未修補 MS03-026 (RPC/DCOM)、MS03-039 (Blaster)、MS04-011 (Sasser) 等漏洞的 XP/2000/2003 系統，連接埠 135/139/445/3389 直接暴露於網路極易遭蠕蟲自動感染。若無法立即打補丁，**本機 IPsec 原則封鎖連接埠** 是零成本、即時生效的緩解方案。

必須封鎖的高危連接埠清單

協定	連接埠	服務/風險
TCP	135	RPC 端點對應器 (Blaster/MS03-026)
TCP	139	NetBIOS Session (資訊洩露、空連線 IPC$)
TCP	445	SMB 直接訪問 (Sasser/MS04-011、永恆之藍/MS17-010)
TCP	593	HTTP RPC (MS03-026 變種)
TCP	1025	RPC 動態連接埠起始 (常被惡意程式佔用)
TCP	2745/3127/6129	Bagle/MyDoom/Beagle 等蠕蟲後門
TCP	3389	遠端桌面 (RDP) 暴力破解、CVE-2019-0708 (BlueKeep)
UDP	135/137/138/445	NetBIOS 名稱解析/資料包、SMB over UDP

IPsec 原則建立五步驟 (圖文對應)

1. 開啟本機安全性原則：
   控制台 → 系統管理工具 → 「本機安全性原則」 → 「IP 安全性原則 (本機電腦)」右鍵 → 「建立 IP 安全性原則」。
2. 命名並停用預設回應規則：
   精靈中「啟用預設回應規則」**取消勾選** → 完成。
3. 新增規則 → 新增篩選器 → 新增篩選器項目：
   針對每個連接埠建立一條篩選器：
   「來源位址」= 任何 IP 位址 → 「目的位址」= 我的 IP 位址 → 「通訊協定」= TCP/UDP → 「目的連接埠」= 目標埠號 (如 135) → 確定。
4. 建立「封鎖」篩選器動作：
   「篩選器動作」頁籤 → 「新增」→ 名稱「Block」→ 「安全性方法」選「封鎖」→ 確定。
5. 啟用並指派原則：
   規則屬性 → 選剛建立的篩選器清單 + 「Block」動作 → 確定 → 回到主視窗 → 右鍵新原則 → 「指派」。

生效與驗證

• 重開機後生效 (或執行 gpupdate /force)。
• 本機 netstat -an 確認連接埠狀態為 LISTENING 但外部掃描 (nmap -p 135,139,445,3389 ) 顯示 filtered。
• 瑞星/卡巴斯基等即時監控不再報「MS-4011 Exploit」「Blaster Rpc Exploit」攻擊。

副作用與例外處理

• ⚠ **檔案/印表機共享將失效** (TCP 139/445 被封)。需共享時，建立「允許」規則優先順序高於「封鎖」，來源限定為信任子網 (如 192.168.1.0/24)。
• ⚠ **遠端桌面 (3389) 將無法連線**。需遠端管理時，同理加「允許」規則限定管理員 IP。
• ⚠ **網域環境/Active Directory** 需保留 TCP 135/389/445/3268 等，請依實際服務調整白名單。

現代替代方案

• Windows 7/10/11：使用 **Windows Defender 防火牆進階安全性** (wf.msc) 建立「輸入規則」封鎖連接埠，介面更直觀、支援群組原則部署。
• 企業級：周界防火牆/下一代防火牆 (NGFW) 統一封鎖，主機端僅保留必要例外。