埠口如房門，FTP(21)、HTTP(80) 是正門，Telnet(23)、NetBIOS(139)、RPC(135/445) 等高危埠口常被駭客利用或木馬自動開啟。本文實戰演示使用 Windows MMC 主控台配置 IPsec 策略，封鎖 TCP 23 埠入站連線，構建主機級網路存取控制。

IPsec 策略配置完整步驟

1. 開啟 MMC 並加入 IP 安全原則管理單元

Win+R → mmc → 檔案 → 新增/移除嵌入式管理單元 → IP 安全性原則管理 → 新增 → 本機電腦 → 完成 → 確定

2. 建立新 IP 安全策略

1. 右鍵「IP 安全性原則，在本機電腦上」→ 建立 IP 安全性原則
2. 名稱：`Block_Telnet_23_Inbound` → 下一步
3. 取消勾選「啟用預設回應規則」→ 下一步
4. **關鍵：勾選「編輯屬性」** → 完成

3. 新增 IP 篩選器清單與篩選器

1. 「規則」頁籤 → 新增 → 下一步
2. 不使用精靈 → 新增 → 「定址」頁籤：
   • 來源位址：任何 IP 位址
   • 目的地位址：我的 IP 位址
   • 不勾選「鏡像」（避免雙向各建一條規則）
3. 「通訊協定」頁籤：
   • 通訊協定類型：TCP
   • 來源連接埠：任何
   • 目的地連接埠：23（Telnet）
4. 確定返回 → 選中新建的篩選器清單 → 下一步

4. 定義篩選器動作：封鎖

1. 「篩選器動作」頁籤 → 新增 → 名稱：`Block_Traffic` → 下一步
2. 動作：封鎖 → 下一步 → 完成
3. 選中 `Block_Traffic` → 確定

5. 指派策略生效

1. 主控台中右鍵 `Block_Telnet_23_Inbound` → 指派
2. 狀態顯示「是」即生效

驗證與測試

# 本機測試 Telnet 連線應失敗
telnet localhost 23

# 遠端測試
telnet  23

# 查看 IPsec 統計
netsh ipsec dynamic show stats
# 或 PowerShell
Get-NetIPsecQuickModeSA | Where-Object {$_.LocalPort -eq 23 -or $_.RemotePort -eq 23}

擴展：封鎖更多高危埠口

IPsec 策略管理最佳實踐

• 分層策略：成員伺服器 GPO 部署基線策略，核心資料庫/AD 另行加強
• 版本控制：匯出策略 (`.ipsec`/`.wfw`)，納入 Git 版控，變更留痕
• 測試優先：先在測試環境/單機驗證，避免誤封鎖業務流量
• 監控告警：事件檢視器 `Windows Logs\Security` 事件 ID 4651/4652/4653（IPsec 主模式/快速模式協商失敗）、NDR 流量分析
• 例外處理：建立「允許管理 IP 存取高危埠」規則，優先順序高於封鎖規則

現代替代方案：Windows Defender Firewall with Advanced Security / PowerShell

# PowerShell 一鍵封鎖 TCP 23 入站
New-NetFirewallRule -DisplayName "Block Telnet 23 Inbound" -Direction Inbound -Protocol TCP -LocalPort 23 -Action Block -Profile Domain,Private,Public -Enabled True

# 批次封鎖高危埠口
$dangerPorts = @(23,135,139,445,1433,1434,3389,5900,5901)
foreach ($p in $dangerPorts) {
  New-NetFirewallRule -Name "Block_HighRisk_$p" -Direction Inbound -Protocol TCP -LocalPort $p -Action Block -Profile Any
}

新版防火牆支援狀態檢測、應用層感知、群組原則集中管理、與 Defender for Endpoint 聯動，建議作為首選方案。