還在為繁瑣的防火牆規則、第三方安全軟件的資源佔用而煩惱？Windows 內建的 IP 安全策略 (IPsec Policy) 能以系統級內核模式攔截網絡流量，無需額外進程、不修改註冊表、不禁用服務，即可實現精準端口封鎖。這篇跨越 8 年的「陳年秘籍」，至今仍是系統加固的經典方案。

核心優勢

• 零資源佔用：內核級過濾，無用戶態進程常駐
• 繞過繞過：不依賴防火牆服務，惡意軟件難以通過停止服務繞過
• 持久生效：策略寫入系統配置，重啟自動生效，無需腳本拉起
• 精準控制：基於 IP 協議/端口/方向/動作的五元組精確匹配

預設封鎖端口清單（經典配置）

協議	端口	對應服務/風險
TCP	135	RPC 端點映射器，遠程代碼執行高危漏洞高發區
	139	NetBIOS 會話服務，SMB 文件共享傳播蠕蟲主通道
445	SMB 直通傳輸，永恆之藍等勒索病毒核心利用端口
593	HTTP RPC 映射，DCOM 漏洞利用通道
1025	動態端口起始，歷史蠕蟲後門常駐端口
2745, 3127, 6129	Bagle、MyDoom、IRC 木馬常用後門端口
3389	RDP 遠程桌面，暴力破解與零日漏洞首選目標
UDP	135	RPC 端點映射器 UDP 端點
	137, 138	NetBIOS 名稱解析/數據報，局域網偵察與放大攻擊
445	SMB over UDP（極少見，防禦深度）

註：若業務需用上述端口（如 3389 遠程桌面、445 文件共享），請從策略中移除對應規則或改用「僅允許特定 IP」模式。

圖解導入全流程（Windows XP/2003/7/10/11 通用）

1. 打開策略管理器：Win+R → secpol.msc（專業版以上）或 控制面板 → 管理工具 → 本地安全策略
2. 定位節點：左側樹狀展開 IP 安全策略 - 本地計算機
3. 導入策略：右鍵空白處 → 所有任務 → 導入策略 → 選中 .ipsec 文件 → 打開
4. 啟用策略：右鍵導入的策略名稱 → 指派，狀態變為 是 (Yes)
5. 驗證生效：Win+R → cmd → 輸入 ipsecmon 或 netsh ipsec dynamic show all 查看活動策略

自訂規則：新增封鎖端口

1. 右鍵策略 → 屬性 → 取消勾選「使用嚮導」 → 規則 標簽 → 添加
2. 隧道端點：我的 IP 地址 / 任何 IP 地址
3. 網絡類型：所有網絡連接
4. IP 篩選清單 → 添加 → 新增篩選器：
   • 來源/目標地址：任何 IP 地址
   • 協議類型：TCP 或 UDP
   • 來源/目標端口：從任意端口 → 到特定端口 (如 445)
   • 鏡像篩選器：勾選（雙向生效）
5. 篩選動作：阻止（封鎖）或 要求安全性（強制 IPsec）
6. 一路「確定」保存，重新指派策略生效

驗證策略生效

• 本機測試：telnet localhost 445 應連接失敗
• 遠程測試：他機 nmap -p 135,139,445 <目標IP> 顯示 filtered
• 事件查看器：系統日誌 → 來源: IPsec 記錄阻止事件

適用場景與局限

適合：非高機密單機/工作組環境、老舊系統無法安裝現代 EDR、追求極致精簡的系統優化愛好者。
不適合：需狀態檢測、應用層識別、入侵防禦 (IPS)、日誌審計合規的企業生產環境——請部署專業新一代防火牆/EDR/XDR。

歷史回顧

本方案最早見於 2008 年 CFAN 論壇「潇潇」大神分享，跨越 XP、Win7、Win10/11 多個時代，圖片鏈接雖多失效，但核心邏輯在 Windows IPsec 架構未變的前提下依然有效。這正是「越陳越香」的系統內建能力——不依賴第三方，直擊網絡協議核心。

下載鏈接失效？無需依賴現成 .ipsec 文件。按上文「自訂規則」步驟，10 分鐘即可手工構建專屬加固策略。安全，從理解協議開始。