IPSec
首先需要指出的是，IPSec和TCP/IP篩選是不同的東西，大家不要混淆了。TCP/IP篩選的功能十分有限，遠(yuǎn)不如IPSec靈活和強(qiáng)大。下面就說說如何在命令行下控制IPSec。

2000下用ipsecpol。
WIN2003下直接就是IPSEC命令。遺憾的是，它們都不是系統(tǒng)自帶的。ipseccmd在xp系統(tǒng)安裝盤的SUPPORT\TOOLS\SUPPORT.CAB中，ipsecpol在2000 Resource Kit里。而且，要使用ipsecpol還必須帶上另外兩個(gè)文件：ipsecutil.dll和text2pol.dll。三個(gè)文件一共119KB。

winxp命令行下ipsec屏蔽不安全的端口

IPSec叫做Internet協(xié)議安全。主要的作用是通過設(shè)置IPsec規(guī)則，提供網(wǎng)絡(luò)數(shù)據(jù)
包的加密和認(rèn)證。不過這樣高級(jí)的功能我無緣消受，只是用到了篩選功能罷了。通過設(shè)置規(guī)則進(jìn)行數(shù)據(jù)包的篩選器，可以屏蔽不安全的端口連接。

你可以運(yùn)行g(shù)pedit.msc，在Windows設(shè)置>>計(jì)算機(jī)設(shè)置>>IP安全設(shè)置中進(jìn)行手工設(shè)
置。更加簡(jiǎn)單的方法是使用ipseccmd命令。

ipseccmd在WindowsXP中沒有默認(rèn)安裝，他在XP系統(tǒng)安裝盤的
SUPPORT\TOOLS\SUPPORT.CAB中。在Windows2000中它的名字叫做ipsecpol，默認(rèn)
應(yīng)該也沒有安裝，你自己找找看吧。

使用ipseccmd設(shè)置篩選，它的主要作用是設(shè)置你的篩選規(guī)則，為它指定一個(gè)名稱，
同時(shí)指定一個(gè)策略名稱，所謂策略不過是一組篩選規(guī)則的集合而已。比如你要封
閉TCP135端口的數(shù)據(jù)雙向收發(fā)，使用命令：

ipseccmd -w REG -p "Block default ports" -r "Block TCP/135" -f *+0:135:TCP -n BLOCK -x

這里我們使用的是靜態(tài)模式，常用的參數(shù)如下：
-w reg 表明將配置寫入注冊(cè)表，重啟后仍有效。
-p 指定策略名稱，如果名稱存在，則將該規(guī)則加入此策略，否則創(chuàng)建一個(gè)。
-r 指定規(guī)則名稱。
-n 指定操作，可以是BLOCK、PASS或者INPASS，必須大寫。
-x 激活該策略。
-y 使之無效。
-o 刪除-p指定的策略。
其中最關(guān)鍵的是-f。它用來設(shè)置你的過濾規(guī)則，格式為
A.B.C.D/mask:port=A.B.C.D/mask:port:protocol。其中=前面的是源地址，后面
是目的地址。如果使用+，則表明此規(guī)則是雙向的。IP地址中用*代表任何IP地址，
0代表我自己的IP地址。還可以使用通配符，比如144.92.*.* 等效于
144.92.0.0/255.255.0.0。使用ipseccmd /?可以獲得它的幫助。

如果希望將規(guī)則刪除，需要先使用-y使之無效，否則刪除后它還會(huì)持續(xù)一段時(shí)間。
參考下面代碼清單。

好了，這樣你就可以使用ipsec根據(jù)自己的需要方便得自己定制你的篩選規(guī)則了。
如果有不安全的端口，或者你不太喜歡的IP地址，你就可以把它們封鎖在你的大
門之外。