Windows IP安全策略

Windows IP策 略，是Windows自带的一种安全IP策略方法。通过相应的策略设置，可以实现阻止和允许访问相关的端口和IP地址，相当于拥有了一个免费但功能更加完善的防火墙。

第一步，进入Windows IP安全策略界面，点击开始－控制面板－管理工具－本地安全策略，或者开始－运行－输入secpol.msc。

第二步，创建一个IP安全策略名。选中左侧导航树中“IP 安全策略，在本地计算机，右键选择“创建 IP 安全策略”，或者在命令行窗口下输入netsh ipsec static add policy name=myname，其中myname指IP策略名。

第三步，创建IP筛选器列表和筛选器操作。选中左侧导航树中“IP 安全策略，在本地计算机”，右键选择“管理IP筛选器列表和筛选器操作”，创建一个名为denyAll的IP筛选器列表，在IP筛选器属性中，目标地址应选择“我的IP地址”，“镜像”左边的钩去掉，其他默认；创建一个名为deny的筛选器操作，新筛选器操作属性中，选择“阻止”。

第四步，添加规则。双击IP安全策略名，单击“添加”，在“新规则属性”对话框中，”IP筛选器列表”标签中选择刚建立的 denyAll，“筛选器操作”标签中选择刚建立的deny，这样就创建了一个阻止所有端口、所有IP地址的安全策略。

第五步，创建允许访问的IP筛选器列表和筛选器操作。根据第三步方法，创建一个名为permit的IP筛选器列表，并添加相应允许访问的IP地址，新筛选器操作属性中，选择“许可”。同理，根据第四步方法添加相应规则，这样就创建了一个允许用户访问的安全策略。

第六步，指派安全策略。Windows IP策略默认是不指派的，选中IP策略名称，右键选择“分配”，此时，该策略名称上多了一个小绿点，表示策略启用成功。

在第五步添加相应允许访问的IP地址时，根据实际情况，”源地址”可以选择一个特定的IP地址，也可以选择一个特定的IP子网，还可以选择一个特定的DNS名称。另外，在“协议”标签中还可以设置具体允许访问的协议和端口，如选择协议类型为TCP，设置IP协议端口从任意端口到此端口，填写3389，则对应IP地址仅能访问该服务器远程端口。

Windows IP策略应用场景非常广泛，如对于某些重要的Web服务器，我们只希望某些特定用户允许访问，只需将其固定IP地址加入其服务器IP策略即可；对于某些重要的数据库服务器，屏蔽其他IP地址及数据库端口（管理员除外），这样用户即使拥有数据库密码也无法访问数据库；通过以上方法设置Windows IP安全策略，服务器就多了一道屏障，数据就多了一份安全。