木馬程式一旦潛入系統，往往會開放特定通訊埠（Port）等待駭客連線控制。除了依賴防毒軟體查殺，Windows 內建的「IP 安全策略」（IPSec）能在核心層直接封鎖可疑埠，切斷木馬的命令與控制（C&C）通道，是一項強而有力的主機防禦手段。本文以封鎖 Telnet 常用的 TCP 23 埠為例，詳細說明操作步驟與驗證方法。

適用環境

• Windows 2000 / XP / Server 2003（後續版本同樣支援，介面略有差異）
• 需具備系統管理員權限

操作步驟詳解

1. 開啟 IP 安全策略管理主控台

點擊「開始」→「執行」，輸入 mmc 按 Enter。在主控台視窗選擇「檔案」→「新增/移除管理單元」→「新增」→從清單選取「IP 安全原則管理」，選擇「本機電腦」完成新增。此時主控台根節點下會出現「IP 安全原則（本機電腦）」。

2. 建立新的 IP 安全策略

展開「IP 安全原則」，右鍵空白處選「建立 IP 安全原則」啟動精靈：

1. 名稱：自訂（如「封鎖木馬埠 23」），描述可略過，下一步。
2. 取消勾選「啟用預設回應規則」，務必勾選「編輯內容」，然後「完成」。

3. 設定 IP 篩選器（定義要封鎖的流量特徵）

在內容視窗的「規則」頁籤點「新增」→「下一步」→取消「使用新增精靈」→「新增」：

• IP 篩選器清單：新增一個篩選器，命名（如「TCP 23 入站」）。
• 來源位址：任何 IP 位址。
• 目的位址：我的 IP 位址（本機）。
• 通訊協定類型：TCP。
• 來源埠：任何埠；目的埠：23。
• 確定返回，確保剛建立的篩選器被勾選。

4. 定義篩選動作（封鎖）

切換到「篩選動作」頁籤 → 「新增」 → 名稱（如「封鎖連線」） → 「新增」 → 動作類型選「封鎖」 → 完成。確保此動作被指派給上述篩選器。

5. 指派策略使其生效

回到主控台，右鍵剛建立的「封鎖木馬埠 23」策略，選擇「指派」。策略狀態會變為「已指派」，規則立即在核心層生效，無需重開機。

效果驗證

從另一台電腦嘗試 telnet 目標IP 23，將收到連線失敗訊息。使用掃描工具（如 Nmap）掃描目標主機，23 埠仍會顯示「open」，因為 IPSec 是在封包進入 TCP/IP 堆疊後才攔截，不影響埠掃描結果，但實際 TCP 連線已無法建立。此特性可避免駭客察覺埠被主動封鎖而改用其他手段。

擴充應用

同樣流程可封鎖其他高風險埠：

• TCP 135, 139, 445（RPC、NetBIOS、SMB，常被蠕蟲利用）
• TCP 3389（遠端桌面，若不需對外開放）
• UDP 1434（SQL Server 解析服務，曾遭 Slammer 蠕蟲攻擊）
• 任何已知木馬使用的特徵埠

建議將多個篩選器整合在同一策略中，並依據網路環境調整來源/目的位址（如僅封鎖外部 IP 連入），避免影響內部合法服務。定期審查策略清單，移除不再需要的規則，保持防禦精準高效。

注意事項

• IPSec 策略僅對 IP 層流量生效，無法替代應用層防火牆或防毒軟體，應作為纵深防禦的一環。
• 錯誤規則可能導致合法服務中斷，部署前請在測試環境驗證。
• Windows 防火牆（XP SP2 以上）亦提供類似功能，介面更友善，建議優先使用；IPSec 適合需精細控制或舊版系統場景。

掌握 IP 安全策略，讓你在面對未知木馬或零時差攻擊時，擁有即時切斷惡意通訊的關鍵能力，守住主機最後一道防線。