前言：IPSec內建於Windows，無需第三方防火牆即可實現主機級訪問控制

IPSec（IP Security）是開放標準框架，在IP層提供機密性、完整性、認證。Windows實作基於IETF標準。透過netsh ipsec static命令列，可快速建立策略、篩選器、動作與規則，實現如「封鎖特定埠口」「限制特定IP訪問」等精細控制。

核心對象層級關係

策略 → 規則 → 篩選器列表 → 篩選器 + 篩選器動作

• 策略：頂層容器，同一時間僅一個策略處於「指派/生效」狀態。
• 規則：綁定「篩選器列表」+「篩選器動作」+ 認證方式。
• 篩選器列表：一組篩選器的邏輯容器。
• 篩選器：具體匹配條件（源/目標IP、協議、埠口、鏡像方向）。
• 篩選器動作：匹配後動作（Permit/Block/Negotiate Security）。

實戰腳本：封鎖任意IP訪問本機TCP 8080埠

REM 1. 建立策略
netsh ipsec static add policy name="封鎖8080策略"

REM 2. 建立篩選器動作：阻止
netsh ipsec static add filteraction name="阻止動作" action=block

REM 3. 建立篩選器列表
netsh ipsec static add filterlist name="8080埠篩選列表"

REM 4. 建立篩選器：任意源IP → 本機(me) 目標埠8080 TCP 雙向
netsh ipsec static add filter filterlist="8080埠篩選列表" srcaddr=any dstaddr=me dstport=8080 protocol=TCP mirrored=yes

REM 5. 建立規則：綁定列表與動作
netsh ipsec static add rule name="封鎖8080規則" policy="封鎖8080策略" filterlist="8080埠篩選列表" filteraction="阻止動作"

REM 6. 指派/啟用策略
netsh ipsec static set policy name="封鎖8080策略" assign=y

常用管理命令

• 查看當前策略：netsh ipsec static show policy
• 查看指派策略：netsh ipsec static show all
• 取消指派：netsh ipsec static set policy name="策略名" assign=n
• 刪除規則/列表/動作/策略：netsh ipsec static delete ...
• 導出/導入策略（跨機器部署）：netsh ipsec static export/import

注意事項

• 需管理員權限執行CMD/PowerShell。
• IPSec服務（PolicyAgent）必須啟動（預設自動）。
• 規則生效即時，無需重啟。但現有連接可能需重建才受控。
• 區塊動作會產生安全事件日誌（Event ID 547/4659），便於審計。
• 對於複雜多規則場景，建議使用Windows Defender 防火牆進階安全性 (WF.msc) 圖形介面或Group Policy集中下發。

總結

命令列建立IPSec策略適合腳本化批量部署、無圖形介面的Server Core、或應急臨時封鎖。掌握netsh ipsec static語法，讓Windows主機具備輕量級主機防火牆能力，是系統管理員的核心技能之一。