Windows 2000/XP/2003 內建兩層網路存取控制機制：TCP/IP 篩選 (無狀態、僅入站、需重啟) 與 IPSec 策略 (有狀態、雙向、即時生效、支援加密/認證)。本文詳細對比兩者架構、配置、優劣與實戰建議。
一、TCP/IP 篩選：基礎入站埠過濾
配置路徑
控制台 → 網路連線 → 本地連線內容 → Internet 協議 (TCP/IP) → 進階 → 選項 → TCP/IP 篩選 → 屬性
三欄獨立控制
- TCP 埠、UDP 埠、IP 協議號 (如 1=ICMP, 6=TCP, 17=UDP)。
- 每欄可選：全部允許 (預設) / 僅允許 (白名單) / 隱含 全部拒絕 (選「僅允許」但不添加任何埠)。
關鍵限制
- 僅過濾入站流量，出站與回應封包不受限。
- 修改後需重啟機器 才生效 (注冊表
EnableSecurityFilters=1)。
- 注冊表脆弱性：攻擊者若獲管理權限，可導出/修改
HKLM\SYSTEM\ControlSetXXX\Services\Tcpip\Parameters\EnableSecurityFilters=0 即繞過篩選。
- 無法針對特定遠端 IP 精細控制，無加密、無認證、無日誌審計。
二、IPSec 策略：企業級纵深防禦
核心優勢
- 即時生效，無需重啟；可匯出 .pol 檔跨機器部署 (注意 2K/XP/2K3 版本差異)。
- 雙向過濾：同時控制入站/出站，支援「允許/阻擋/協商安全」三種動作。
- 精細匹配：來源/目的 IP、子網、埠、協議、介面綁定。
- 優先序邏輯：允許規則優於阻擋規則，可實現「白名單 IP 通行特定埠，其餘全擋」等複雜策略。
- 內建加密與認證：AH (完整性) / ESP (機密性+完整性)，支援 3DES (168-bit)、AES (128/192/256) 等。
認證方式三選一
- Kerberos v5：域環境預設，雙向驗證、單點登入、跨平台互操作 (Unix MIT Kerberos)。
- 公開金鑰憑證 (PKI)：非域成員、異構環境，需 CA 簽發憑證。
- 預共享金鑰 (PSK)：無 CA/域環境時的備選，金鑰分發管理成本高，僅作過渡。
加密算法選擇
| 算法 | 強度 | 效能 | 適用場景 |
|---|
| DES 40-bit | 低 | 高 | 低敏感度、舊硬體 |
| DES 56-bit | 中低 | 中 | 傳統應用相容 (可被專用硬體破解) |
| 3DES (168-bit) | 高 | 中低 | 政府/金融高機密 |
| AES (128/192/256) | 最高 | 佳 (硬體加速) | 現代標準推薦 |
傳輸模式 vs 隧道模式
- 傳輸模式：端到端加密 (原始 IP 首部保留)，適用主機間直接通訊。
- 隧道模式：網關到網關，原始封包整體封裝於新 IP 首部，適用站對站 VPN、跨公網傳輸。
三、實戰部署建議
- 邊界伺服器：IPSec 策略封鎖高危埠 (135/139/445/3389 等) 入站，僅開放業務埠；啟用 ESP-AES 加密保護管理流量 (SSH/RDP/HTTPS)。
- 內網關鍵主機：IPSec 隔離區域，僅允許授權管理 IP 以 Kerberos 認證存取管理埠。
- 舊系統無法升級：啟用 TCP/IP 篩選作為最後一道防線，並監控
EnableSecurityFilters 被竄改事件 (登錄審計/檔案完整性監控)。
- 策略分發：導出 .pol，透過群組策略 (GPO) 或腳本批量部署至 OU。
結論：TCP/IP 篩選屬「最小可行性防護」，適合臨時/簡單場景；IPSec 策略才是 Windows 原生的「企業級主機防火牆」，提供加密、認證、狀態檢測、即時生效、集中管控，應作為長期安全基線。