TCP/IP 進階配置實戰：MAC 修改、連接埠防護、多網路環境切換與虛擬網卡屏蔽惡意網站

前言：深入掌握 TCP/IP 設定，解決實際網路管理難題

TCP/IP 協定堆疊是現代網路通訊的基石。在 Windows 系統中，所謂的 TCP/IP 設定實際上圍繞著網路介面卡（NIC）的參數配置展開。網管人員若能深入挖掘這些設定，往往能以最小成本解決棘手的安全與管理問題。本文透過四個真實場景案例，展示如何靈活運用 TCP/IP 進階功能應對實務挑戰。

案例一：修改 MAC 位址繞過路由器封鎖

情境描述

企劃部員工上班時間上網閒晃，主管要求網管小張在路由器實施 MAC-IP 綁定並將企劃部電腦列入黑名單禁止上網。技術高手小林決定修改自身網卡 MAC 位址，冒用銷售部小馬的合法身分上網。

操作步驟

1. 取得目標 MAC 與 IP： 在小馬電腦上開啟命令提示字元，輸入 ipconfig /all 記錄實體位址（MAC）與 IPv4 位址。
2. 修改本機網卡 MAC：
   • 控制台 → 網路和撥號連線 → 對應網卡右鍵「內容」 → 「一般」頁籤 → 「設定」按鈕。
   • 切換至「進階」頁籤，屬性清單選擇「Network Address」（或「Locally Administered Address」），在數值欄輸入目標 MAC（不含連字號，如 001122334455）。
3. 修改本機 IP 位址： 回到網卡「一般」頁籤，選取「Internet 通訊協定 (TCP/IP)」→「內容」，將 IP、子網路遮罩、預設閘道改為小馬的設定值。

windows.chinaitlab.com__20081231102348624.jpg (89.79 KB)

⚠ 法律與道德提醒： 竊用他人 MAC 位址繞過存取控制屬於未經授權存取電腦系統，可能觸犯資安法規。企業環境下應透過 802.1X、入侵偵測等正規手段管控，而非依賴單一 MAC 過濾。

案例二：關閉閒置連接埠與部署蜜罐反制掃描攻擊

2.1 關閉不必要的連接埠（黑/白名單策略）

小胡電腦常遭攻擊，桌面留下挑釁訊息。診斷發現開放連接埠過多。解決方案：

• 黑名單法——停用閒置服務： 控制台 → 管理工具 → 服務，停用不需用的服務（如 Telnet、FTP、Simple TCP/IP Services 等），對應連接埠隨之關閉。
• 白名單法——TCP/IP 篩選：
  1. 本地連線右鍵「內容」→「Internet 通訊協定 (TCP/IP)」→「內容」→「進階」→「選項」頁籤。
  2. 選取「TCP/IP 篩選」→「內容」→ 勾選「啟用 TCP/IP 篩選」。
  3. 在「連接埠號碼」選擇「允許下列項目」，僅新增必要埠（如 HTTP 80、HTTPS 443、DNS 53、DHCP 67/68 等）。
• IPsec 原則封鎖特定埠： 以 IPsec 封鎖 135、139、445 等高風險埠，防範蠕蟲傳播。

windows.chinaitlab.com__20081231102356564.jpg (60.09 KB)

2.2 部署蜜罐誘捕攻擊者

單純防禦不足，小林協助小胡部署 Defnet HoneyPot 蜜罐系統：

• 虛擬出真實服務假象（FTP、Telnet、HTTP 等），誘使攻擊者互動。
• 完整記錄攻擊者指令、工具、時間軸，掌握攻擊手法與證據鏈。
• 部署簡單：安裝軟體 → 設定監聽埠與虛擬服務 → 啟動即可自動記錄掃描與入侵嘗試。

案例三：善用「替代組態」實現公司/家庭雙網路無縫切換

痛點

小馬攜帶筆電在公司（DHCP）與家裡（固定 IP 寬帶）往返，頻繁手動切換 IP 設定極不便。

解決方案：替代組態（Alternate Configuration）

1. 開啟「本地連線內容」→「Internet 通訊協定 (TCP/IP)」→「內容」。
2. 一般頁籤： 選擇「自動取得 IP 位址」與「自動取得 DNS 伺服器位址」（適用公司環境）。
3. 替代組態頁籤： 選擇「使用者設定」，輸入家裡寬帶分配的固定 IP、子網路遮罩、預設閘道、慣用/備用 DNS。

原理： Windows 啟動時先嘗試 DHCP，若偵測到 DHCP 伺服器則使用動態設定；若逾時找不到 DHCP（如家裡環境），自動套用替代組態的靜態設定。零干預、零腳本、零第三方工具。

案例四：建立 Microsoft Loopback Adapter 虛擬網卡屏蔽惡意網站

4.1 建立虛擬網卡

1. 控制台 → 新增/移除硬體 → 下一步 → 「是，我已連接硬體」 → 下一步。
2. 選擇「新增新硬體裝置」 → 下一步 → 「否，我要從清單選擇」 → 下一步。
3. 硬體類型選「網路介面卡」 → 製造商選「Microsoft」 → 型號選「Microsoft Loopback Adapter」 → 一路下一步完成。
4. 完成後在「網路連線」視窗會出現新介面（如「本地連線 2」）。

windows.chinaitlab.com__20081231102356828.jpg (98.53 KB)

4.2 配置靜態路由屏蔽目標網站

1. 以 ping 惡意網域 取得目標 IP（假設為 60.195.x.x）。
2. 虛擬網卡右鍵「內容」→「Internet 通訊協定 (TCP/IP)」→「內容」→ 選擇「使用下列 IP 位址」。
3. IP 位址設為目標網段內一個未使用位址（如 60.195.x.100），子網路遮罩 255.255.255.0，預設閘道設為 60.195.x.1。
4. 結果：本機嘗試存取該網段時會透過虛擬網卡送出，因無實際連通而失敗，達到屏蔽效果。

windows.chinaitlab.com__20081231102357455.jpg (92.73 KB)

進階技巧： 點擊「進階」→「IP 設定」頁籤可新增多組 IP/遮罩，配合調整子網路遮罩長度（如 255.255.0.0）可一次屏蔽整個 /16 網段。但需注意：此法僅影響本機路由決策，不具備真正防火牆級別的深度封包檢測能力。

總結與延伸思考

四個案例展示了 TCP/IP 進階設定在「身分偽裝」、「攻擊面縮減」、「多環境適應」與「流量導向控制」四大面向的實戰價值。實務上，網管人員應結合群組原則、NAC、新一代防火牆等系統性手段建構纵深防禦；個人用戶則可善用替代組態簡化生活、以 hosts 檔案或 DNS 過濾替代手動路由屏蔽。技術無善惡，關鍵在於使用者的意圖與合規邊界。