TCP IP如何篩選

1樓：久雨

如何配置 tcp/ip 安全,以下是以2000為準,xp和2k3同樣,下面一段引用微軟公司原文

配置 tcp/ip 安全：

1. 單擊開始，指向設定，單擊控制面板，然後雙擊網路和撥號連線。

2. 右鍵單擊要在其上配置入站訪問控制的介面，然後單擊屬性。

3. 在選定的元件被這個連線所使用框中，單擊 internet 協議 (tcp/ip)，然後單擊屬性。

4. 在 internet 協議 (tcp/ip) 屬性對話方塊中，單擊高階。

5. 單擊選項選項卡。

6. 單擊 tcp/ip 篩選，然後單擊屬性。

7. 選中啟用 tcp/ip 篩選（所有介面卡）核取方塊。選中此核取方塊後，將對所有介面卡啟用篩選，但您要逐個為介面卡配置篩選器。同一篩選器並不適用於所有介面卡。

8. 該視窗中一共有三列，分別標記為：

tcp 埠

udp 埠

ip 協議在每一列中，都必須選擇下面的某個選項：

全部允許。如果要允許 tcp 或 udp 通訊的所有資料包，請保留全部允許處於選中狀態。

僅允許。如果只允許選定的 tcp 或 udp 通訊，請單擊僅允許，再單擊新增，然後在新增篩選器對話方塊中鍵入相應的埠。

如果要阻止所有 udp 或 tcp 流量，請單擊僅允許，但不要在 udp 埠或 tcp 埠列中新增任何埠號。如果您為 ip 協議選中了僅允許並排除了 ip 協議 6 和 17，並不能阻止 udp 或 tcp 通訊。

請注意，即使在 ip 協議列中選擇了僅允許而且不新增 ip 協議 1，也無法阻止 icmp 訊息。

「tcp/ip 篩選」只能篩選入站流量。此功能不影響出站流量，也不影響為接受來自出站請求的響應而建立的響應埠。如果需要更好地控制出站訪問，請使用 ipsec 策略或資料包篩選。

以下是關於ipsec 策略的官方說明

internet 協議安全 (ipsec) 循序漸進指南

在進行ipsec完整性配置時，有兩個選項：message digest 5 (md5)和安全雜湊演算法1（secure hash algorithm 1 ，簡稱sha1）。後者的安全度更高，但需要更多的 cpu資源，md5使用128位雜湊演算法，而sha1使用的160位演算法。

ipsec 認證協議

當兩個系統互相交換加密資料之前，需要相互對加密的資料包進行安全認定。這個安全認定成為安全協定（security association，簡稱sa）。在相互通訊之前，兩個系統必須認定對同一sa。

因特網金鑰交換協議（internet key exchange，簡稱ike）管理著用於ipsec連線的 sa協議過程。ike是因特網工程任務組（internet engineering task force，簡稱ietf）制定的關於安全協議和金鑰交換的標準方法。ike的操作分兩階段：

第一階段確保通訊通道的安全，第二階段約定sa的操作。

為了建立ipsec通訊，兩臺主機在sa協定之前必須互相認證，有三種認證方法：

kerberos - kerberos v5常用於windows server 2003，是其預設認證方式。 kerberos能在域內進行安全協議認證，使用時，它既對使用者的身份也對網路服務進行驗證。kerberos的優點是可以在使用者和伺服器之間相互認證，也具有互操作性。

kerberos可以在 server 2003的域和使用kerberos 認證的unix環境系統之間提供認證服務。

公鑰證書 (pki) - pki用來對非受信域的成員，非windows客戶，或者沒有執行kerberos v5 認證協議的計算機進行認證，認證證書由一個作為證書機關（ca）系統簽署。

預先共享金鑰 -在預先共享金鑰認證中，計算機系統必須認同在ipsec策略中使用的一個共享金鑰，使用預先共享金鑰僅當證書和kerberos無法配置的場合。

ipsec加密協議

ipsec提供三種主要加密方法，如下

資料加密標準 (des 40位) - 該加密方法效能最好，但安全性較低。該 40位資料加密標準（data encryption standard，簡稱des）通常被稱為安全套接字層（secure sockets layer，簡稱ssl）。適用於資料安全性要求較低的場合。

資料加密標準 (des 56位) - 通過ipsec策略，可以使用56位 des的加密方法。2023年美國國家標準局公佈了des演算法，它可以在通訊過程中經常生成金鑰。該功能可防止因為一個des金鑰被破譯而整個資料集的安全受到影響。

但是在商業中被認為過時了，僅用於傳統的應用支援，有專門的硬體可以破譯標準的 56位金鑰

2樓：

135137138

139 這幾個都關了吧

我就知道這些