Windows 2000 禁 Ping 完整方案：IPsec、防火牆、TTL 偽裝

ICMP 協議風險

ICMP (Internet Control Message Protocol) 無連線、易偽造，常被用於主機存活掃描、Smurf 攻擊、ICMP Flood、路由重導向攻擊、甚至 ICMP 通道木馬。關閉/限制 ICMP 回應可大幅降低被偵察與攻擊面。

方案一：TCP/IP 篩選 + IPsec 原則 (原生、無第三方)

步驟 1：啟用 TCP/IP 篩選 (基礎連接埠控制)

• 網路連線 → 區域連線 內容 → TCP/IP 內容 → 進階 → 選項 → TCP/IP 篩選 → 勾選「啟用 TCP/IP 篩選」。
• TCP 埠：僅允許必要埠 (80, 443, 3389…)。
• UDP 埠：非 DNS 伺服器建議「不允許任何」。
• IP 協定：僅允許 TCP (協定號 6) — 注意：此處不包含 ICMP (協定號 1)，ICMP 仍會通過。

步驟 2：建立 IPsec 原則封鎖 ICMP

1. secpol.msc → IP 安全性原則 → 右鍵「建立 IP 安全性原則」→ 名稱「Block ICMP」。
2. 取消「啟用預設回應規則」→ 完成 → 勾選「編輯屬性」。
3. 規則頁 → 新增 → 此規則不指定通道 → 所有網路連線 → 驗證方式：預共用金鑰 (輸入任意字串)。
4. IP 篩選器清單 → 新增 → 名稱「ICMP All」→ 新增篩選器：
   來源：任何 IP → 目的：我的 IP → 協定類型：ICMP → 完成。
5. 篩選器動作 → 新增 → 名稱「Block」→ 動作類型：「封鎖」→ 確定。
6. 回到規則精靈：選「ICMP All」清單、選「Block」動作 → 完成 → 關閉屬性。
7. 右鍵「Block ICMP」原則 → 「指派」。

效果：外部 Ping 回應「要求逾時」；本機 Ping 本機 (127.0.0.1) 仍正常 (不經網路卡)。

方案二：第三方防火牆 (金山網鏢/天網防火牆)

• 金山網鏢 2003：系統匣右鍵 → 實用工具 → 自訂 IP 規則編輯器 → 勾選「防禦 ICMP 類型攻擊」、取消「允許別人用 ping 命令探測本機」→ 存檔套用。
• 天網防火牆 2.50：主介面 → 自訂 IP 規則 → 勾選「防禦 ICMP 攻擊」、取消「防止別人用 ping 命令探測」→ 存檔/套用。

優點：圖形化、規則豐富；缺點：需安裝額外軟體、消耗資源。

方案三：修改 TTL 值偽裝作業系統 (誤導指紋識別)

攻擊者常用 TTL 推測 OS：128=WinNT/2K、64/255=Linux/Unix、32=Win9x。修改預設 TTL 為 255 偽裝為 Unix：

@echo off
echo REGEDIT4 > ChangeTTL.reg
echo. >> ChangeTTL.reg
echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters] >> ChangeTTL.reg
echo "DefaultTTL"=dword:000000ff >> ChangeTTL.reg
regedit /s ChangeTTL.reg

另存為 ChangeTTL.bat 執行，重開機生效。0xff = 255 (十六進位)。若要偽裝其他 OS，修改 DefaultTTL 為對應十六進位值 (如 0x40=64)。

注意：僅影響發出封包的 TTL，不影響接收端判斷；屬誤導偵察手段，非實質封鎖。

方案四：登錄快速建立 IPsec 封鎖 (適用批量部署)

將方案一的 IPsec 原則匯出為 .reg 檔，配合 regedit /s 靜默匯入，再用 netsh ipsec static set policy name="Block ICMP" assign=y 指派，適合群組原則/登入腳本推送。

綜合建議

驗證方法

外部主機: ping 目標IP          :: 應顯示「要求逾時」
本機: ping 127.0.0.1           :: 應正常回應
本機: ping 目標IP (自身外網IP) :: 應逾時 (IPsec 封鎖回環介面除外)
tracert 目標IP                 :: 應在第一跳後超時