為什麼要關注 IPSec 的 IP Filter？

問網管如何保障伺服器安全，90% 答「打補丁 + 裝防火牆」。國產防火牆防護弱，國外產品佔資源高。Win XP SP2/2003 內建防火牆功能有限。而 Windows 2000 後內建的 IPSec 含一強大組件 —— IP Filter，可免費構建防火牆核心功能，策略更靈活。

IP Filter 基本原理

• 屬於 IPSec 一部分，工作於網路層。
• 接收 IP 封包 → 依規則表匹配封包頭部 → 命中規則 → 丟棄 或 轉發。
• 不涉及加密/驗證（非域環境個人用戶用不到），純粹做封包過濾。

前置條件：確保 IPSec 服務運行

1. services.msc → 找「IPSEC Services」 → 狀態「已啟動」，啟動類型「自動」。
2. 若無此服務：僅 Win2000 全系列/XP Pro/.NET Server 支援，XP Home 不支援。

MMC 載入 IPSEC 模組配置全流程（圖文步驟精簡版）

1. mmc → 「檔案→新增/移除管理單元」→「新增」→「IP 安全性原則管理」→「本機電腦」→「完成」。
2. 右鍵「IP 安全性原則，在本機電腦」→「管理 IP 篩選器清單和篩選器動作」開始配置。
3. 捷徑：secpol.msc 直達同樣介面。

建立自訂過濾規則範例：封鎖 sohu.com

1. 「IP 篩選器清單」分頁 →「新增」→ 命名「新 IP 篩選器清單」。
2. 「新增」啟動精靈：
   • 來源位址：「我的 IP 位址」。
   • 目的位址：「特定 DNS 名稱」→ 輸入 sohu.com。
   • 系統自動解析 DNS 快取中對應 IP 進行過濾（動態 IP 也能生效）。
   • 協議類型：TCP/UDP/任意。
   • 完成精靈。
3. 勾選 Mirror（鏡像）：雙向過濾（A→B 與 B→A 同時生效），相當於一次加兩條規則。
4. 「篩選器動作」分頁 →「新增」→ 命名「封鎖」→「封鎖」動作 → 完成。
5. 建立 IPSec 原則 → 關聯上述清單與動作 → 指派原則。

測試：瀏覽器訪問 sohu.com 即收到連線失敗。

IP Filter 進階技巧

1. 策略匯出/匯入：多機快速部署

右鍵原則 →「所有工作→匯出原則」→ 複製到他機 →「匯入原則」。

2. 多策略切換：筆記本家/公司雙環境

建立多個篩選器清單（如「公司 IPSEC 設定」、「家裡 IPSEC 設定」），按場景切換指派。

3. 一鍵還原預設

右鍵原則 →「所有工作→還原預設原則」→ 清空所有自訂規則，快速回滾。

對比：TCP/IP 篩選 vs. IPSec IP Filter vs. RRAS

功能	TCP/IP 篩選 (網卡屬性)	IPSec IP Filter	RRAS (Routing & Remote Access)
TCP/UDP/IP 協議過濾	支援	支援	支援
IP 位址過濾	不支援	支援	支援
DNS 名稱過濾	不支援	支援（動態解析）	支援
ICMP 精細處理	不支援	弱（無法保留/過濾特定內容）	支援（需 Server 以上版本）
適用場景	純伺服器、簡單埠口控制	桌面/伺服器通用、策略豐富、免費	企業級閘道/路由器

結語

IPSec IP Filter 是 Windows 內建的「隱形防火牆」：無需額外成本、策略靈活、支援 DNS 動態過濾、可匯出部署。掌握它，讓伺服器與桌面在零成本下擁有企業級封包過濾能力。