為什麼要限制連接埠？
開放不必要的連接埠等同於讓惡意掃描與攻擊有機可乘。個人電腦原則上不需對外提供服務，應全關閉；伺服器僅開放業務必須的埠（如 HTTP 80、HTTPS 443、SSH 22、SMTP 25/587、DNS 53 等），其餘一律封鎖。
Windows 2000 / XP / Server 2003 內建「TCP/IP 篩選」設定步驟
- 右鍵「網路芳鄰」/「網路連線」→ 選擇「內容」。
- 雙擊「區域連線」（或撥號連線）→ 「內容」→ 選取「Internet 通訊協定 (TCP/IP)」→ 「內容」。
- 點選「進階」→ 「選項」索引標籤 → 選取「TCP/IP 篩選」→ 「內容」。
- 勾選「啟用 TCP/IP 篩選 (Enable TCP/IP Filtering)」。
- 在「TCP 連接埠」區域選擇「僅允許 (Permit Only)」。
- 點選「新增」逐一輸入需開放的埠號（如 80, 443, 22, 53），確定儲存。
- 同理設定「UDP 連接埠」與「IP 通訊協定」（通常僅允許 TCP、UDP、ICMP）。
- 完成後重新開機生效。
個人用戶特別提醒
- 純網頁瀏覽：可不開放任何輸入埠（輸入篩選全拒絕），僅允許輸出連線。
- 即時通訊軟體（舊版 QQ 等）：需開放 TCP 4000、UDP 4000、8000 等，視軟體文件而定。
- P2P/下載工具：需開放對應監聽埠，否則速度極慢或無法連線。
- 遠端桌面：若需遠端管理，請開放 TCP 3389，並建議搭配 VPN 或變更預設埠號降低暴露風險。
現代 Windows (Vista/7/8/10/11) 建議改用「進階安全性 Windows 防火牆」
TCP/IP 篩選屬於舊式無狀態篩選，功能有限。新版 Windows 請使用 wf.msc 建立「輸入規則」：
- 執行
wf.msc → 「輸入規則」→ 「新增規則」→ 「連接埠」→ TCP/特定本機連接埠。
- 動作選「允許連線」或「封鎖連線」。
- 設定檔案（網域/私人/公用）與名稱描述。
- 預設規則為「封鎖所有輸入」，再依需求逐一開放必要埠，安全性遠優於舊式篩選。
驗證規則生效
- 本機執行
netstat -an 確認監聽埠狀態。
- 外部主機使用
nmap -sS -p 1-65535 <目標IP> 或線上掃描工具驗證開放埠。
- 嘗試連線已開放服務（如瀏覽器、SSH 用戶端）確保業務不中斷。
妥善管理連接埠是主機防禦的第一道防線，配合防火牆規則定期審核，可大幅降低被掃描利用的風險。