防毒軟體屬事後查殺，IP 安全性原則（IPsec Policies）可在核心層級主動封鎖特定埠口的連入/連出，構建「預防勝於治療」的第一道防線。本文以封鎖 Telnet (TCP 23) 為例，示範在 Windows 2000/XP/2003 透過 MMC 建立 IP 篩選器與篩選動作，達成「掃描工具仍見埠口開放，實際連線卻失敗」的隱形防禦效果。
操作流程（以 Windows XP 為例）
- 執行
mmc → 「檔案」→「新增/移除管理單元」→「新增」→ 選「IP 安全性原則管理」→ 選「本機電腦」→ 完成。
- 在主控台右鍵「IP 安全性原則」→「建立 IP 安全性原則」→ 命名（如「封鎖 Telnet」）→ 下一步 → 取消勾選「啟用預設回應規則」→ 完成 → 勾選「編輯內容」。
- 在「規則」索引標籤 → 「新增」→ 取消「使用精靈」→ 下一步。
- IP 篩選器清單 → 「新增」→ 命名「封鎖 TCP 23」→ 新增篩選器：
- 來源位址：任何 IP 位址
- 目的地位址：我的 IP 位址
- 通訊協定類型：TCP
- 來源連接埠：任何
- 目的地連接埠：23
- 鏡像：否（單向封鎖連入）
- 確定返回 → 選取剛建立的篩選器清單 → 下一步。
- 篩選動作 → 「新增」→ 命名「封鎖連線」→ 勾選「封鎖」→ 完成。
- 回到原則內容 → 確定。
- 主控台右鍵剛建立的原則 → 「指派」→ 顯示「是」即生效。
驗證效果
- 從其他電腦
telnet <目標IP> 23 → 顯示「連線失敗」或逾時。
- 掃描工具（Nmap、SuperScan）掃描目標 IP → Port 23 仍顯示「open」（因 TCP 三向交握完成前即被 IPsec 丟棄封包，掃描器誤判為開放）。
擴充應用
- 同樣邏輯可封鎖：TCP 135/139/445 (RPC/NetBIOS/SMB)、TCP 3389 (RDP)、UDP 1434 (SQL Browser) 等高風險埠。
- 建立多條規則組合成「伺服器強化原則」，一次指派。
- 搭配「安全性原則」→「網路存取：禁止匿名列舉 SAM 帳戶」等群組原則，纵深防禦。
注意事項
- IPsec 原則僅影響 IP 層封包，不干擾本機回環介面應用。
- 若需暫時開放特定埠，停用對應原則或新增「允許」規則並調整優先順序。
- Windows 7/10/11 建議改用「Windows Defender 防火牆進階安全性」介面設定，功能更完整、介面更友善。
IP 安全性原則是內建、免費、核心層級的封包過濾器，善用它封鎖不需對外服務的高風險埠，能大幅降低木馬植入、橫向移動的成功率。
