內部網站被當成網際網路、檔案一直跳「可能會被封鎖」：用 GPO 設安全性區域與附件管理

兩個很常見的使用者抱怨：「公司內部網站功能一直被擋」、「從共用資料夾拿的檔案，每次開都跳警告」。背後其實是同一套機制：安全性區域。

把內部網站指派到正確的區域

GPO 位置：使用者設定 → 系統管理範本 → Windows 元件 → Internet Explorer → 網際網路控制台 → 安全性頁面 →「將網站指派到安全性區域」。啟用後填「值名稱＝網址、值＝區域代碼」。

最常踩的坑：網址的寫法要跟使用者實際連的方式一致。 值名稱如果寫了協定（例如 https://主機），就只對那個協定有效；不寫協定、只寫主機名稱，則 http、https、file（網路共用路徑）都會套用。區域是照字串比對的，使用者如果有時用主機名稱、有時用 IP 或完整網域名稱連，每一種寫法都要各加一筆，漏掉的那種就會被當成網際網路。

同一個節點下，「近端內部網路區域」的「包含所有子網路」、「自動偵測內部網路」、「將沒有點的名稱視為內部網站」也建議一起開。

為什麼「網際網路選項」整頁變灰色

用 GPO 指派網站到區域，會讓使用者不能再自己往區域裡加網站（「網站」按鈕會變灰），但不會讓整頁都不能改。會讓整頁變灰的是「安全性頁面」底下另外幾條：不允許使用者變更安全性設定、隱藏安全性頁面、不允許變更區域安全性等級等。使用者回報「整頁不能改」，就去找這幾條。

檔案一直跳「可能會被封鎖」

警告有兩種來源，要先分清楚：

• 從網路下載或從郵件附件存下來的檔案：Windows 會記上「網路標記」（Mark of the Web），開啟時跳警告。
• 直接從共用資料夾開的檔案：沒有網路標記，跳警告是因為那個共用路徑被判成網際網路區域，常見於用 IP 或完整網域名稱（有點的名稱）連共用資料夾。這種要靠上一節的區域指派解決。

網路標記的 GPO 位置在：使用者設定 → 系統管理範本 → Windows 元件 → 附件管理員。

• 「不要保留附加檔案中的區域資訊」設為已啟用：之後新下載的檔案不再記上網路標記；已經有標記的舊檔案不受影響。
• 「將這些檔案類型視為低風險」：可以填 *.exe;*.zip;*.msi 這類副檔名清單。

這樣做的風險

網路標記本來就是一道安全防線，很多勒索軟體是靠使用者點開來路不明的附件。把它關掉或把執行檔列成低風險，等於拆掉這道防線。比較好的做法是把內部的檔案伺服器正確指派到近端內部網路區域，讓公司自己的檔案不跳警告，外面來的照樣警告。

資料來源

• 本人 AD 網域 GPO 維運筆記（2025-10～11）

封面圖由 AI 生成。