Windows 作業系統停用危險連接埠（135/139/445/3389 等）建立 IPSec 封包篩選完整教學

核心危險連接埠清單

建立 IPSec 封包篩選原則（以 TCP 139 為例）

1. 開啟「本地安全性原則」：secpol.msc 或 控制台 → 管理工具 → 本地安全性原則。
2. 右鍵「IP 安全性原則，在本機電腦上」 → 「管理 IP 篩選器清單和篩選器動作」。
3. **建立篩選器清單**：
   「新增」 → 名稱「封鎖 139 埠」 → 「新增」 → 精靈：
   來源位址：「任何 IP 位址」
   目的位址：「我的 IP 位址」
   協定類型：「TCP」
   目的連接埠：「到此連接埠」→ 輸入 139 → 完成。
4. **建立篩選器動作**：
   「管理篩選器動作」 → 「新增」 → 名稱「封鎖」 → 動作選「封鎖」 → 完成。
5. **建立 IP 安全性原則**：
   右鍵 → 「建立 IP 安全性原則」 → 名稱「封鎖危險埠」 → 取消勾選「啟用預設回應規則」 → 完成。
   編輯該原則 → 「規則」索引標籤 → 「新增」 → 通道類型「不指定」 → 網路類型「所有網路連線」 → IP 篩選器清單選「封鎖 139 埠」 → 篩選器動作選「封鎖」 → 完成。
6. **重複上述步驟**將所有危險埠加入同一篩選器清單，或建立多個清單並全部加入同一原則。
7. **指派原則**：右鍵原則 → 「指派」。無需重開機即時生效。

圖文化精簡流程（適用 XP/2000/2003）

1. 開始 → 控制台 → 管理工具 → 本地安全性原則 → IP 安全性原則 → 右鍵空白處 → 「建立 IP 安全性原則」。
2. 命名 → 下一步 → 取消「啟用預設回應規則」 → 完成。
3. 右鍵新原則 → 內容 → 取消「使用新增精靈」 → 「新增」規則。
   不指定通道 → 所有網路連線 → 「新增」篩選器 → 取消精靈 → 「新增」篩選器項目。
   來源：「任何 IP」/ 目的：「我的 IP」/ 協定：「TCP」/ 目的埠：輸入危險埠（135,139,445...）→ 確定。
   重複加入所有危險埠 → 關閉篩選器清單視窗。
4. 「篩選器動作」索引標籤 → 取消精靈 → 「新增」 → 名稱「封鎖」 → 安全性方法選「封鎖」 → 確定。
5. 回到規則精靈 → 選剛建立的篩選器清單 → 篩選器動作選「封鎖」 → 完成 → 確定。
6. 本地安全性原則視窗 → 右鍵原則 → 「指派」。

驗證

重開機後，netstat -an 應不再顯示上述危險埠處於 LISTENING 狀態。遠端掃描工具（如 Nmap）掃描目標機亦應顯示「filtered」或「closed」。