"netsh"是Windows 2000/XP/2003操作系統(tǒng)自身提供的命令行腳本實(shí)用工具，它允許用戶在本地或遠(yuǎn)程顯示或修改當(dāng)前正在運(yùn)行的計(jì)算機(jī)的網(wǎng)絡(luò)配置。
　　netsh ipsec，聽(tīng)聞只有windows2003才能運(yùn)行。在2003下測(cè)試的。
　　IP安全策略，我自身的理解就是：一個(gè)安全策略由一條條規(guī)則組成，而這些規(guī)則是由2部分組成的。首先要建立一個(gè)ip篩選器（用來(lái)指定那些地址）。然后呢是篩選器操作（用來(lái)指定對(duì)這些ip的操作，就是動(dòng)作）一個(gè)安全策略編寫完成了，首先要激活，才能使用，那就是指派。
　　下面用實(shí)例來(lái)說(shuō)明，然后附帶一些常用的。這個(gè)例子就是不允許ip為192.168.1.2的機(jī)器訪問(wèn)我的3389端口。'后面是注析
　　'建立一個(gè)名字叫XBLUE的安全策略先
　　netsh ipsec static add policy name=XBLUE
　　'建立一個(gè)ip篩選器，指定192.168.1.2
　　netsh ipsec static add filterlist name=denyip
　　netsh ipsec static add filter filterlist=denyip srcaddr=192.168.1.2 dstaddr=Me dstport=3389 protocol=TCP
　　'建立一個(gè)篩選器操作
　　netsh ipsec static ad

d filteraction name=denyact action=block
　　'加入規(guī)則到安全策略XBLUE
　　netsh ipsec static add rule name=kill3389 policy=XBLUE filterlist=denyip filteraction=denyact
　　'激活這個(gè)策略
　　netsh ipsec static set policy name=XBLUE assign=y
　　把安全策略導(dǎo)出
　　netsh ipsec static exportpolicy d:\ip.ipsec
　　刪除所有安全策略
　　netsh ipsec static del all
　　把安全策略導(dǎo)入
　　netsh ipsec static importpolicy d:\ip.ipsec
　　激活這個(gè)策略
　　netsh ipsec static set policy name=策略名稱 assign=y
　　入侵靈活運(yùn)用
　　得到了61.90.227.136的sa權(quán)限。不過(guò)有策略限制，訪問(wèn)不到他的3389。我想用他的3389。
　　netsh ipsec static add filterlist name=welcomexblue
　　netsh ipsec static add filter filterlist=welcomexblue srcaddr=220.207.31.249 dstaddr=Me dstport=7892 protocol=TCP
　　netsh ipsec static add rule name=letxblue policy=ConnRest filterlist=welcomexblue filteraction=Permit
　　訪問(wèn)結(jié)果
　　可以訪問(wèn)了。
　　netsh ipsec static del rule name=letxblue policy=ConnRest
　　更改
　　netsh ipsec static set filter filterlist=welcomexblue srcaddr=220.207.31.249 dstaddr=Me dstport=3389 protocol=TCP
　　刪除
　　netsh ipsec static del rule name=letxblue policy=ConnRest
　　netsh ipsec static del filterlist name=welcomexblue
　　以下是Win2K的
　　win2k下的ip安全策略添加需要用到ipsecpol這個(gè)程序，在windows的resource kit里有，包括一個(gè)exe和2個(gè)dll。我在這里不解釋他的使用方法，你可以ipsecpol* 〉 ipsecpolhelp.txt察看。這是我自己使用的腳本。
　　rem 首先限制所有
　　ipsecpol -w REG -p "Haishion" -r "Block All IP" -f *+0 -n BLOCK
　　rem 開(kāi)放某些機(jī)器的無(wú)限制訪問(wèn)，比如你的工作用機(jī)
　　ipsecpol -w REG -p "Haishion" -r "Allow IP" -f ^
　　210.34.0.1+0 ^
　　210.34.0.2+0 ^
　　-n PASS
　　rem 開(kāi)放服務(wù)器端口，比如http 80，ftp 20，21
　　ipsecpol -w REG -p "Haishion" -r "Open Port" -f ^
　　*+0:20:TCP ^
　　*+0:21:TCP ^
　　*+0:80:TCP ^
　　-n PASS
　　rem 開(kāi)放某些特定的ip可以訪問(wèn)特定的端口
　　ipsecpol -w REG -p "Haishion" -r "Allow IP Port" -f ^
　　0+*:53:UDP ^
　　0+*:80:TCP ^
　　210.34.0.3+0:8080:TCP ^
　　-n PASS
　　rem 指派
　　ipsecpol -w REG -p "Haishion" -x

最新評(píng)論