Windows Server TCP/IP 篩選功能啟用與配置完整教學（含圖解）

Windows 內建的「TCP/IP 篩選」是一項輕量級、無需額外安裝的主機型封包過濾功能，可在網路介面卡層面直接攔截非授權埠的連線，作為防火牆的補充防線。本文以圖文並茂方式，詳細說明如何在 Windows Server 2003/2008/R2 啟用並配置 TCP/IP 篩選，僅允許特定埠（如 80、443、3389）通訊，其餘一律拒絕。

適用場景

• 無法安裝第三方防火牆軟體的精簡環境
• 需在網卡層面實施「預設拒絕、明確允許」策略
• 作為 Windows 防火牆之外的第二層防護

操作步驟（以 Windows Server 2003 為例，2008/R2 類似）

1. 開啟網路連線：桌面「網上鄰居」右鍵 → 「內容」，或控制台 →「網路連線」。
2. 選取正確介面卡：找到對應伺服器公網 IP 的「區域連線」（多網卡環境請仔細辨識 IP），右鍵 → 「內容」。
3. 開啟 TCP/IP 內容：在「一般」索引標籤，選取「Internet 通訊協定 (TCP/IP)」→ 點選「內容」。
4. 進入進階設定：點選右下「進階」按鈕 → 切換到「選項」索引標籤。
5. 開啟 TCP/IP 篩選屬性：在選清單中找到「TCP/IP 篩選」→ 點選「內容」。
6. 配置篩選規則：
   • 勾選「啟用 TCP/IP 篩選 (所有介面卡)」。
   • 三類協定（TCP 埠、UDP 埠、IP 協定）均選「只允許」。
   • 點選各類別的「新增」，輸入允許的埠號/協定號，確定。
   • 常見必要埠： TCP: 80, 443, 3389(遠端桌面), 22(SSH), 21/20(FTP), 25/110/143/587/993/995(郵件), 53(DNS) 等視服務而定；UDP: 53, 123(NTP), 1434(SQL Browser) 等；IP 協定: 1(ICMP/ping), 6(TCP), 17(UDP) 建議保留。
7. 層層確定返回：依序點選所有對話方塊的「確定」套用設定。
8. 重啟伺服器生效：建議硬體重啟（冷重啟/機房重啟），軟重啟偶爾不生效。

重要提醒

• 遠端操作風險： 若您正透過 RDP (3389) 連線配置，務必先將 3389 加入允許清單，否則套用瞬間即會斷線、鎖在外面。
• ICMP (ping) 需開放 IP 協定 1，否則伺服器將無法回應 ping，影響監控檢測。
• DHCP 用戶端需開放 UDP 67/68，否則無法取得/續約 IP。
• 規則生效後難以遠端修改：若配置錯誤導致失聯，只能透過機房 KVM/IPMI 或技術支援介入，請三思再三確認後再套用。
• Windows Server 2012/2016/2019 已不再建議使用 TCP/IP 篩選，請改用「高級安全性 Windows 防火牆」(wf.msc) 或 netsh advfirewall 進行更靈活、狀態檢測的規則管理。

TCP/IP 篩選雖屬舊功能，但在精簡環境、嵌入式系統、或需極低資源佔用的場景下，仍是一把好用的「最後一道關卡」。配置時請遵循「最小權限、充分測試、留有後路」原則，避免把自己關在門外。