每個網路服務都對應特定連接埠 (Port)，如 HTTP 80、HTTPS 443、RDP 3389、SMB 445 等。開放過多未使用的連接埠等於給駭客留下後門。本文介紹兩種關閉連接埠的方法：Windows 防火牆規則法 (圖形化、彈性) 與 TCP/IP 進階篩選法 (核心層、徹底)，並說明伺服器與個人電腦的差異策略。

方法一：Windows 防火牆建立封鎖規則 (推薦、圖形化、可精細控制)

1. Win + R → wf.msc 開啟「高階安全性 Windows Defender 防火牆」。
2. 左側選「輸入規則」或「輸出規則」 → 右側「新增規則」。
3. 規則類型選「連接埠」 → 下一步。
4. 選「TCP」或「UDP」 → 「特定本機連接埠」輸入要封鎖的埠號 (如 135,139,445,3389,5900) → 下一步。
5. 動作選「封鎖連線」 → 下一步。
6. 設定檔全勾選 (網域/專用/公用) → 下一步。
7. 名稱輸入「Block High-Risk Ports」 → 完成。

進階：建立「僅允許清單」 (White-list 模式)

1. 預設輸入/輸出規則改為「封鎖」。
2. 逐一新增「允許」規則：瀏覽器 (80/443)、Windows Update、防毒軟體更新、授權軟體。
3. 原則：預設拒絕，顯式允許，安全性最高但維護成本高，適合伺服器/高安全環境。

方法二：TCP/IP 進階篩選 (核心層、無需防火牆服務、WinXP/Win7/Win10/11 通用)

1. Win + R → ncpa.cpl → 右鍵網卡「內容」。
2. 選「網際網路通訊協定第 4 版 (TCP/IPv4)」→ 「內容」→ 「進階」→ 「選項」分頁。
3. 選「TCP/IP 篩選」→ 「內容」→ 勾選「啟用 TCP/IP 篩選 (所有介面卡)」。
4. 設定模式為「僅允許下列項目」：
   • TCP 連接埠：僅添加必需埠 (如 80,443,53,67,68,3389 視需求)。
   • UDP 連接埠：僅添加必需埠 (如 53,67,68,500,4500)。
   • IP 協定：通常保留預設 (TCP=6, UDP=17, ICMP=1)。
5. 確定全部視窗 → 系統提示重新開機 → 重開機生效。

個人電腦 vs 伺服器 策略差異

維度	個人電腦	伺服器/對外服務
預設策略	防火牆「預設允許輸出、阻擋未請求輸入」即可	預設拒絕，僅開放業務必要埠 (80/443/22/3306 等)
管理方式	圖形化防火牆 (wf.msc) 或安全軟體介面	腳本化 (PowerShell/netsh) + 群組原則 + 審計日誌
遠端管理	不開放 RDP/SSH 對外，需 VPN/ZeroTier/Tailscale	堡壘機/跳板機 + 雙因子驗證 + IP 白名單
常見高危埠 (建議封鎖/限制)	135,139,445 (SMB/NetBIOS), 3389 (RDP), 5900 (VNC), 1433/3306 (DB)	同上，並嚴格限制來源 IP

驗證連接埠狀態

• 本機檢視：netstat -ano | findstr :PORT 查看監聽/連線狀態與 PID。
• 外部掃描：nmap -sS -p 1-65535 TARGET_IP (需授權) 或線上掃描工具 (如 ShieldsUP!、PortChecker.co)。
• 測試封鎖生效：本機 telnet localhost PORT 或 PowerShell Test-NetConnection -ComputerName localhost -Port PORT。

注意事項

• 關閉連接埠可能導致合法服務中斷 (檔案共享、遠端桌面、網域認證、列印服務等)，變更前必須評估影響範圍。
• TCP/IP 篩選屬於舊式 API，現代 Windows 建議優先使用 WFP (Windows Filtering Platform) 架構的防火牆規則，相容性與效能更好。
• 伺服器環境任何連接埠變更需納入變更管理流程，保留回滾方案。

善用 Windows 防火牆規則或 TCP/IP 篩選，關閉不必要的連接埠，能大幅縮小攻擊面，是系統加固的基礎動作。