企業區域網路頻寬常被 P2P 下載工具 (如迅雷、BitComet) 佔用，導致業務應用延遲。Windows Server 2008 內建的「進階安全性 Windows 防火牆」支援針對特定埠號建立出站封鎖規則，以低成本實現應用層流量管制。本文以封鎖迅雷常用 TCP 3077、3078 埠為例，示範規則建立全流程。

操作原理

迅雷等 P2P 客戶端在建立下載連線時，會使用特定本地埠 (如 TCP 3077、3078) 向追蹤器/其他節點發起出站連線。在防火牆出站規則中封鎖這兩個埠，即可阻斷其核心通訊路徑，達到限制下載目的。注意：此法屬埠號層面封鎖，無法識別加密流量或動態埠 P2P 協定，屬輔助手段，非絕對封鎖。

建立出站封鎖規則步驟

1. 開啟「伺服器管理員」→「設定」→「進階安全性 Windows 防火牆」。
2. 左側選取「輸出規則」→ 右側動作窗格點選「新增規則」。
3. 規則類型選擇「連接埠」→ 下一步。
4. 協定：「TCP」→ 特定本地連接埠：輸入 3077,3078 → 下一步。
5. 動作：選擇「封鎖連線」→ 下一步。
6. 設定檔：勾選「網域」、「私人」、「公用」 (全環境生效) → 下一步。
7. 名稱：Block_Thunder_P2P_Ports_3077_3078 → 描述：封鎖迅雷等 P2P 軟體常用出站埠，保護頻寬資源 → 完成。

驗證與擴展

• 驗證： 用戶端啟動迅雷下載，觀察下載速度為 0 或長時間「連接中」；防火牆記錄 (%SystemRoot%\System32\LogFiles\Firewall\pfirewall.log) 應出現 DROP 記錄，來源埠為 3077/3078。
• 擴展常見 P2P 埠： 同樣步驟新增規則封鎖：
  BitTorrent: TCP 6881-6889
  eMule: TCP 4662, UDP 4672
  BT 追蹤器: TCP 6969
  可建立腳本批次匯入：netsh advfirewall firewall add rule name="Block_BT_6881-6889" dir=out protocol=TCP localport=6881-6889 action=block profile=any
• 例外機制： 若特定伺服器需合法使用該埠 (如內部 BT 追蹤器)，可在規則「範圍」索引標籤設定「遠端 IP 位址」為特定信任網段，或建立更高優先序的「允許」規則。

局限性與補充建議

• P2P 協定廣泛使用隨機埠、加密、UTP (UDP-based) 等技術規避埠封鎖。
• 建議配合：
  ① 應用層識別設備 (NGFW、UTM) 做深度封包檢測 (DPI) 識別 P2P 流量特徵。
  ② 群組原則「軟體限制原則」或「AppLocker」禁止執行已知 P2P 執行檔。
  ③ 頻寬管理 (QoS) 保障業務流量優先級。
  ④ 用戶端端點防護 (EDR) 偵測並阻擋 P2G 進程。

透過 Windows Server 2008 進階防火牆的埠級出站控制，可快速實施基線頻寬保護，作為多層次流量治理體系的第一道防線。