Windows Server 2008 預設開放多個高風險連接埠 (135, 139, 445, 3389 等)，易遭受勒索軟體 (WannaCry/EternalBlue)、蠕蟲傳播、暴力破解攻擊。本文說明如何透過 IPSec 原則 在主機層封鎖特定連接埠，作為深度防禦的一環。
高風險連接埠清單 (建議封鎖/限制存取)
| 類別 | 連接埠 | 協定 | 風險說明 |
|---|
| RPC 端點對應器 | 135 | TCP/UDP | DCOM/RPC 攻擊面、WannaCry 傳播途徑 |
| NetBIOS 會話 | 139 | TCP | SMB over NetBIOS、資訊列舉、横向移動 |
| SMB 直接裝載 | 445 | TCP/UDP | EternalBlue (MS17-010)、勒索軟體主要傳播埠 |
| RPC 動態埠範圍 | 593, 1025, 1026... | TCP | RPC 服務動態分配，難以完全封鎖 |
| 知名後門埠 | 2745, 3127, 3128, 6129 | TCP | Bagle、MyDoom、Blaster 等蠕蟲後門 |
| 遠端桌面 | 3389 | TCP | 暴力破解、藍屏漏洞 (BlueKeep CVE-2019-0708)、認證填充 |
| NetBIOS 名稱/資料gram | 137, 138 | UDP | 名稱解析詐騙、資訊洩露 |
建立 IPSec 封鎖規則步驟 (適用於無法使用 Windows 防火牆/前端防火牆的環境)
1. 開啟本機安全性原則
控制台 → 系統管理工具 → 本機安全性原則 (或執行 secpol.msc)
2. 建立新的 IP 安全性原則
- 右鍵 本機電腦上的 IP 安全性原則 → 建立 IP 安全性原則。
- 精靈：名稱輸入 (如
Block_HighRisk_Ports) → 下一步。
- 啟用預設回應規則 取消勾選 → 下一步 → 完成 (不勾選「編輯內容」)。
3. 新增封鎖規則 (針對每個高風險埠重複)
- 右鍵新建立的原則 → 內容 → 取消勾選 使用新增精靈 → 新增 規則。
- 規則內容 → 新增 篩選器清單 → 取消勾選「使用新增精靈」 → 新增 篩選器。
- 篩選器屬性 設定：
- 來源位址： 任何 IP 位址
- 目的地位址： 我的 IP 位址
- 通訊協定類型： TCP (或 UDP)
- 從此連接埠： 任意 / 目的地連接埠：目標埠號 (如 135)
- 勾選 鏡像 (雙向匹配)。
- 確定返回篩選器清單，重複上述步驟新增所有需封鎖的 TCP/UDP 埠。
- 完成篩選器清單後，回到 新規則屬性 → 篩選器動作 索引標籤。
- 取消勾選「使用新增精靈」 → 新增 篩選器動作。
- 名稱：
Block → 下一步 → 安全性方法 選擇 封鎖 → 完成。
- 回到規則屬性，勾選新建立的 篩選器清單 與 篩選器動作 (Block) 旁的核取方塊 (啟用)。
- 確定關閉所有對話方塊。
4. 指派原則生效
在「本機安全性原則」主視窗，右鍵新建立的原則 → 指派。原則狀態變為「已指派」即生效。
驗證與測試
- 本機：
netstat -an | findstr :135 確認無 LISTENING (視服務而定，部分系統服務仍會開啟但拒絕外部連線)。
- 遠端：
nmap -p 135,139,445,3389 <目標IP> 應顯示 filtered (IPSec 封鎖不回應)。
- 事件記錄：啟用 IPSec 稽核 (
secpol.msc → 進階原則 → 系統稽核原則 → 物件存取 → 稽核檔案系統 或 IPSec 專用記錄) 查看封鎖事件。
重要補充：現代環境建議改用 Windows 防火牆 (進階安全性)
- Windows Server 2008 內建 進階安全性 Windows 防火牆 (WF.msc)，支援狀態式檢查、輸出規則、群組原則集中管理、記錄、IPSec 整合，操作介面更直覺。
- 同樣可建立「輸入規則」→ 封鎖特定埠/程式/服務，並限制來源 IP 範圍 (如僅允許管理網段存取 3389)。
- IPSec 原則較舊、除錯困難、效能較差，建議僅在舊版相容性需求下使用。
最佳實務總結
- 邊界防火牆第一道防線：封鎖所有非必要對外開放埠。
- 主機防火牆 (WF.msc) 第二道防線：白名單模式，僅開放業務必要埠 (Web 80/443、管理埠限制來源 IP)。
- IPSec 隔離第三道防線：伺服器與伺服器間通訊強制加密驗證 (域隔離)。
- 定期掃描：
nmap -sS -p- <目標> 全埠掃描確認無非預期開放埠。
- 服務最小化：停用不需要的服務 (Server 服務、Print Spooler 等) 從根源關閉埠。