Windows IP安全策略

Windows IP策 略，是Windows自帶的一種安全IP策略方法。通過相應的策略設置，可以實現阻止和允許訪問相關的端口和IP地址，相當于擁有了一個免費但功能更加完善的防火墻。

第一步，進入Windows IP安全策略界面，點擊開始－控制面板－管理工具－本地安全策略，或者開始－運行－輸入secpol.msc。

第二步，創建一個IP安全策略名。選中左側導航樹中“IP 安全策略，在本地計算機，右鍵選擇“創建 IP 安全策略”，或者在命令行窗口下輸入netsh ipsec static add policy name=myname，其中myname指IP策略名。

第三步，創建IP篩選器列表和篩選器操作。選中左側導航樹中“IP 安全策略，在本地計算機”，右鍵選擇“管理IP篩選器列表和篩選器操作”，創建一個名為denyAll的IP篩選器列表，在IP篩選器屬性中，目標地址應選擇“我的IP地址”，“鏡像”左邊的鉤去掉，其他默認；創建一個名為deny的篩選器操作，新篩選器操作屬性中，選擇“阻止”。

第四步，添加規則。雙擊IP安全策略名，單擊“添加”，在“新規則屬性”對話框中，”IP篩選器列表”標簽中選擇剛建立的 denyAll，“篩選器操作”標簽中選擇剛建立的deny，這樣就創建了一個阻止所有端口、所有IP地址的安全策略。

第五步，創建允許訪問的IP篩選器列表和篩選器操作。根據第三步方法，創建一個名為permit的IP篩選器列表，并添加相應允許訪問的IP地址，新篩選器操作屬性中，選擇“許可”。同理，根據第四步方法添加相應規則，這樣就創建了一個允許用戶訪問的安全策略。

第六步，指派安全策略。Windows IP策略默認是不指派的，選中IP策略名稱，右鍵選擇“分配”，此時，該策略名稱上多了一個小綠點，表示策略啟用成功。

在第五步添加相應允許訪問的IP地址時，根據實際情況，”源地址”可以選擇一個特定的IP地址，也可以選擇一個特定的IP子網，還可以選擇一個特定的DNS名稱。另外，在“協議”標簽中還可以設置具體允許訪問的協議和端口，如選擇協議類型為TCP，設置IP協議端口從任意端口到此端口，填寫3389，則對應IP地址僅能訪問該服務器遠程端口。

Windows IP策略應用場景非常廣泛，如對于某些重要的Web服務器，我們只希望某些特定用戶允許訪問，只需將其固定IP地址加入其服務器IP策略即可；對于某些重要的數據庫服務器，屏蔽其他IP地址及數據庫端口（管理員除外），這樣用戶即使擁有數據庫密碼也無法訪問數據庫；通過以上方法設置Windows IP安全策略，服務器就多了一道屏障，數據就多了一份安全。