IP安全策略图解

WindowsXP专业版自带的IP安全策略，其功能并不比一些免费的防火墙差，可以关闭或开启端口，可以封掉指定的IP地址，还可以封掉指定的域名。只是设置起来有点麻烦，以下以封掉指定域名为例，讲述设置过程。


（一）添加IP安全策略

1.

运行gpedit.msc组策略，点击“计算机配置”→“windows设置”→“安全设置”，用鼠标右键点击“IP安全策略”，在弹出菜单中点击“创建IP安全策略”，点击“下一步”；

 

2.

出现“IP安全策略名称”输入界面，可以使用默认名称“新IP安全策略”或者随便输入一个名称，如：4399 。点击下一步，出现“安全通讯请求”设置窗口，使用默认设置“激活默认响应规则”，点击下一步；

3.

出现“默认响应规则身份验证方式”设置窗口，选择“此字符串用来保护密钥交换”，并随便输入一串字符，比如：12345jkkl 等，点击“下一步”；

4.

出现完成“新IP安全策略属性设置”的界面，选中“编辑属性”，点击“完成”。

5.

进入“新IP安全策略属性设置”界面，选择“使用添加向导”，点击“添加”按钮；

 

6.

出现“安全规则向导”，点击下一步，进入“隧道终结点”设置界面，选择“此规则不指定隧道”，点击“下一步”；

 

7.

出现网络类型设置界面，选“所有网络连接”，点击“下一步”，再次出现“默认响应规则身份验证方式”设置窗口，选择“此字符串用来保护密钥交换”，再次随便输入一串字符，比如：12345jkkl 等，点击“下一步”；

 

8.

出现“IP筛选器列表”界面，点击“添加”按钮，按照9～12步骤创建IP筛选器。如果已经编辑好IP筛选器，则直接在列表框中选中IP筛选器，如4399，在该项前面的圆圈中打上圆点标记，再点击“下一步”，在“筛选器操作”中，选择“拒绝”，在“拒绝”左边的圆圈中打上圆点标记，点击“下一步”，点击“完成”。

 

 

（二）添加IP筛选器

9.

创建IP筛选器，名称可以使用默认“新IP筛选器列表”或者另取名字，如：2345 。选中“使用添加向导”，点击“添加”按钮，启动IP筛选器向导，点击“下一步”；

 

 

10.
指定IP通信源为：一个特定的DNS名称。输入主机名，在这里填入想要屏蔽的网络域名，如www.4399.com，点击“下一步”，这里可能会出现一个”安全警告“提示框，点击“确定”；

11.
设置IP通信目标为：我的IP地址；设置"IP协议类型”为“任意”，点击“下一步”，点击“完成”。

12.

回到“IP筛选器列表”界面，可以点击“确定”，退出此界面，或者点击“添加”按钮，继续添加其他筛选器。

13.

在列表框中选中刚才建立的IP筛选器，如4399，在该项前面的圆圈中打上圆点标记，再点击“下一步”，在“筛选器操作”中，选择“拒绝”，在“拒绝”左边的圆圈中打上圆点标记，点击“下一步”，点击“完成”。

14.
指派安全策略。在组策略IP安全策略右边窗口，找到刚才建立的IP安全策略，如4399，用鼠标右键点击，在弹出菜单中点击“指派”。
如果没有进行此项操作，IP策略不会生效。

15.
在8和13两个步骤中，如果筛选器操作中找不到“拒绝”选项，那么需要进行以下操作，添加“筛选器操作”。
用鼠标右键点击组策略中“IP安全策略”（参考步骤 1），点击“管理IP筛选器和筛选器操作”，点击“管理筛选器操作”标签，点击“添加”按钮，点击“下一步”，输入新筛选器操作的名称，（这里输入：拒绝），点击“下一步”，选中“阻止”，点击“下一步”，点击“完成”。

   重启电脑，IP安全策略就生效了，这时，打开浏览器，输入在以上过程中屏蔽掉的网址（域名），如www.4399.com ，如果无法浏览那个网站了，说明以上操作步骤正确，否则，按照以上步骤重新检查。一般来说，容易忽视的地方是最后的“指派”操作，还有筛选器操作设置不当，如“阻止”设置成了“许可”。

   在步骤10～11中，选择源地址或目标地址为IP地址时，可以屏蔽指定的IP地址；如果选择IP协议类型为TCP或UDP，则可以屏蔽指定的端口。当然，如果把以上筛选器操作设置成“许可”，那就是允许访问指定的域名，开放指定的端口，允许与指定的IP地址连接。

   网上有IP安全规则可供下载，主要用于防范木马病毒，但是不一定适合自己使用，需要适当修改一下，然后导入组策略，指派后就可生效，比windows自带的防火墙好用得多，也不像许多软件防火墙那样啰啰嗦嗦的老是跳出提示信息框，令人反感，而且令新手无所适从。

转自：http://hi.baidu.com/deepdiving/blog/item/5bd28a347126861791ef39d7.html