Win7 關閉 445 連接埠防勒索病毒攻擊：IPsec 原則完整設定圖解

WannaCry 等勒索病毒利用 SMB 協定的 445 連接埠傳播。Windows 7 可透過「本機群組原則」建立 IP 安全性原則，封鎖特定連接埠。本文以關閉 135 連接埠為例演示完整流程，同樣步驟即可套用至 445、139 等高風險連接埠。

操作前提

• 需為 Windows 7 專業版、企業版或旗艦版（家用版無 gpedit.msc）。
• 服務「IPsec Policy Agent」必須設為「自動」並啟動，否則原則不生效。

逐步建立 IP 安全性原則

1. 開啟群組原則編輯器：Win+R 輸入 gpedit.msc，展開「電腦設定」→「Windows 設定」→「安全性設定」→「本機電腦上的 IP 安全性原則」。

2. 建立新原則：右鍵空白處 → 「建立 IP 安全性原則」 → 名稱輸入「封鎖高風險連接埠」 → 取消勾選「啟用預設回應規則」 → 勾選「編輯內容」 → 完成。

3. 新增規則：在「規則」頁籤取消「使用新增精靈」→「新增」→ 進入「IP 篩選器清單」頁籤 → 「新增」→ 名稱「封鎖445」→ 取消「使用新增精靈」→「新增」。

4. 設定 IP 篩選器條件：
   • 「位址」頁籤：來源位址「任何 IP 位址」，目的地位址「我的 IP 位址」。
   • 「通訊協定」頁籤：通訊協定類型選「TCP」，來源連接埠「任何」，目的地連接埠輸入「445」（或 135、139）。

5. 設定篩選動作：回到「新增規則內容」→「篩選動作」頁籤 → 取消「使用新增精靈」→「新增」→ 名稱「封鎖連線」→ 「安全性方法」選「封鎖」→ 完成。

6. 套用原則：回到群組原則編輯器，右鍵剛建立的原則 → 「指派」。狀態變為「已指派」即生效。

驗證與注意事項

• 指派後可用 netstat -an | find "445" 確認連接埠狀態為無監聽。
• 切勿停用「IPsec Services」服務，否則所有 IPsec 原則失效。
• 需開放檔案共享時，可暫時取消指派該原則，或另建「允許特定 IP 存取 445」規則並調整優先順序。