Win7 關閉 445/139/135 等高危連接埠：IPsec 原則分步建立完整教學

Windows 預設開啟 135 (RPC)、139 (NetBIOS Session)、445 (SMB) 等連接埠，歷年來屢遭永恆之藍、蠕蟲病毒利用進行橫向移動、勒索加密。若不需檔案共用、遠端管理、網路鄰居功能，建議透過「本機 IP 安全性原則」封鎖這些連接埠。以下為圖文完整建立流程。

前置知識

• IPsec 原則在核心層過濾封包，效能損耗極低，不影響正常上網/遊戲/辦公。
• 需確保 IPsec Policy Agent 服務（服務名 PolicyAgent）設為「自動」且「已啟動」，否則原則不生效。

建立封鎖連接埠 IPsec 原則（以 135 為例，445/139 同理）

1. Win+R 輸入 gpedit.msc 開啟「本機群組原則編輯器」。
2. 依序展開：「電腦設定」→ 「Windows 設定」→ 「安全性設定」→ 「IP 安全性原則 - 本機電腦」。
3. 右側空白處右鍵 → 「建立 IP 安全性原則」→ 「下一步」。
4. 名稱輸入 「封鎖高危連接埠」 → 「下一步」。
5. 取消勾選「啟用預設回應規則」 → 「下一步」。
6. 勾選「編輯內容」 → 「完成」。

7. 「封鎖高危連接埠 內容」視窗 → 「規則」索引標籤 → 取消勾選「使用新增精靈」 → 點選「新增」。

8. 「新規則 內容」→ 「IP 篩選器清單」索引標籤 → 「新增」。
9. 名稱輸入 「封鎖連接埠 135」 → 取消勾選「使用新增精靈」 → 「新增」。

10. 「IP 篩選器 內容」→ 「位址」索引標籤：
    • 來源位址：「任何 IP 位址」
    • 目的地位址：「我的 IP 位址」
11. 「通訊協定」索引標籤：
    • 通訊協定類型：「TCP」
    • 來源連接埠：「任何連接埠」
    • 目的地連接埠：「從此連接埠」輸入 135（或 445/139）
12. 點選「確定」返回。

12. 「IP 篩選器清單」視窗確認「封鎖連接埠 135」被選中 → 「確定」。
13. 回到「新規則 內容」→ 「篩選器動作」索引標籤 → 取消勾選「使用新增精靈」 → 「新增」。

14. 「篩選器動作 內容」→ 「一般」索引標籤：名稱輸入 「封鎖」。
15. 「安全性方法」索引標籤：選擇「封鎖」 → 「確定」。

16. 回到「新規則 內容」→ 「篩選器動作」下拉選單選擇「封鎖」 → 「確定」。
17. 回到「封鎖高危連接埠 內容」→ 「IP 安全性規則」確認「封鎖連接埠 135」規則被選中 → 「確定」。

18. 群組原則編輯器主視窗，右鍵剛建立的「封鎖高危連接埠」原則 → 選擇「指派」。
19. 原則狀態變為「已指派」，規則立即生效。

批次新增 445、139 等連接埠

重複步驟 7-17，分別建立「封鎖連接埠 445」、「封鎖連接埠 139」規則，加入同一個「封鎖高危連接埠」原則中，指派後一次生效。

驗證封鎖生效

1. 本機 CMD 執行 netstat -an，確認 135/139/445 狀態不再為 LISTENING。
2. 他機掃描工具（Nmap、Superscan）掃描本機 IP，確認對應連接埠顯示「filtered/關閉」。

關鍵提醒

• IPsec Policy Agent 服務絕不可停用/禁用，否則所有 IPsec 原則失效。
• 封鎖 445 將導致無法存取網路共用資料夾、印表機、NAS，確認業務不需共用功能再封鎖。
• 封鎖 135 可能影響遠端管理 (WMI/RPC)、某些企業管理軟體。
• 若需臨時開放，群組原則編輯器將原則「取消指派」即可，無需刪除規則。