Windows 預設開啟 TCP 135 (RPC)、139 (NetBIOS Session)、445 (SMB) 等端口，歷史上曾被震盪波、衝擊波、WannaCry 等蠕蟲病毒利用進行遠程攻擊與橫向移動。若不需檔案共用、遠程管理等功能，建議在主機層面封鎖。Win7 可透過「IP 安全性原則」 (IPsec) 實現精確端口封鎖，無需第三方防火牆。

操作步驟：建立 IPsec 封鎖規則 (以 445 端口為例，135/139 同理)

1. 按 Win+R 輸入 gpedit.msc 開啟「本機群組原則編輯器」。
2. 依序展開：
   電腦設定 → Windows 設定 → 安全性設定 → IP 安全性原則 (在本機電腦上)
3. 右鍵空白處 → 「建立 IP 安全性原則」 → 「下一步」。
4. 名稱輸入「封鎖高危端口」 → 「下一步」。
5. 取消勾選「啟用預設回應規則」 → 「下一步」。
6. 勾選「編輯內容」 → 「完成」，進入屬性視窗。

7. 在「規則」頁籤，取消勾選「使用加入精靈」 → 點擊「加入」。
8. 在「IP 篩選器清單」頁籤 → 「加入」 → 名稱輸入「封鎖 445」 → 取消勾選「使用加入精靈」 → 「加入」。

9. 在「IP 篩選器屬性」視窗：
   • 「位址」頁籤：來源位址「任何 IP 位址」，目的地位址「我的 IP 位址」。
   • 「通訊協定」頁籤：通訊協定類型選「TCP」，來源連接埠「任何連接埠」，目的地連接埠「從此連接埠」輸入 445 (或 135、139)。
   • 點擊「確定」返回。
10. 回到「新規則屬性」：

• 「IP 篩選器清單」選中剛建立的「封鎖 445」。
• 切換「篩選動作」頁籤 → 取消勾選「使用加入精靈」 → 「加入」。

11. 在「篩選動作屬性」：
    • 「一般」頁籤：名稱輸入「阻絕連線」。
    • 「安全性方法」頁籤：選擇 「阻絕」。
    • 點擊「確定」。
12. 回到「新規則屬性」：篩選動作選中剛建立的「阻絕連線」 → 「關閉」。
13. 回到「IP 安全性原則屬性」：確認規則清單中「封鎖 445」被選中 → 「確定」。

14. 在組策略編輯器中，右鍵點擊剛建立的「封鎖高危端口」原則 → 選擇 「指派」，原則立即生效 (圖示上會出現「是」字樣)。

同理操作封鎖 135、139 端口

重複上述流程，在「IP 篩選器屬性」→「通訊協定」頁籤將目的地連接埠分別設為 135 (RPC)、139 (NetBIOS)，建立對應規則並加入同一 IPsec 原則中，指派後同時生效。

關鍵服務提醒

「IPsec Policy Agent」 (IPSEC Services) 服務必須處於「執行中」且啟動類型為「自動」，否則 IPsec 原則完全不生效！

可在 services.msc 中確認並啟動該服務。

驗證封鎖效果

• 本機開啟命令提示字元：netstat -an | find "445" 應無 LISTENING 狀態。
• 其他電腦嘗試 telnet 本機IP 445、\\本機IP\共用資料夾 均應連線失敗/超時。
• 掃描工具 (Nmap) 掃描本機 445 端口顯示 filtered/closed。

注意事項

• 封鎖 445 將導致**檔案共用、網路列印、遠程管理 (WMI/PSRemoting)、域控制器通訊**等功能失效，企業環境請謹慎評估或改用防火牆針對性放行信任 IP。
• Win10/11 內建「Windows Defender 防火牆」含「進階安全性」介面，可直接建立「輸入規則」阻擋特定端口，操作更直觀，無需組策略 IPsec。