說明：所有服務器上操作，請謹慎操作。確定后再次進行實施！僅僅是保護線路上的安全，以及網站被攻擊后，客戶端無法遠程。

　　Ipsec安全策略

　　方法：設置安全策略。采用window的IPSec進行防護。允許80 3306端口。拒絕所有其他端口連接。

　　1：控制面板-系統和安全-管理工具-本地安全策略

　　打開本地安全策略。默認是沒有的。這里我已經添加一個策略。

　　右鍵屬性，直接點擊添加

　　需要注意，該安全策略的排序方法是以英文字母數字類型來排序的。a開頭在下邊（首次不設置為拒絕，只允許）

　　鑒于是客戶端訪問固定服務器。所以我們這里直接默認

　　網絡類型，我們采用所有網絡連接

　　直接點擊添加。這樣就開始添加。Ip篩選器列表中可以添一個熟悉的名稱。

　　點擊添加

　　下一步的時候我們看到這里便是用來寫描述的。勾選鏡像

　　下一步后我們看到的是ip流量的來源。這里我們根據情況，我們提供的是web的服務。所以，我們允許所有ip即 源地址選擇任何ip地址

　　下一步后，需要選擇目標地址，因為我們需要明白的是客戶端訪問我們這臺提供web服務的server。所以我們直接選擇我的IP地址

　　因為是http服務，所以選擇tcp，然后點擊下一步。到協議端口設置

　　根據信息，是從客戶端請求本服務器的80端口。所以這個地方選擇，到此端口。點擊完成。

　　這樣一個ip篩選器就建立完畢。

　　全部建立完畢，我們選擇其中一個，

　　點擊下一步。進行設置篩選器的操作方式，（我之前已經添加過）這里我們點擊添加

　　進入篩選器名稱創建，因為是80端口。所以我們這里命名無條件允許

　　點擊下一步后。可以選擇的操作行為選項有3個。許可阻止和協商安全。我們直接選擇許可

　　點擊完成。。。返回到當前安全規則向導頁面，我們選中我們建立的允許方法，

　　點擊下一步完成，繼而返回，我們繼續添加需要的列表。在IP篩選列表頁面。我們接著選擇其他端口。繼續剛才的行為設置。全部完成后點擊確定。

　　以上設置的時我們常見的服務，（例如提供到公網上的web?；蛘吣承┕潭ü_端口）

　　訪問規則

　　我們接下來就開始設置，固定的訪問規則，例如網站數據庫分開的情況。

　　那么我們需要了解的就是3306是固定機器訪問固定機器，其他任何人沒有權限不能訪問該端口。服務器提供的80端口是公開的，我們80端口就按照上邊所屬進行設置即可。

　　來看我們3306如何設置固定訪問端口：

　　在ip篩選器列表中，點擊添加

　　寫好名稱。然后點擊添加-下一步，設置描述信息-設置ip流量源。

　　因為網站是請求端，而數據庫服務器是目標。所以這里我們設置我們自己的IP地址

　　點擊下一步，我們開始設置目標地址。選擇一個特定的ip地址或者子網。我們選擇個ip地址

　　點擊下一步，選擇協議為tcp協議 端口為3306 點擊完成。到ip篩選器列表我們點擊確定，返回到選擇界面。選擇我們當前設置的3306篩選器，點擊下一步，創建安全規則向導的操作。

　　點擊添加，我們這次選擇，協商安全。點擊下一步

　　完成后。我們在安全規則頁面。選中我們寫的協商選項

　　我們在身份驗證方法中。設置字符串保護方法

　　至此，全部完成。我們點擊策略規則 右鍵 選擇分配。這樣就ok了。千萬千萬不要忘記，最后設置w開頭的拒絕策略。來自所有的，到本server的。所有協議，拒絕！。

　　結果：僅僅網頁訪問正常，遠程調用數據庫可以進行。

　　隱性繞過方案：從網頁上出現的問題入手。滲透進去后得到shell 導出文件。本地下載到，然后進行修改。

　　針對類型：一般性hacker攻擊。防止cain