Windows XP/2000/2003 封鎖高風險連接埠：打造銅牆鐵壁的 IPsec 原則設定教學

前言

Windows 預設開放多個連接埠，成為病毒、蠕蟲、駭客入侵的通道。透過「本地安全性原則」建立 IPsec 篩選規則，封鎖高風險連接埠，能大幅降低遭攻擊風險，無需安裝第三方防火牆。

需封鎖的高風險連接埠清單

原則：僅開放必要服務連接埠，其餘一律封鎖。若需檔案共用、遠端桌面，請勿封鎖對應埠（445、3389），改用強密碼、限制 IP 存取、VPN 等方式防護。

IPsec 封鎖規則建立步驟（圖文並茂）

步驟 1：建立 IP 安全性原則

1. 「開始」→「設定」→「控制台」→「管理工具」→「本地安全性原則」。
2. 右鍵「IP 安全性原則，在本機電腦上」→「建立 IP 安全性原則」。
3. 精靈：名稱（如「封鎖高風險埠」）→ 下一步 → 取消勾選「啟用預設回應規則」→ 完成。

步驟 2：建立 IP 篩選器清單與篩選器

1. 右鍵新建立的原則 → 「內容」→ 取消勾選「使用增精靈」→「新增」。
2. 「IP 篩選器清單」→「新增」→ 取消勾選「使用增精靈」→「新增」建立單一篩選器。
3. 篩選器屬性設定：
   　　• 位址來源：「我的 IP 位址」
   　　• 位址目的地：「任何 IP 位址」
   　　• 協定類型：TCP（或 UDP）
   　　• 「從任何連接埠」→「到此連接埠」輸入目標埠號（如 135）
   　　• 確定返回。
4. 重複上述動作，逐一建立所有需封鎖埠號的篩選器（TCP 135、139、445、593、1025、2745、3127、6129、3389；UDP 135、137、138、445）。
5. 所有篩選器建立完成後，確定返回「IP 篩選器清單」對話框，確定。

步驟 3：設定篩選器動作為「封鎖」

1. 在「新規則屬性」→「篩選器動作」索引標籤 → 取消勾選「使用增精靈」→「新增」。
2. 名稱：封鎖 → 下一步 → 「安全性方法」選「封鎖」→ 完成。
3. 回到「新規則屬性」，選擇剛建立的「封鎖」動作，確定。

步驟 4：指派原則生效

1. 回到「本地安全性原則」視窗，右鍵「封鎖高風險埠」原則 → 「指派」。
2. 原則圖示變為綠色箭頭，表示已生效。
3. 重新開機 確保規則完全套用。

驗證與管理

• 驗證：命令列執行 netstat -an 觀察監聽埠；用掃描工具 (Nmap) 掃描本機，確認目標埠顯示 filtered/closed。
• 例外處理：若需開放特定服務（如區域網檔案共用需 TCP 445），在對應篩選器中將「位址來源」限定為信任 IP 範圍，或建立「允許」規則優先順序高於「封鎖」規則（IPsec 規則依優先順序處理）。
• 移除原則：右鍵原則 →「指派」取消勾選，或刪除原則。

注意事項與補充建議

• IPsec 屬核心層防護，效能影響極小，相容性佳。
• Windows XP Home Edition 無「本地安全性原則」，可用登錄檔匯入或升級 Professional 版。
• 封鎖連接埠非萬靈丹，**仍需配合**：系統修補程式更新、強密碼、防毒軟體即時掃描、不必要服務停用、使用者帳號最小權限原則。
• 伺服器環境建議搭配硬體防火牆/邊界防護，纏深度防禦。

結語

花 10 分鐘設定 IPsec 封鎖 14 個高風險連接埠，能阻擋絕大多數自動化蠕蟲掃描、駭客掃描腳本、勒索病毒横向移動。這是 Windows 內建、免費、高效能的基礎防護動作，**建議所有 XP/2000/2003 使用者部署**。