windows 2003服务器安全配置之关闭不用端口

默认情况下，Windows有很多端口是开放的，

你上网的时候，网络病毒和黑客可以通过这些端口连上你的电脑。
为了让你的系统变为铜墙铁壁，应该封闭这些端口，
主要有：TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，
一些流行病毒的后门端口（如 TCP 2745、3127、6129 端口），
以及远程服务访问端口3389。

下面介绍如何在WinXP/2000/2003下关闭这些网络端口：

第一步，点击“开始”菜单/设置/控制面板/管理工具，
双击打开“本地安全策略”，选中“IP 安全策略，在本地计算机”，
在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建 IP 安全策略”
（如右图），于是弹出一个向导。在向导中点击“下一步”按钮，为新的安全策略命名；
再按“下一步”，则显示“安全通信请求”画面，在画面上把“激活默认相应规则”左边的钩去掉，
点击“完成”按钮就创建了一个新的IP 安全策略。

第二步，右击该IP安全策略，在“属性”对话框中，
把“使用添加向导”左边的钩去掉，
然后单击“添加”按钮添加新的规则，
随后弹出“新规则属性”对话框，
在画面上点击“添加”按钮，
弹出IP筛选器列表窗口；在列表中，
首先把“使用添加向导”左边的钩去掉，
然后再点击右边的“添加”按钮添加新的筛选器。

第三步，进入“筛选器属性”对话框，
首先看到的是寻址，源地址选“任何 IP 地址”，
目标地址选“我的 IP 地址”；
点击“协议”选项卡，
在“选择协议类型”的下拉列表中选择“TCP”，
然后在“到此端口”下的文本框中输入“135”，
点击“确定”按钮（如左图），
这样就添加了一个屏蔽 TCP 135（RPC）端口的筛选器，
它可以防止外界通过135端口连上你的电脑。

点击“确定”后回到筛选器列表的对话框，
可以看到已经添加了一条策略，
重复以上步骤继续添加 TCP 137、139、445、593 端口
和 UDP 135、139、445 端口，为它们建立相应的筛选器。

重复以上步骤添加TCP 1025、2745、3127、6129、3389 端口的屏蔽策略，

建立好上述端口的筛选器，最后点击“确定”按钮。

第四步，在“新规则属性”对话框中，
选择“新 IP 筛选器列表”，
然后点击其左边的圆圈上加一个点，
表示已经激活，最后点击“筛选器操作”选项卡。
在“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，
点击“添加”按钮，添加“阻止”操作（右图）：
在“新筛选器操作属性”的“安全措施”选项卡中，
选择“阻止”，然后点击“确定”按钮。

第五步、进入“新规则属性”对话框，
点击“新筛选器操作”，其左边的圆圈会加了一个点，
表示已经激活，点击“关闭”按钮，关闭对话框；
最后回到“新IP安全策略属性”对话框，
在“新的IP筛选器列表”左边打钩，
按“确定”按钮关闭对话框。在“本地安全策略”窗口，
用鼠标右击新添加的 IP 安全策略，然后选择“指派”。

于是重新启动后，电脑中上述网络端口就被关闭了，
病毒和黑客再也不能连上这些端口，从而保护了你的电脑

135端口主要用于使用RPC（Remote Procedure Call，远程过程调用）协议并提供DCOM（分布式组件对象模型）服务，通过RPC可以保证在一台计算机上运行的程序可以顺利地执行远程计算机上的代码；使用DCOM可以通过网络直接进行通信，能够跨包括HTTP协议在内的多种网络传输。

139端口是为“NetBIOS Session Service”提供的，主要用于提供Windows文件和打印机共享以及Unix中的Samba服务。在Windows中要在局域网中进行文件的共享，必须使用该服务。

重启服务器的脚本如下：

shutdown /r /d p:4:1

win2003远程桌面端口修改

通常服务器是不能随便重启的，所以，可以采用上面的脚本，再使用windows的计划任务，定时一次性执行上面脚本对应的bat文件即可。

1、改端口：

简单操作步骤：打开"开始→运行"，输入"regedit"，打开注册表，进入以下路径：

[HKEY_LOCAL_MACHINE/SYSTEM/ CurrentControlSet/Control/Terminal Server/ Wds/rdpwd/Tds/tcp]，看见

PortNamber值了吗？其默认值是3389（改为十进制显示），修改成所希望的端口，例60000。

2、再打开[HKEY_LOCAL_MACHINE/SYSTEM/CurrentContro1Set/Control/Tenninal Server/WinStations/RDP-Tcp]

，将PortNumber的值（默认是3389）修改成端口60000

关闭注册表编辑器后重启计算机，即可生效。

注： 必需重启后才可生效设置    两项的端口要一致

 
在本机测试是否已开启了该端口

telnet localhost 60000
测试远程60000端口是否开启

友情提示

如果你的远程端口更换了我们需要在防火墙中加入你的远程端口否则你将无法远程服务器哦。