK。
E － 套用程式規則 （位於「選項／套用程式」）
E1－移除位於「信任的套用程式」組中的項目
即使程序需要正常的訪問網際網路，對其通訊不加過問的一律放行也不是明智的做法。某些程序可能會要求比所需更多的連接（浪費帶寬），有的程序會跟「老家」悄悄聯繫洩漏你的隱私訊息。出於這種考慮，應該把「信任的套用程式」組中的項目移入「部分允許的套用程式 」組，並且設定如下所建議的合適的規則。
E2－謹慎設定「部分允許的套用程式」
Outpost的自動組態功能將會給每一個探測到要求連接網路的程序組態預設值的規則，然而這些預設值規則是從易於使用的角度出發的，所以大多情況下可以進一步的完善之。決定什麼樣的連接需要放行無疑是防火牆組態中最富有挑戰性的部分，由於個人的使用環境和偏好不同而產生很大的差別。下文中會根據顏色的不同來區分推薦組態和參考組態。
推薦組態用紅色表示
建議組態用藍色表示
可選組態用綠色表示
如果使用了D1部分提及的「套用程式DNS」設定，那麼每個套用程式除採用下面會提到的規則外還需要一條DNS規則，請注意這些套用程式規則的優先等級位於全局規則之上，詳情請見Outpost Rules Processing Order一般問題貼。
在規則中使用域名注意事項：
當域名被用作本地機或遠端位址時，Outpost會立刻搜尋相應的IP位址（需要DNS連接），如果該域名的IP發生了改變，規則不會被自動更新－域名需要重新輸入。如果某條使用了域名的套用程式規則或全局規則失效的話請考慮這種可能性。
某些域名可能使用了多個IP位址－只有在「選項／套用程式」中手動建立的規則Outpost才會自動尋找其所有IP位址，通過規則精靈建立的規則則不行。因此，通過規則精靈建立的規則需要重新在「選項／套用程式」中手動輸入域名以確保所有IP位址能被找到 。
Svchost.exe（Windows XP系統獨有）
Svchost.exe是一個棘手的程序－為了完成一些基本的網路工作它需要進行網際網路連接，但是給它完全的權限又會把系統至於RPC（例如Blaster、Welchia/Nachi等蠕蟲）洩漏的危險之中。給這個程序新增合適的規則也就變得格外的重要。
Allow DNS(UDP)：傳輸協定 UDP，遠端連接阜 53，遠端位址 <你的ISP的DNS服務器位址>，允許
Allow DNS(TCP)：傳輸協定TCP，方向 出站，遠端連接阜 53，遠端位址 <你的ISP的DNS服務器位址>，允許
Possible Trojan DNS(UDP)：傳輸協定 UDP，遠端連接阜 53，禁止並且報告
Possible Trojan DNS(TCP)：傳輸協定 TCP，方向 出站，遠端連接阜 53，禁止並且報告
?DNS規則 － 可在D1部分中檢視詳情，只有在DNS客戶端服務沒有被禁止的情況下才需要這些規則，因為此時svchost.exe才會進行搜尋工作；
?因為此處只需要一條TCP規則，此規則被設定為「允許」；
? 因為某些木馬程序試圖把它們的活動偽裝成DNS查詢，推薦把任何試圖與DNS服務器以外的位址進行連接的嘗試視為可疑－Trojan DNS規則將報告類似的連接。如果連接是合法的（如果你的ISP更換了DNS服務器位址這些「允許」規則需要及時進行更新）則對其做出報告很容易導致網路失去連接，此時應該從禁止日誌中查明原因。
Block Incoming SSDP：傳輸協定 UDP，本地機連接阜 1900，禁止
Block Outgoing SSDP：傳輸協定 UDP，遠端連接阜 1900，禁止
? 這些規則遮閉了用於在區域網路中搜尋即插即用設備（UPnP）的簡單服務搜尋傳輸協定（SSDP）。由於即插即用設備會導致許多安全問題的出現，如非必要最好還是將其禁用－如果必須使用的話，則把這些規則設為「允許」。如果最後的「Block Other UDP」規則也被採用，即可防止SSDP起作用，所以這些規則是建議組態。
Block Incoming UPnP：傳輸協定 TCP，方向 入站，本地機連接阜 5000，禁止
Block Outgoing UPnP：傳輸協定TCP，方向 出站，遠端連接阜 5000，禁止
? 這些規則遮閉了UPnP資料包－如同上面關於SSDP的規則，如果你非常需要UPnP則把規則改為「允許」，可是一定要把UPnP設備的IP位址設為遠端位址以縮小其範圍。如果最後的「Block Other TCP」的規則被採用，即可防止UPnP起作用，所以這些規則是建議組態。
Block RPC（TCP）：傳輸協定 TCP，方向 入站，本地機連接阜 135，禁止
Block RPC（UDP）：傳輸協定 UDP，本地機連接阜 135，禁止
?這些規則實際上是預設值的全局規則中關於遮閉RPC/DCOM通訊的規則拷貝－所以在這裡並不是必需的但是可以增加一些安全性。如果你需要RPC/DCOM連接，則把這些規則改為「允許」，不過僅限於信任的遠端位址。
Allow DHCP Request：傳輸協定 UDP，遠端位址 <ISP的DHCP服務器位址>，遠端連接阜 BOOTPS，本地機連接阜 BOOTPC，允許
?DHCP 規則－請至D2部分檢視詳情（如果使用的是固定IP位址則不需套用此規則－通常只有在私有區域網路內才會如此）。因為svchost.exe會對DHCP查詢作出回應所以這條規則是必需的－由於套用了最後的「Block Other TCP/UDP」規則，全局DHCP規則此時並不會起作用。
Allow Help Web Access：傳輸協定TCP，方向 出站，遠端連接阜 80，443，允許
?Windows說明 系統可能會通過svchost.exe發起網路連接－如果你不想使用說明 系統（或者是不希望微軟知道你何時使用的）則可以略過本規則。
Allow Time Synchronisation：傳輸協定 UDP，遠端連接阜 123，遠端位址 time.windows.com，time.nist.gov，允許
?用於時間同步－只有當你需要用到Windows XP這個特性時才需要新增該規則。
Block Other TCP Traffic：傳輸協定TCP，方向 出站，禁止
Block Other TCP Traffic：傳輸協定 TCP，方向 入站，禁止
Block Other UDP Traffic：傳輸協定 UDP，禁止
?把這些規則設定在規則列表的最下面－它們會阻止未設定規則的服務的規則向導彈出視窗。未來所增加的任何規則都應該置於這些規則之上。
商業用戶請參考Microsoft KnowledgeBase Article 832017 - Port Requirements for the Microsoft Windows Server System 搜尋系統服務所需放行的額外連接阜訊息。
|