直接將遠端桌面埠 (3389) 曝露於網際網路極度危險。Windows Server 2003 內建 IPsec 原則可實現「白名單 IP 允許連線、其餘全部封鎖」的存取控制，無需額外防火牆硬體/軟體。本文提供雙規則設定完整步驟。
核心邏輯：兩條規則疊加
- 允許規則：來源 = 受信任 IP/網段，目的地 = 本機 IP，動作 = 允許
- 拒絕規則：來源 = 任何 IP，目的地 = 本機 IP，協定 = TCP，目的地埠 = 3389，動作 = 封鎖
- IPsec 原則採「先符合優先」，允許規則優先順序高於拒絕規則
步驟一：建立允許規則 (白名單)
- Win+R →
gpedit.msc
- 電腦設定 → Windows 設定 → 安全性設定 → IP 安全性原則
- 右鍵空白處 →「建立 IP 安全性原則」→ 名稱如「允許管理 IP 存取 3389」
- 取消勾選「啟用預設回應規則」→ 完成
- 雙擊剛建立的原則 →「規則」分頁 →「新增」
- 精靈：通道類型「本機」→ 下一步
- 來源位址：「特定的 IP 子網路」→ 輸入信任網段
- 固定 IP 範例：伺服器 IP 61.164.140.43 → 輸入
61.164.140.0 / 255.255.255.0
- ADSL 動態 IP：前兩段固定 →
123.6.0.0 / 255.255.0.0
- 目的地位址：「我的 IP 位址」
- 通訊協定類型：「任何」→ 完成
- 回到原則視窗 → 勾選該規則 →「指派」啟動原則
步驟二：建立拒絕規則 (封鎖其餘)
- 同樣在「IP 安全性原則」建立新原則，名稱如「封鎖非授權 IP 存取 3389」
- 新增規則 → 來源位址：「任何 IP 位址」
- 目的地位址：「我的 IP 位址」
- 通訊協定類型：「TCP」→ 下一步
- 來源埠：「從任何連接埠」→ 目的地埠：「到此連接埠」→ 輸入
3389
- 完成 → 指派啟動
關鍵注意事項
- 兩條原則必須同時啟用 (指派)，單獨啟用拒絕規則會將自己鎖在外面
- 優先順序：允許原則建立時間較早通常優先；可在「進階」設定確認
- 動態 IP 管理：ADSL 使用者建議將常用網段全部加入允許規則 (如 123.6.0.0/16、123.7.0.0/16)
- 鎖定風險：設定錯誤會導致自己無法遠端連線，建議：
- 先在本機主控台測試規則邏輯
- 保留實體存取或管理卡 (iDRAC/iLO/IPMI) 當後門
- 或設定排程工作定時停用 IPsec 原則 (
netsh ipsec static set policy state=inactive)
- 效能影響：IPsec 封包處理增加微量 CPU 負載，現代 CPU 可忽略
驗證方法
- 受信任 IP 遠端桌面連線 → 應成功
- 非信任 IP (手機 4G/其他地點) 連線 → 應逾時/拒絕連線
- 本機執行
ipsecmon 或 netsh ipsec dynamic show all 查看原則狀態
結語
IPsec 原則是 Windows 內建的強大主機型防火牆功能，善用「允許白名單 + 拒絕其餘」雙規則模式，能以零成本實現遠端桌面埠的精準存取控制，大幅降低暴力破解與掃描攻擊風險。
