如何在 Windows XP/2000/2003 手動關閉危險連接埠：IPsec 原則完整教學

Windows 預設開放多個高風險連接埠（135, 139, 445, 3389 等），為蠕蟲病毒、遠端攻擊入口。利用內建 IP 安全性原則 (IPsec) 可在不安裝第三方防火牆下，精確封鎖特定連接埠。

高風險連接埠清單

IPsec 封鎖連接埠步驟圖文教學

1. 開啟本地安全性原則
   開始 → 設定 → 控制台 → 管理工具 → 本地安全性原則
2. 建立 IP 安全性原則
   右鍵 IP 安全性原則 (本機電腦) → 建立 IP 安全性原則 → 精靈：
   名稱：Block Dangerous Ports → 下一步 → 取消勾選「啟用預設回應規則」 → 完成
3. 編輯原則屬性 → 新增規則
   右鍵新建原則 → 屬性 → 取消「使用新增精靈」 → 新增 規則 → 新增 篩選器
4. 建立篩選器 (以 TCP 135 為例)
   篩選器屬性 → 新增 →
   來源位址：任何 IP 位址
   目的位址：我的 IP 位址
   通訊協定 索引標籤：
   協定類型：TCP
   目的連接埠：135
   確定返回篩選器清單
5. 重複步驟 4 新增所有目標連接埠
   依序建立 TCP 139, 445, 593, 1025, 2745, 3127, 6129, 3389
   UDP 135, 137, 138, 445
   每個連接埠建立一個篩選器項目
6. 設定篩選器動作：封鎖
   篩選器動作 索引標籤 → 取消「使用新增精靈」 → 新增
   名稱：Block → 安全性方法 → 選擇 封鎖 → 確定
7. 啟用規則與原則
   規則屬性 → 勾選剛建立的篩選器清單 → 勾選剛建立的篩選器動作 → 確定
   原則屬性 → 勾選新規則 → 確定
   本地安全性原則視窗 → 右鍵新原則 → 指派
8. 重開機生效

替代方案：停用對應服務關閉連接埠

139 連接埠替代關閉法：
網路連線 → 本地連線 右鍵屬性 → 網際網路協定 (TCP/IP) 屬性 → 進階 → WINS → 勾選「停用 TCP/IP 上的 NetBIOS」

重要提醒

• IPsec 規則生效後，本機也無法使用該連接埠（如封鎖 3389 後無法遠端桌面連入本機）
• 個人用戶建議將服務設為「禁用」防止重開機自動啟動
• 企業環境建議部署硬體防火牆/下一代防火牆，集中管理邊界與主機防護
• 定期 netstat -anob 驗證連接埠狀態

最小暴露面原則：不需要的服務不啟動、不需要的連接埠不開放、不需要的協定不安裝。